Qualiopi et l'AI Act reposent tous deux sur des exigences à prouver par des documents, mais leur mécanique diffère : Qualiopi est une certification délivrée par un organisme tiers, obligatoire depuis le 1er janvier 2022 pour accéder à certains financements, alors que l'AI Act impose des obligations directes, contrôlées par des autorités, sans exigence de certification pour la plupart des systèmes. Un organisme de formation certifié Qualiopi qui utilise l'IA est aussi concerné par l'AI Act, parfois pour des systèmes à haut risque (Annexe III, point 3).
L'essentiel en 30 secondes
- Qualiopi : certification par un organisme tiers sur le référentiel national qualité, obligatoire depuis le 1er janvier 2022 pour bénéficier de fonds publics ou mutualisés (Code du travail, art. L6316-1).
- AI Act : obligations directes selon le rôle et le niveau de risque. Pratiques interdites et maîtrise de l'IA depuis le 2 février 2025, transparence (Art. 50) depuis le 2 août 2026, haut risque de l'Annexe III à partir du 2 décembre 2027 (règlement (UE) 2026/1744).
- Points communs : un référentiel d'exigences, des preuves documentaires, une documentation qui doit rester à jour.
- Différence clé : un certificat délivré par un auditeur tiers d'un côté, des obligations contrôlées par des autorités de l'autre. ISO/IEC 42001 est volontaire et ne donne aucune présomption de conformité.
- Un organisme de formation qui utilise l'IA pour sélectionner, orienter ou évaluer des apprenants peut relever de l'Annexe III, point 3 : haut risque.
- Des documents types ne remplacent pas la pratique réelle : un auditeur comme une autorité vérifient que les documents reflètent ce que fait l'organisation.
Beaucoup de PME découvrent avec l'AI Act une conformité documentaire à construire sous contrainte de calendrier. Ce scénario s'est déjà joué en France pour les organismes de formation avec Qualiopi. Comparer les deux permet de repérer ce qui se transpose et ce qui diffère.
Le guide AI Act pour les PME françaises décrit le cadre général applicable à une entreprise.
Deux logiques de conformité
Depuis le 1er janvier 2022, un prestataire d'actions de formation qui veut bénéficier de fonds publics ou mutualisés (opérateurs de compétences, État, régions, Caisse des dépôts, France Travail, entre autres) doit être certifié sur la base du référentiel national qualité (Code du travail, art. L6316-1). C'est la certification Qualiopi. Sans certification, pas de financement par ces financeurs.
L'AI Act procède autrement : il impose directement des obligations, selon le rôle (fournisseur, déployeur) et le niveau de risque, et leur application est échelonnée. Les pratiques interdites et la maîtrise de l'IA (Art. 4) s'appliquent depuis le 2 février 2025, la transparence (Art. 50) depuis le 2 août 2026, les systèmes à haut risque de l'Annexe III à partir du 2 décembre 2027 et ceux de l'Annexe I à partir du 2 août 2028 (règlement (UE) 2026/1744). Le contrôle relève des autorités de surveillance du marché, pas d'un certificat délivré par un organisme tiers. Comme pour Qualiopi, l'entreprise qui attend le dernier moment découvre que la mise en conformité demande de cartographier, documenter, sensibiliser, puis maintenir. Voir le calendrier de l'AI Act.
Le tableau compare les deux mécanismes.
| Critère | Qualiopi | AI Act |
|---|---|---|
| Nature | Certification délivrée par un organisme certificateur tiers | Obligations légales directes, contrôlées par des autorités |
| Entreprises concernées | Prestataires d'actions de formation qui visent des fonds publics ou mutualisés | Fournisseurs, déployeurs, importateurs et distributeurs de systèmes d'IA |
| Référentiel | Référentiel national qualité, en sept critères | Articles et annexes du règlement, selon le rôle et le niveau de risque |
| Échéance | 1er janvier 2022 | Échelonnée de 2025 à 2028 |
| Preuves | Documents et pratiques vérifiés lors des audits | Notice d'utilisation, journaux, documentation, selon le rôle |
| Certification | Obligatoire pour accéder aux financements concernés | Non requise pour la plupart des systèmes ; ISO/IEC 42001 est volontaire |
Un référentiel d'exigences, des preuves à produire
La force de Qualiopi tient à son référentiel : sept critères, déclinés en indicateurs, avec des éléments de preuve attendus (Code du travail, chapitre VI, art. R6316-1 et suivants). L'organisme sait ce que l'auditeur va vérifier.
L'AI Act suit une logique voisine, à une échelle plus large : des obligations par rôle (fournisseur, déployeur) et par niveau de risque, des exigences par article (documentation technique, Art. 11 et Annexe IV ; transparence, Art. 50 ; gestion des risques, Art. 9 ; gouvernance des données, Art. 10) et des annexes qui listent les cas à haut risque. La méthode de travail est transposable : transformer le texte réglementaire en check-list d'exigences, puis associer à chaque exigence le document qui en apporte la preuve. Attention : la documentation technique de l'Art. 11 incombe au fournisseur, pas au déployeur.
Dans les deux cas, des documents à jour
C'est la leçon la plus concrète du précédent Qualiopi : l'organisme ne « raconte » pas sa qualité, il la montre : procédure de traitement des réclamations, veille légale et réglementaire datée, information du public, preuves de suivi des acquis. La préparation documentaire demande du temps quand l'organisme part de zéro.
