L'essentiel
- 13 documents structurants à produire selon votre profil (PME/ETI, déployeur/fournisseur, présence ou non de système haut-risque)
- 5 documents essentiels couvrent toute PME standard : politique IA, registre AIMS, charte d'usage, synthèse audit, checklist
- Documents per-système (DOC 05-07-13) : 1 fichier par système IA déclaré
- FRIA (Article 27) obligatoire pour les organismes publics, les entreprises chargées d'un service public, le scoring de crédit et la tarification d'assurance vie et santé
- Annexe IV Article 11 obligatoire uniquement pour les fournisseurs de système haut-risque
1. Pourquoi 13 documents ? La hiérarchie des obligations
L'EU AI Act n'impose pas explicitement « 13 documents ». Il impose des obligations procédurales et techniques (évaluation des risques, gouvernance, monitoring, transparence, supervision humaine) qui se matérialisent en documents écrits pour être audités. La norme ISO/IEC 42001:2023 — qui sert de référence d'implémentation — formalise ces obligations en politiques, procédures et registres. Le résultat opérationnel pour une PME est un ensemble de 5 à 13 documents structurants.
Trois facteurs déterminent le nombre exact :
- Le rôle (Article 3) : déployeur uniquement (cas standard PME) → 5-11 documents ; provider d'un système haut-risque → ajouter Doc 13 (Annexe IV technique)
- Le nombre de systèmes d'IA : Doc 05 (évaluation des risques) et Doc 06 (AISIA) sont produits pour chacun des outils déclarés
- Les cas de l'Article 27 : organisme public ou entreprise chargée d'un service public utilisant un système à haut risque, ou système de scoring de crédit ou de tarification d'assurance vie et santé → ajouter Doc 07 (FRIA)
2. Les 13 documents — tableau exhaustif
| # | Document | Format | Obligation | Référentiel |
|---|---|---|---|---|
| 00 | Notice d'utilisation du pack | DOCX + PDF | Recommandée | Bonnes pratiques |
| 01 | Synthèse d'audit AI Act + RGPD personnalisée | DOCX + PDF | Recommandée | ISO 42001 Cl. 4 |
| 02 | Checklist de conformité opérationnelle | XLSX | Recommandée | ISO 42001 Cl. 9.2 |
| 03 | Politique IA approuvée par la direction | DOCX + PDF | Exigée par ISO 42001 ; la preuve la plus simple de vos mesures (Art. 4) | ISO 42001 Cl. 5.2 |
| 04 | Registre AIMS (registre des systèmes IA) | XLSX | Recommandé : point de départ de toute démarche | ISO 42001 Cl. 4.4 ; Art. 49 (base de l'UE) pour le haut risque |
| 05 | Évaluation des risques IA (1 par système) | XLSX | Obligatoire pour le fournisseur d'un système à haut risque ; exigée par ISO 42001 | AI Act Art. 9 + ISO 42001 Cl. 6.1.2 |
| 06 | AISIA — AI System Impact Assessment (1 par système) | DOCX + PDF | Exigée par ISO 42001 | ISO 42001 Cl. 6.1.4 et 8.4 |
| 07 | FRIA — Fundamental Rights Impact Assessment (1 par système haut-risque) | DOCX + PDF | Obligatoire dans les cas de l'Art. 27 (service public, crédit, assurance vie et santé) | AI Act Art. 27 |
| 08 | Statement of Applicability (SoA) ISO 42001 | XLSX | Obligatoire pour certification ISO 42001 | ISO 42001 Cl. 6.1.3 |
| 09 | Charte d'usage IA pour les collaborateurs | DOCX + PDF | Recommandée (information-consultation du CSE à prévoir) | AI Act Art. 4 + ISO 42001 A.9.2 ; Art. 26(7) si haut risque |
| 10 | Procédure de gouvernance IA + matrice RACI | DOCX + PDF | Recommandée | ISO 42001 Cl. 5.3 + 6.1 |
| 11 | Procédure de gestion des incidents IA | DOCX + PDF | Obligatoire si haut risque (Art. 26 et 73) ou violation de données (RGPD) | ISO 42001 A.8.4 + AI Act Art. 73 + RGPD Art. 33-34 |
| 12 | Procédure d'évaluation des fournisseurs IA | DOCX + PDF | Recommandée | ISO 42001 A.10.3 + AI Act Art. 25 |
| 13 | Documentation technique Annexe IV (1 par système haut-risque) | DOCX + PDF | Obligatoire si fournisseur de système haut-risque | AI Act Art. 11 + Annexe IV |
3. Les 5 documents essentiels (toute PME)
Doc 03 — Politique IA
Document fondateur qui formalise l'engagement de l'entreprise au respect du cadre AI Act + ISO 42001 + RGPD-IA. Doit être signée par la direction générale. Sans ce document, l'entreprise ne peut pas démontrer qu'elle a une démarche structurée. ISO 42001 Cl. 5.2 l'exige explicitement.
