[Conformité AI Act]

Mettez vos systèmes d'IA en conformité avec l'AI Act

Galadrim recense vos systèmes d'IA, les qualifie au regard du règlement européen et conduit leur mise en conformité technique, avec un cabinet d'avocats partenaire pour le volet juridique.
La transparence est exigible depuis le 2 août 2026, le haut risque au 2 décembre 2027
Jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial en cas de manquement
40 ingénieurs IA et une équipe cybersécurité, épaulés par un cabinet d'avocats
Échanger avec un expertVoir nos réalisations
Deux collaboratrices de Galadrim en atelier de travail, attentives à une présentation
+800 grands groupes, ETI, PME et organisations publiques nous confient leurs projets tech et IA
[Les quatre niveaux de risque]

L'AI Act qualifie chacun de vos systèmes, et vos obligations en découlent

Le règlement ne s'applique pas en bloc : il classe chaque système selon l'usage qui en est fait, et c'est ce niveau qui fixe les obligations comme l'échéance. C'est la première question à trancher, avant tout chantier.
Risque inacceptable - l'usage est interdit

Risque inacceptable - l'usage est interdit

Notation sociale, exploitation de la vulnérabilité d'une personne, reconnaissance des émotions au travail ou en classe, police prédictive individuelle, moissonnage non ciblé d'images faciales : ces usages sont prohibés depuis le 2 février 2025, et deux interdictions s'y ajoutent le 2 décembre 2026. C'est le seul niveau exposé au plafond de 35 M€ ou 7 % du chiffre d'affaires mondial.

Concerné si un de vos outils note des personnes ou infère leur état émotionnel.

Haut risque - le régime le plus exigeant

Haut risque - le régime le plus exigeant

Recrutement et gestion des salariés, scoring de crédit, tarification d'assurance, éducation, biométrie, infrastructures critiques, accès aux services essentiels : pour ces domaines, l'annexe III impose gestion des risques, qualité des données, documentation technique, journalisation, contrôle humain, robustesse et cybersécurité. Le Digital Omnibus a reporté ces obligations au 2 décembre 2027, et au 2 août 2028 pour l'IA embarquée dans un produit déjà réglementé.

Concerné si une décision qui engage une personne - embauche, crédit, accès à un service - s'appuie sur un de vos systèmes.

Risque limité - la transparence, exigible aujourd'hui

Risque limité - la transparence, exigible aujourd'hui

Un agent conversationnel doit dire qu'il est une machine, un contenu généré doit porter un marquage lisible par une machine, un hypertrucage doit être signalé. Ces obligations de l'article 50 s'appliquent depuis le 2 août 2026 ; les systèmes génératifs déjà sur le marché à cette date ont jusqu'au 2 décembre 2026 pour le marquage. Un manquement expose à 15 M€ ou 3 % du chiffre d'affaires mondial.

Concerné si un chatbot, un assistant vocal ou un générateur de contenu est en service chez vous.

Risque minimal - pas d'obligation propre, deux règles quand même

Risque minimal - pas d'obligation propre, deux règles quand même

La très grande majorité des usages relève de ce niveau : recherche documentaire, aide à la rédaction, classification interne. Aucune obligation spécifique ne s'y attache, mais deux règles restent transversales - la littératie IA de vos équipes, que l'article 4 vous demande de soutenir depuis février 2025, et le RGPD dès qu'une donnée personnelle entre dans la chaîne.

Concerné si vos équipes utilisent ChatGPT, Claude, Copilot ou Mistral dans leur travail quotidien.

L'équipe Galadrim au travail
Le report des obligations haut risque à décembre 2027 a été lu comme un répit. C'en est un pour le calendrier, pas pour le travail : recenser les systèmes, qualifier les rôles et reprendre la documentation demande plusieurs mois, et rien ne peut commencer tant que personne ne sait ce qui tourne réellement dans l'entreprise. Les organisations qui s'y mettent maintenant traitent au passage un angle mort dont l'AI Act n'est que le révélateur : les outils d'IA que les équipes ont adoptés sans que la direction en ait connaissance.
Benjamin DrighèsPartner et CTO Data & IA
[Notre accompagnement]

De la cartographie de vos systèmes à leur conformité documentée

Six prestations, à prendre séparément ou à enchaîner. Le volet technique est notre métier ; le volet juridique est traité avec un cabinet d'avocats partenaire, sous un interlocuteur unique.
Cartographie et audit de conformité

