AI & Copilot · Governance
En tant que partenaire AI Governance pour Microsoft Copilot et Foundry, nous inscrivons vos use-cases IA dans un cadre de gouvernance solide — sans paralyser votre exploitation quotidienne. L'EU AI Act n'est plus une menace lointaine : obligation de formation selon l'Article 4 depuis février 2025, cadre de sanctions en vigueur : jusqu'à 35 M€ ou 7 % du chiffre d'affaires annuel pour les pratiques interdites, jusqu'à 15 M€ ou 3 % pour les autres obligations.
Ce que l'UE exige
Le règlement UE 2024/1689 — connu sous le nom d'EU AI Act — place chaque utilisation d'intelligence artificielle dans l'une des quatre classes de risque. Des obligations concrètes en découlent. Nous aidons à classer correctement chacun de vos use-cases IA.
Certaines pratiques sont interdites — par exemple le social scoring par les autorités publiques, les systèmes manipulateurs, la collecte biométrique de masse non ciblée. Quiconque utilise de tels systèmes risque les sanctions les plus élevées. Nous ne prenons pas en charge de tels use-cases.
Présélection RH, notation de crédit, identification biométrique, infrastructures critiques, évaluation éducative. Exigences strictes : évaluation de conformité, gestion des risques, documentation technique, surveillance continue. Un accompagnement juridique spécialisé est nécessaire ici — nous orientons vers des partenaires de notre réseau.
Chatbots, deepfakes, reconnaissance d'émotions, IA générative à impact externe. Obligation : transparence vis-à-vis des utilisateurs. Une grande partie des agents Copilot Studio relève typiquement de cette classe. L'obligation est atteignable — mais elle doit être pratiquée et documentée.
Filtres anti-spam, algorithmes de recommandation à faible impact, classificateurs simples. Aucune obligation spécifique de l'AI Act ne s'applique ici — mais les obligations générales (RGPD, formation Art. 4) restent en vigueur.
Les phases de l'EU AI Act
Interdiction de pratiques IA inacceptables (Social Scoring, IA manipulatrice, scraping non ciblé d'images de visages, reconnaissance d'émotions au travail/à l'école, profilage de risque pour l'application de la loi sans exceptions strictes). Obligation d'AI Literacy : tous les collaborateurs qui utilisent des systèmes IA ou exploitent leurs résultats doivent être formés. Cela concerne aussi les utilisateurs de Microsoft 365 Copilot au sens large.
Obligations pour les modèles General-Purpose-AI (GPAI) : documentation technique, conformité copyright, rapport de transparence. Cette obligation concerne Microsoft comme Provider des modèles sous-jacents — mais pas directement ses clients, à une exception près : qui adapte substantiellement un modèle GPAI (Fine-Tuning, base de données propre avec gros volume) peut devenir Provider et reprend les obligations correspondantes. De plus : l'AI Office à la Commission européenne est opérationnel et peut prendre les premières mesures de surveillance du marché.
Les obligations haut risque complètes arrivent par étapes : système de gestion des risques, gouvernance des données, documentation technique, obligation de journalisation (logs), transparence envers les Deployers, Human Oversight, exigences de précision et de cybersécurité, évaluation de conformité avant mise sur le marché. Plus les obligations de transparence pour les contenus générés par IA (Watermarking, marquage des chatbots, deepfakes). Qui construit ou utilise lui-même de l'IA haut risque a ainsi des tâches étendues. Qui n'utilise « que » Microsoft Copilot standard a principalement des obligations Deployer (voir février 2025).
Exigences étendues pour l'IA embarquée dans des produits régulés (dispositifs médicaux, jouets, machines, ascenseurs, équipements sous pression etc.) — pertinent pour les entreprises mid-market dont les produits nécessitent déjà des évaluations de conformité CE. L'IA devient ici partie de l'évaluation de conformité du produit.
Les quatre catégories de risque
L'EU AI Act distingue quatre niveaux de risque. Le niveau auquel se place votre système IA détermine obligations, effort et exposition aux amendes.