Doc 04 — Registre AIMS
Inventaire structuré de tous les systèmes IA en exploitation. C'est le point de départ de toute démarche, et la pièce qu'un client, un auditeur ou une autorité demandera en premier. Doit lister pour chaque système : nom, finalité, fournisseur, rôle, niveau de risque, statut FRIA, supervision humaine, données traitées, date de mise en service, dernière revue.
Doc 09 — Charte d'usage IA
Règles que tous les collaborateurs doivent respecter quand ils utilisent un outil IA dans le cadre professionnel : outils autorisés et prohibés, données interdites dans les prompts, validation humaine systématique des sorties, sanctions disciplinaires. Dans les entreprises d'au moins 50 salariés, l'introduction de nouvelles technologies relève de l'information-consultation du CSE (Code du travail, art. L2312-8) ; pour un système à haut risque utilisé au travail, l'Art. 26(7) impose en outre d'informer les représentants du personnel et les salariés concernés.
Doc 01 — Synthèse d'audit
État des lieux personnalisé de votre exposition à l'AI Act : classification de votre rôle, identification des systèmes haut-risque, calcul des sanctions maximales applicables, feuille de route 30/60/90 jours. Document de pilotage à présenter au comité de direction.
Doc 02 — Checklist de conformité
Tableau de bord opérationnel sur 12 mois (XLSX). Détaille toutes les obligations applicables, leur référence légale, et permet de tracer l'avancement (statut, échéance, responsable, preuve attendue). Utilisé en revue trimestrielle par le Comité IA.
4. Documents avancés
Doc 05 — Évaluation des risques (1 par système IA)
Analyse vraisemblance × sévérité × réversibilité (échelles 1-5) des risques modèle, données, opérationnels, sociétaux et juridiques. Exigence de l'Art. 9 pour les fournisseurs de systèmes à haut risque et de la clause 6.1.2 d'ISO 42001. Pré-rempli avec des valeurs de départ ajustées selon votre contexte (haut risque, secteur sensible, supervision humaine).
Doc 06 — AISIA (1 par système IA)
AI System Impact Assessment selon ISO 42001 (clauses 6.1.4 et 8.4). Évalue l'impact sur les individus, groupes et société. Détermine la classification d'impact (Faible/Modéré/Élevé) qui pilote le niveau de contrôles à mettre en œuvre.
Doc 08 — Statement of Applicability ISO 42001
Document recensant les 38 contrôles de l'Annexe A de l'ISO 42001:2023 et leur applicabilité à votre périmètre. Document d'auditabilité essentiel pour une certification ISO 42001 ou une revue de conformité.
Doc 10 — Procédure de gouvernance + matrice RACI
Décrit le processus de validation d'un nouveau système IA, de l'idéation au retrait. Inclut une matrice RACI 19 activités × 8 rôles (Direction, IA Lead, DPO, RSSI, Juridique, DRH, Métier, Utilisateurs).
Doc 11 — Procédure de gestion des incidents
Workflow de détection, classification (4 niveaux L1-L4), notification (CNIL sous 72 h pour une violation de données ; autorité de surveillance du marché sous 15 jours au plus tard pour un incident grave d'un système à haut risque, 10 jours en cas de décès, 2 jours pour une infraction de grande ampleur ; autorités sectorielles selon le cas) et clôture des incidents. Exigence ISO 42001 A.8.4 + AI Act Art. 73 + RGPD Art. 33-34.
Doc 12 — Évaluation des fournisseurs IA
Cadre d'évaluation préalable de tout fournisseur de système ou modèle IA, incluant un questionnaire de 30 questions et les clauses contractuelles AI Act / RGPD obligatoires. Exigence ISO 42001 A.10.3 + AI Act Art. 25.