Cartographie et audit de conformité

Nous recensons tous les systèmes d'IA en service chez vous, y compris ceux embarqués dans les logiciels de vos prestataires et ceux que vos équipes utilisent hors du circuit de la DSI. Chacun est qualifié - son niveau de risque, et votre rôle de fournisseur ou de déployeur - et le rapport d'écart mesure la distance entre votre situation et ce que le règlement attend.
Mise en conformité technique

Mise en conformité technique

Nous implémentons ce que le règlement exige du système lui-même : journalisation des décisions, point de contrôle humain, mesures de robustesse et de cybersécurité, gestion des risques, et hébergement dans l'Union quand la sensibilité des données le commande.
Documentation, registre et gouvernance

Documentation, registre et gouvernance

Nous produisons le dossier technique, la déclaration de conformité et les enregistrements attendus - y compris la justification motivée à déposer dans la base européenne quand un système de l'annexe III est écarté du haut risque. Et nous installons la gouvernance qui les tient à jour : rôles, comité, revue à chaque modification substantielle.
Volet juridique, avec notre cabinet partenaire

Volet juridique, avec notre cabinet partenaire

Qualification de votre rôle au sens du règlement, articulation avec le RGPD, clauses à faire porter à vos fournisseurs de modèles, propriété des contenus produits, régime de responsabilité : le cabinet d'avocats partenaire traite ces sujets aux côtés de nos équipes, sans que vous ayez deux prestataires à coordonner.
Littératie IA de vos équipes

Littératie IA de vos équipes

L'article 4 vous demande de soutenir la montée en compétence de vos collaborateurs sur l'IA, et cette obligation court depuis février 2025. Nous concevons les formats correspondants : atelier de comité de direction, parcours par métier, formation technique pour vos équipes data et développement.
Veille réglementaire et maintien en conformité

Veille réglementaire et maintien en conformité

Le cadre bouge : le Digital Omnibus a redistribué les échéances en juillet 2026, et les normes harmonisées européennes arrivent par vagues. Nous suivons ces évolutions et ajustons votre feuille de route et vos systèmes, plutôt que de vous laisser découvrir un décalage.
[Notre méthode]

Notre méthode pour amener vos systèmes d'IA à la conformité

  • CADRAGE
    Étape 01

    Cadrage et périmètre

    Un atelier réunit DSI, DPO, direction juridique et métiers pour arrêter le périmètre de l'audit, vos échéances propres et les systèmes déjà connus. Nous y fixons ce que la mission doit produire, et pour quelle décision.
  • CARTOGRAPHIE
    Étape 02

    Recensement des systèmes en service

    Nous recensons ce qui tourne réellement : développements internes, briques d'IA embarquées dans vos logiciels du marché, appels à des modèles externes, et outils adoptés par les équipes hors du circuit de la DSI. Chaque entrée est décrite par son usage réel, pas par son nom commercial.
  • QUALIFICATION
    Étape 03

    Niveau de risque et rôle

    Pour chaque système, nous déterminons son niveau au sens du règlement et votre rôle : fournisseur, déployeur, importateur ou distributeur. C'est cette qualification qui fixe vos obligations et vos échéances, et elle bascule plus souvent qu'on ne le croit - notamment quand un produit est construit sur l'API d'un modèle.
  • PLAN D'ACTION
    Étape 04

    Analyse d'écart et feuille de route

    Nous produisons un rapport d'écart par système et une feuille de route ordonnée par échéance réglementaire et par exposition réelle : la transparence d'abord, puisqu'elle est déjà exigible, le haut risque ensuite, dans le temps que le report de décembre 2027 laisse.
  • MISE EN ŒUVRE
    Étape 05

    Mise en conformité et livrables

    Nous implémentons les mesures techniques retenues et produisons les livrables documentaires. Chaque système sort de l'étape avec son dossier technique, ses enregistrements et son point de contrôle humain en service.
  • PÉRENNISATION
    Étape 06

    Gouvernance et veille

    Un comité de gouvernance IA prend le relais, avec ses procédures de revue à chaque modification substantielle, la formation des équipes et la veille sur un cadre qui continue d'évoluer.
01/06
[Pourquoi Galadrim ?]

Pourquoi confier votre conformité AI Act à Galadrim ?

Des ingénieurs IA, pas seulement des auditeurs

L'AI Act est d'abord un règlement technique : qualité des données, traçabilité, robustesse, cybersécurité, contrôle humain. Nos 40 ingénieurs IA construisent ces systèmes au quotidien, et corrigent ce que l'audit relève au lieu de se contenter de le consigner.