L'AI Act demande lui aussi des preuves, de nature variable selon le rôle : notice d'utilisation et journaux pour un déployeur de système à haut risque, mentions de transparence, documentation technique pour un fournisseur. Un registre des systèmes d'IA et une politique d'usage ne sont pas des obligations en soi, mais ils organisent ces preuves. Elles doivent vivre : une politique IA datée de 2026 et jamais révisée n'est plus une preuve fiable en 2028. Voir l'article sur la politique IA d'entreprise et celui sur le registre des systèmes d'IA.
Organismes de formation : ce que l'AI Act ajoute
Un organisme de formation certifié Qualiopi qui utilise l'IA est aussi concerné par l'AI Act. En tant que déployeur, il applique la maîtrise de l'IA (Art. 4) et, selon les outils, la transparence (Art. 50). L'Annexe III, point 3, classe à haut risque les systèmes destinés à déterminer l'accès ou l'admission à des établissements de formation, à évaluer les résultats d'apprentissage ou le niveau de formation approprié, ou à détecter les comportements interdits pendant les épreuves. Selon le projet de lignes directrices de la Commission sur la classification des systèmes à haut risque (19 mai 2026, soumis à consultation), la notion d'établissement de formation est large : elle couvre aussi la formation professionnelle et la formation pour adultes. Un outil de tri des candidats à une formation ou de notation automatique des apprenants peut donc relever du haut risque, avec des obligations à partir du 2 décembre 2027. Voir le cas pratique IA d'orientation dans un collège privé, qui détaille cette qualification dans l'enseignement.
Des documents types peuvent faciliter la mise en conformité, à condition d'être adaptés. Le pack regulia propose une politique IA, un registre des systèmes d'IA, des analyses de risques et d'impact et des procédures, personnalisés par un questionnaire d'une dizaine de minutes (voir la page documents de conformité AI Act). Ces documents ne valent que s'ils reflètent la réalité de l'organisation.
Ce qu'un document type ne remplace pas
Le précédent Qualiopi enseigne aussi la limite de l'exercice : un auditeur ne se contente pas de vérifier que les documents existent, il vérifie que l'organisme fait ce que les documents décrivent, par exemple que les enquêtes de satisfaction sont réellement collectées et que les réclamations sont réellement traitées.
Transposé à l'AI Act : un registre des systèmes d'IA qui omet une partie des outils réellement utilisés, ou une politique d'usage que personne n'a lue, ne protègent de rien. Les documents types accélèrent la mise en conformité ; ils ne remplacent ni l'inventaire honnête des usages ni la gouvernance. Le questionnaire du pack regulia part de la situation réelle de l'entreprise, pas d'un modèle générique. Sur les risques encourus, voir la page Sanctions AI Act pour une PME : amendes et calcul.
FAQ
Qualiopi et l'AI Act peuvent-ils concerner la même entreprise ?
Oui. Un organisme de formation certifié Qualiopi qui utilise l'IA (génération de contenus pédagogiques, agent conversationnel d'assistance, outils de sélection ou d'évaluation d'apprenants) est aussi concerné par l'AI Act, en tant que déployeur. Les deux conformités coexistent. Selon l'usage, un outil de sélection ou d'évaluation d'apprenants relève de l'Annexe III, point 3.
L'AI Act impose-t-il une certification comme Qualiopi ?
Non, pas pour la majorité des entreprises. L'AI Act impose des obligations directement applicables, contrôlées par les autorités de surveillance du marché. Certains systèmes à haut risque passent par une évaluation de conformité avant leur mise sur le marché, à la charge du fournisseur (Art. 43) : contrôle interne pour la plupart des cas de l'Annexe III, organisme notifié dans d'autres cas (biométrie, produits de l'Annexe I). La certification ISO/IEC 42001 est volontaire et ne donne aucune présomption de conformité.
Combien de temps faut-il pour construire sa documentation AI Act ?
Il n'existe pas de durée type. Le temps dépend du nombre de systèmes d'IA, de leur niveau de risque et de la maturité documentaire de l'entreprise. L'inventaire des usages et l'appropriation par les équipes demandent souvent le plus de temps. Des documents types personnalisés réduisent la rédaction, pas ce travail de fond.
Un kit documentaire suffit-il en cas de contrôle ?
Non. Les documents doivent refléter les pratiques réelles et être tenus à jour. Un document type fournit la structure et la couverture des exigences ; l'exactitude du contenu et son application au quotidien restent de la responsabilité de l'entreprise.
Par où commencer si mon entreprise n'a encore rien formalisé ?
Par l'inventaire : lister les systèmes et usages d'IA réellement en place dans l'entreprise, y compris les outils grand public utilisés par les équipes. C'est l'équivalent du diagnostic initial avant une certification, et la première entrée du registre des systèmes d'IA. Le guide AI Act pour les PME françaises détaille les étapes suivantes.
Sources officielles
- Code du travail, article L6316-1 — Légifrance
- Code du travail, chapitre VI : qualité des actions de formation professionnelle — Légifrance
- Règlement (UE) 2024/1689 — version consolidée au 27 juillet 2026 — EUR-Lex
- Règlement (UE) 2026/1744 (« Omnibus IA ») — EUR-Lex
- Commission européenne — Projet de lignes directrices sur la classification des systèmes à haut risque (19 mai 2026)
- AI Act Service Desk — Commission européenne