Systèmes IA en principe interdits : Social Scoring par les autorités, IA manipulatrice contre les Vulnerable Groups, scraping non ciblé de visages, reconnaissance d'émotions au travail ou à l'école, catégorisation biométrique selon critères protégés, identification biométrique en temps réel dans l'espace public par les forces de l'ordre (avec exceptions strictes). Amende jusqu'à 35 M€ ou 7 % du chiffre d'affaires annuel mondial.
IA dans des produits ou domaines régulés de l'Annexe III : infrastructures critiques, éducation et formation professionnelle, emploi et gestion du personnel (par ex. screening IA de candidats), accès aux services publics, application de la loi, gestion de l'asile et des migrations, justice, processus démocratiques. Plus IA embarquée dans des produits régulés (médical, machines, jouets). Obligations étendues de documentation, évaluation de conformité, Human Oversight, système de gestion des risques, logs, transparence.
Systèmes IA avec obligations de transparence : les chatbots doivent se signaler comme IA (Microsoft Copilot Studio Agents tombent typiquement ici), les deepfakes doivent être marqués, les contenus générés par IA ont besoin de filigranes (audio, vidéo, texte synthétiques dans certains contextes), la reconnaissance d'émotions hors travail/école doit être divulguée. Obligations modérées mais concrètes à mettre en œuvre.
Systèmes IA sans obligations spécifiques : filtres anti-spam, systèmes de recommandation en e-commerce, IA dans les jeux vidéo, outils de traduction, assistants d'écriture. La majorité des use-cases Microsoft 365 Copilot standard tombe typiquement ici — mais attention : dès que Copilot est utilisé dans des processus RH, des décisions critiques pour la relation client ou des domaines réglementairement sensibles, la classification peut monter.
Notre programme AI Governance
Nous prenons l'AI Act non comme un frein mais comme une aide structurelle. Quatre briques que nous construisons avec vous en 8 à 12 semaines — pragmatique, sans excès bureaucratique.
Nous cartographions tous les use-cases IA qui tournent aujourd'hui dans votre entreprise — visibles et invisibles. Microsoft Copilot, agents personnalisés, le plugin navigateur ChatGPT utilisé par les équipes marketing, le filtre de candidatures du recrutement. La Shadow AI est réelle et doit devenir visible en premier.
Obligation de formation selon l'Art. 4 EU AI Act. Nous construisons un concept basé sur les rôles : direction différemment du commercial, différemment de l'IT, différemment de la protection des données. Avec des preuves de formation documentées qui résistent à une autorité de contrôle — pas seulement une case cochée.
Chaque use-case identifié est classé : interdit, haut risque, risque limité, minimal. Des obligations concrètes découlent de chaque classe. De la classification découlent les mesures — de la mention de transparence dans le chatbot à l'évaluation de conformité pour un use-case à haut risque.
Nous construisons un audit trail qui s'appuie sur Microsoft Purview et Microsoft Entra ID. Qui a utilisé quel agent, quand, avec quelle question, quelle réponse, quelle source de données. Ce n'est pas seulement une obligation de l'EU AI Act — en cas de sinistre, c'est aussi le seul moyen d'éclaircir rétroactivement une hallucination.
Questions fréquentes (FAQ)
Le règlement UE 2024/1689 distingue quatre classes de risque : pratiques interdites (Art. 5), systèmes à haut risque (Annexe III), systèmes à risque limité avec obligation de transparence, et risque minimal. Depuis février 2025, l'obligation de formation IA selon l'Art. 4 s'applique à toutes les entreprises qui utilisent ou fournissent des systèmes d'IA. Pour les systèmes à haut risque, le cadre de sanctions s'applique avec les obligations elles-mêmes.
Oui. L'obligation de formation de l'Art. 4 EU AI Act s'applique à toute organisation qui utilise des systèmes d'IA — qu'elle les développe elle-même ou les achète comme service. Quiconque utilise Microsoft 365 Copilot, ChatGPT Enterprise ou des agents personnalisés doit former son personnel de manière démontrable. La profondeur dépend du rôle et de la classe de risque du système.