Le technique et le juridique sous un seul interlocuteur

Le cabinet d'avocats partenaire traite la qualification, les contrats et la responsabilité aux côtés de nos équipes. Vous gardez un interlocuteur unique côté Galadrim, et personne n'a à arbitrer entre deux prestataires.

L'expérience des environnements contraints

Nos équipes livrent des systèmes d'IA en production dans la santé, la banque, l'assurance, l'industrie et la défense, où la traçabilité et la localisation des données sont contraintes dès la conception. Nos ingénieurs cybersécurité interviennent sur les mesures que le règlement exige.

Une conformité qui ne gèle pas votre roadmap

La feuille de route est ordonnée par échéance et par exposition réelle, et se mène en parallèle de vos développements. Les mesures techniques s'ajoutent à vos systèmes existants : nous ne demandons pas de les arrêter.
[Réalisations]

Des systèmes d'IA livrés là où la contrainte précède le code

SantéUrgo Médical

Une aide à la décision clinique dont chaque réponse cite sa source

Urgo Médical, spécialiste du soin des plaies, voulait offrir aux infirmiers une aide à la décision fondée sur son corpus propriétaire. Galadrim a développé Med-ed GPT, un agent conversationnel intégré à l'application Healico : il guide l'identification d'une plaie et la recommandation de soin, et chaque réponse renvoie à la référence dont elle est tirée. L'aide à la décision en santé relève des domaines les plus encadrés du règlement - la traçabilité des sources et la place du soignant dans la boucle ont été posées dès la conception.
160 000infirmiers utilisateurs
300 000plaies documentées
Urgo Médical Logo
Immobilier commercialMercialys

Installer la gouvernance IA d'un acteur coté avant de déployer

Mercialys voulait définir sa stratégie IA sans multiplier les expérimentations sans suite. Nous avons cadré la démarche de bout en bout : comité de pilotage, feuille de route priorisée par retour sur investissement, puis déploiement de quatre solutions agentiques en six mois - analyse de contrats, chatbot interne, génération de mémos d'investissement et veille automatisée. Le comité mis en place est la structure même que le règlement attend d'un déployeur : un endroit où les systèmes sont recensés, arbitrés et revus.
180utilisateurs internes
4agents IA opérationnels en 6 mois
Mercialys Logo
DéfenseDelia Strat · Ministère des Armées

Faire tourner un modèle de langage sur une donnée qui ne sort pas

Delia Strat édite des logiciels destinés aux acteurs de la Défense, dont le Ministère des Armées, et voulait donner aux analystes du renseignement un moyen de lire vite un corpus documentaire volumineux. Galadrim a développé l'algorithme qui convertit ces documents en graphes relationnels, en s'appuyant sur un modèle de langage open source et français que l'on héberge soi-même. C'est la réponse que nous apportons chaque fois que la donnée ne peut pas quitter un périmètre maîtrisé.
80 %de temps d'analyse gagné
7 milliardsde paramètres pour le modèle de langage
Delia Strat · Ministère des Armées Logo
Ils parlent de nous
[Notre équipe]

Les profils qui interviennent sur votre conformité

Une mission AI Act mobilise trois métiers : le conseil, qui recense et qualifie ; l'ingénierie IA, qui implémente ce que le règlement exige du système ; et l'infrastructure, quand la donnée ne peut pas sortir de l'Union.
Benjamin Drighès
Benjamin Drighès Partner et CTO Data & IA
Ancien conseiller stratégie à l'Autorité des marchés financiers et ingénieur du Corps des Mines, il connaît de l'intérieur les organisations où chaque décision doit rester justifiable, et arbitre les choix d'architecture des projets IA de Galadrim.
Pierre-Antoine Dornic
Pierre-Antoine Dornic Head of GenAI
Il cartographie les cas d'usage IA des directions et les priorise, en atelier avec les comités de direction - le même exercice que celui par lequel commence un recensement de conformité.
Lucien Maillard
Lucien Maillard Principal AI Strategy Consultant
Il cadre les projets IA avec les directions clientes, recense avec les équipes les systèmes réellement en service et qualifie ce que les données disponibles permettent de construire.
Quentin Massonnat
Quentin Massonnat AI Tech Lead
Il conçoit l'architecture des systèmes d'IA de nos clients, journalisation des décisions et point de contrôle humain compris, et encadre les développements jusqu'à la mise en production.
Surya Ambrose
Surya Ambrose Head of Engineering
Engineering Manager pendant quatre ans et demi dans une FinTech régulée par l'AMF, il structure les pratiques d'ingénierie de Galadrim : tests, traçabilité des livraisons et documentation, exactement ce dont un dossier technique se nourrit.
Côme Lassarat
Côme Lassarat Ingénieur IA et Infrastructure
Il construit les fondations data et les architectures d'hébergement - connecteurs, entrepôts, migrations - et déploie les modèles auto-hébergés quand les données ne peuvent pas sortir de l'Union.

