Mois 1 — Voir clair (semaines 1 à 4)
Objectif : savoir ce que l'on utilise et qui pilote. On ne peut rien décider sans cette base.
- 01
Semaine 1 — Désigner un référent
Nommez la personne responsable de la démarche (souvent adossée au DPO, à la conformité ou à la DSI) et obtenez un sponsor à la direction.
- 02
Semaines 2-3 — Cartographier les usages
Recensez tous les systèmes et usages d'IA, y compris l'IA générative utilisée spontanément par les équipes (shadow AI). Un tableau simple suffit.
- 03
Semaine 4 — Qualifier les rôles
Pour chaque usage, déterminez si vous êtes fournisseur ou déployeur. Ce rôle conditionne les obligations.
Mois 2 — Traiter l'urgent (semaines 5 à 8)
Objectif : sécuriser ce qui est déjà exigible et qualifier les risques.
- 01
Semaine 5 — Vérifier les pratiques interdites
Confrontez vos usages à l'article 5 (biométrie, manipulation, notation sociale). Tout usage sensible appelle une vérification juridique immédiate.
- 02
Semaines 6-7 — Qualifier les niveaux de risque
Classez chaque usage : interdit, haut risque (annexes I/III), transparence (article 50) ou minimal. Documentez la qualification.
- 03
Semaine 8 — Lancer la littératie IA
Déployez une sensibilisation générale et une charte d'usage de l'IA générative. C'est un quick win : exigible (article 4) et rapide.
Mois 3 — Structurer la suite (semaines 9 à 12)
Objectif : installer une gouvernance et un plan d'action à moyen terme.
- 01
Semaine 9 — Mettre en place la gouvernance
Formalisez une matrice de responsabilités, un processus de validation des nouveaux usages et un registre des usages d'IA.
- 02
Semaines 10-11 — Planifier le haut risque
Pour les systèmes à haut risque identifiés, définissez un plan de mise en conformité (documentation, contrôle humain, données) aligné sur l'échéance 2026.
- 03
Semaine 12 — Documenter et présenter
Consolidez un dossier de preuves et un plan d'action priorisé, et présentez-les à la direction pour arbitrage et budget.
| Mois | Priorité | Livrable |
|---|---|---|
| Mois 1 | Voir clair | Inventaire des usages + référent désigné |
| Mois 2 | Traiter l'urgent | Qualification des risques + littératie lancée |
| Mois 3 | Structurer | Gouvernance + plan d'action + dossier de preuves |
Questions fréquentes
90 jours suffisent-ils pour être « conforme » ?
Pour poser les fondations et traiter l'exigible, oui. Pour rendre un système à haut risque pleinement conforme (documentation technique, évaluation de conformité, marquage CE), non : cela demande un projet plus long. Le plan de 90 jours enclenche la démarche et la rend défendable.
Faut-il un budget dédié dès le premier mois ?
Le mois 1 (cartographie, référent) mobilise surtout du temps interne, peu de budget. Les besoins financiers apparaissent surtout au mois 3, une fois les usages à haut risque identifiés et le plan d'action chiffré.
Peut-on suivre ce plan sans accompagnement externe ?
Oui pour la cartographie, la gouvernance et la littératie. Un appui externe est utile sur les points durs : qualification des usages sensibles, systèmes à haut risque, articulation avec le RGPD. On cible alors l'accompagnement là où il crée le plus de valeur.
Que faire après les 90 jours ?
Exécuter le plan à moyen terme (mise en conformité des systèmes à haut risque), instaurer une veille réglementaire et des revues périodiques, et maintenir le registre à jour. La conformité devient un cycle de pilotage continu.