L'EU AI Act prévoit des sanctions allant jusqu'à 35 M€ ou 7 % du chiffre d'affaires annuel mondial — selon l'infraction et le type d'entreprise. Les violations des dispositions relatives aux systèmes à haut risque atteignent jusqu'à 15 M€ ou 3 %, la fourchette la plus élevée étant réservée aux pratiques interdites (art. 5). Les violations des obligations de transparence ou de formation sont moindres, mais restent significatives.
L'Annexe III de l'EU AI Act liste les domaines à haut risque — dont la présélection RH, la notation de crédit, l'identification biométrique, les infrastructures critiques et l'évaluation éducative. Quiconque utilise un agent Copilot Studio dans l'un de ces domaines doit satisfaire à des exigences strictes de conformité.
Pour les PME et ETI, nous travaillons dans un cadre forfaitaire — selon le nombre de use-cases IA, la taille de l'organisation et la profondeur de la conception de formation. Les organisations plus grandes avec leurs propres développements de modèles sont chiffrées individuellement.
Un déroulement de programme typique dure 8 à 12 semaines — inventaire des risques durant les deux premières semaines, classification et développement du concept de formation en parallèle, puis déploiement des formations et construction de l'audit trail. Le résultat est un cadre AI Governance documenté, revu annuellement.
Non — et nous le disons explicitement. Nous sommes des consultants Microsoft avec une connaissance approfondie de l'EU AI Act et de sa mise en œuvre technique. Pour les évaluations juridiques formelles, les évaluations de conformité avec accompagnement par organisme notifié et les audits sur site, nous recommandons des cabinets spécialisés — nous travaillons avec trois partenaires permanents dans la zone DACH.
30 min · confidentiel · sans engagement
Nous écoutons votre situation, faisons une première évaluation des risques de vos use-cases IA actifs et vous disons honnêtement où se situe le plus grand besoin d'action — avant que l'autorité de contrôle ne demande.
Services d'accompagnement
Les projets d'ingénierie sont rarement isolés — logique de licences, clarification d'architecture, quality gates, transfert de connaissances et exploitation de suivi tournent généralement en parallèle. Voici les services d'accompagnement les plus fréquents que nous ajoutons aux Discovery Spikes, aux engagements forfaitaires sprint ou aux contrats Application Care.
En amont · architecture
Avant l'implémentation : structure du tenant, modèle de données, concept de sécurité, mapping d'intégration. Le résultat est un document d'architecture que toute équipe d'engineering peut reprendre — y compris une autre que nous.
Voir la page →
En amont · CSP
Quels bundles de licences pour quels utilisateurs, quels add-on SKUs sont nécessaires, où vous êtes sur- ou sous-licencié. Acheté via partenaire licences Microsoft — avec l'option d'utiliser CSP purement comme mécanisme de contrôle sans maximisation de marge.
Voir la page →
Pendant · quality gate
Deuxième avis indépendant pendant un projet d'implémentation en cours — que nous le réalisions ou un autre partenaire. Quality gates basés sur CMMI, revues de risques, prix fixe par gate.
Voir la page →
Pendant · adoption
Pas le classique atelier de deux jours oublié après une semaine — mais un programme d'apprentissage dynamique sur 4–6 semaines avec formation de lancement, phases d'application et sessions avancées. Matrice de formation pour rôles et thèmes.
Voir la page →
Après · exploitation
Après le go-live : un contrat Application Care prévisible avec forfait mensuel, basé sur SLA. Inclut releases, hotfixes, extensions, durcissement du tenant — et un accompagnement continu plutôt qu'une simple réaction au ticket.
Voir la page →
Après · connaissances
Quand les développeurs d'origine sont partis, que le partenaire précédent n'est plus joignable ou que la documentation est obsolète — rétro-ingénierie de la solution existante avec un résultat documenté : carte du code, modèle de données, inventaire de customizing.
Voir la page →