Galadrim recense vos systèmes d'IA, les qualifie au regard de l'AI Act et conduit leur mise en conformité.

Échanger avec un expert
[FAQ]

Quelques questions fréquentes sur l'AI Act

Très probablement. Le règlement vise tout fournisseur, déployeur, importateur ou distributeur de système d'IA dans l'Union, et il s'applique aussi aux organisations établies hors de l'Union dès lors que le résultat produit y est utilisé. Si vous exploitez un outil de tri de candidatures, un scoring, un chatbot client, un copilote interne ou un générateur de contenu, ou si vos équipes appellent ChatGPT, Claude ou Mistral dans leur travail, vous êtes déployeur au sens du règlement.
Les pratiques interdites et la littératie IA s'appliquent depuis le 2 février 2025, les obligations des modèles à usage général depuis le 2 août 2025, et les obligations de transparence de l'article 50 - dire qu'un interlocuteur est une machine, marquer les contenus générés, signaler un hypertrucage - depuis le 2 août 2026. Le Digital Omnibus, entré en vigueur le 27 juillet 2026, a en revanche reporté les obligations des systèmes à haut risque de l'annexe III au 2 décembre 2027, et au 2 août 2028 pour l'IA embarquée dans un produit déjà réglementé.
Il change le calendrier, pas la charge. Un recensement complet, la qualification de chaque système et la reprise de la documentation demandent plusieurs mois, et les deux nouvelles dates sont fermes : le Parlement et le Conseil ont écarté le déclenchement conditionné à la publication des normes harmonisées que proposait la Commission. Les obligations de transparence, elles, sont exigibles dès maintenant.
Le fournisseur développe un système d'IA et le met sur le marché ; le déployeur l'utilise dans un cadre professionnel sans l'avoir développé. Une entreprise qui construit un produit sur l'API d'un modèle bascule de déployeur à fournisseur dès lors qu'elle commercialise un système distinct sous son nom. Cette qualification est centrale : c'est elle qui détermine l'étendue de vos obligations.
L'annexe III liste huit domaines : biométrie, infrastructures critiques, éducation et formation professionnelle, emploi et gestion des travailleurs, accès aux services essentiels - crédit, assurance, aides sociales, secours -, répression, migration et contrôle aux frontières, administration de la justice et processus démocratiques. Un système relevant de l'annexe III peut être écarté du haut risque, mais l'appréciation doit être motivée et enregistrée dans la base européenne.
Pour une organisation qui identifie deux à cinq systèmes à haut risque, comptez quatre à sept mois entre le cadrage et la conformité documentée. Le délai s'allonge quand les usages hors du circuit de la DSI sont nombreux ou qu'aucune cartographie n'existe. Nous adaptons le rythme à vos échéances.
Vous avez un interlocuteur unique côté Galadrim, qui pilote la mission. Le cabinet partenaire intervient sur la qualification des rôles, les contrats avec vos fournisseurs et vos clients, l'articulation avec le RGPD, la propriété intellectuelle des contenus produits et le régime de responsabilité, en coordination avec nos équipes techniques. Vous n'avez pas deux prestataires à orchestrer.
Trois plafonds, retenus au montant le plus élevé des deux : 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 M€ ou 3 % pour les autres manquements - dont la transparence -, et 7,5 M€ ou 1 % pour des informations inexactes fournies aux autorités. Des plafonds réduits s'appliquent aux PME et aux petites entreprises de taille intermédiaire.
L'AI Act ne l'impose pas en tant que tel : ce sont le RGPD et, le cas échéant, votre réglementation sectorielle qui encadrent la localisation. En pratique la question se pose dès qu'un modèle externe traite des données personnelles ou sensibles. Selon le cas, nous anonymisons en amont de l'appel, hébergeons dans l'Union, ou déployons un modèle open source auto-hébergé - c'est ce que nous avons fait pour le Ministère des Armées.
[Nous contacter]

Concrétisons votre projet ensemble

Nous travaillons avec tous types de clients, dans tous les secteurs d’activité. Que vous soyez un entrepreneur ou à la direction d’une grande organisation, une équipe adaptée répondra à votre besoin.

Plus de 800 entreprises nous ont fait confiance pour créer leurs produits web, mobiles et IA

Votre demande

Nous vous recontacterons sous 1h.