5. Documents selon votre situation : FRIA et Annexe IV
Doc 07 — FRIA (Fundamental Rights Impact Assessment)
Obligation de l'Article 27 AI Act, avant le premier déploiement, pour les déployeurs de systèmes à haut risque qui sont des organismes de droit public ou des entreprises privées fournissant des services publics, et pour tout déployeur d'un système de scoring de crédit ou de tarification d'assurance vie et santé (Annexe III, points 5 b et 5 c). Les systèmes d'infrastructures critiques en sont exclus. Les résultats sont notifiés à l'autorité de surveillance du marché. Le pack ne la produit que si vous êtes dans l'un de ces cas.
Doc 13 — Documentation technique Annexe IV
Documentation technique exhaustive exigée pour tout fournisseur d'un système d'IA haut-risque (AI Act Art. 11 + Annexe IV). Couvre 10 sections : description générale, développement, surveillance, gestion des risques, modifications, normes, déclaration UE de conformité, QMS, monitoring post-marché, contacts. À conserver 10 ans après la mise sur le marché (Art. 18).
Votre pack documentaire AI Act, personnalisé et prêt aujourd'hui
Décrivez votre entreprise et vos outils en une dizaine de minutes, recevez par e-mail un ZIP complet (Word, Excel, PDF) prêt à signer, à diffuser, à présenter à un auditeur. Satisfait ou remboursé 30 jours.
Créer mon pack — 29 €6. Prix du pack regulia
Pack conformité IA tout compris
29 € prix de lancement jusqu'au 30 novembre, puis 99 €
Tous les documents (Doc 00 à 12, plus Doc 07 FRIA et Doc 13 Annexe IV si vous êtes concerné), personnalisés selon vos réponses. Paiement unique, satisfait ou remboursé 30 jours.
Combien coûte un pack documentaire AI Act ?
Les prix de marché vont de quelques dizaines d'euros pour un modèle isolé à plusieurs dizaines de milliers d'euros pour un accompagnement sur mesure par un cabinet. Le pack regulia réunit tous les documents, personnalisés et cohérents entre eux : 29 € jusqu'au 30 novembre, puis 99 €.
7. FAQ
Combien de documents faut-il pour être en conformité AI Act ?
Le règlement ne fixe pas de nombre de documents : il impose des mesures, qu'il faut pouvoir prouver. Une PME qui utilise des outils d'IA sans système à haut risque s'appuie surtout sur sa politique IA, son registre, sa charte d'usage et sa procédure d'incidents. Un système à haut risque ajoute ses propres analyses (FRIA dans les cas de l'Art. 27) et, pour un fournisseur, la documentation technique de l'Annexe IV.
Quels documents sont obligatoires pour un déployeur PME ?
Sans système à haut risque, l'AI Act n'exige pas de document nommé : il impose des mesures de maîtrise de l'IA (Art. 4) et, selon vos usages, des mentions de transparence (Art. 50). La politique IA, le registre et la charte d'usage sont la manière la plus simple de les prouver. Avec un système à haut risque s'ajoutent les obligations de l'Art. 26 (supervision humaine, journaux, information des personnes et des salariés), la FRIA dans les cas de l'Art. 27 et le signalement des incidents graves.
Les documents sont-ils modifiables après livraison ?
Oui. Tous les documents sont livrés en .docx (Word, LibreOffice, Pages, Google Docs), .pdf (lecture) et .xlsx (Excel, Numbers, Calc, Sheets). Vous pouvez les éditer, les compléter avec les champs entre crochets, les adapter à votre charte graphique, les faire signer par votre direction.
8. Pour aller plus loin
Nos guides, document par document
- Rédiger la politique IA de l'entreprise
- Tenir le registre des systèmes d'IA (modèle Excel)
- Le modèle de charte IA pour les salariés
- La checklist des obligations AI Act
- Conduire une AISIA (évaluation d'impact ISO 42001)
- Réaliser une FRIA (Article 27)
- Établir la déclaration d'applicabilité ISO 42001
- Mettre en place un comité de gouvernance IA
- Signaler un incident grave (Article 73)
- Évaluer un fournisseur d'IA : le questionnaire
- Les clauses AI Act à prévoir dans vos contrats
- La documentation technique de l'Annexe IV