Mettre en œuvre l’AI Act et la KI-MIG

La loi allemande sur la surveillance du marché de l’IA et la promotion de l’innovation (KI-MIG) organise la supervision de l’AI Act en Allemagne. L’Agence fédérale des réseaux (Bundesnetzagentur) contrôle désormais si les entreprises respectent leurs obligations. Nous intégrons votre usage de l’IA dans un système de management auditable.

Inventaire IARecenser tous les systèmes d’IA utilisés ou développés en interne, y compris l’IA intégrée aux outils achetés.

Classification des risquesClassement selon l’AI Act : pratiques interdites, haut risque, obligations de transparence, risque minimal. Clarifier votre rôle de fournisseur ou de déployeur.

Maîtrise de l’IA selon l’Art. 4Concept de formation et preuves pour toutes les personnes qui utilisent ou supervisent des systèmes d’IA.

Gouvernance et référent IARôles, processus de validation et politiques. Sur demande, nous mettons à disposition un référent IA externalisé avec calendrier annuel des tâches. En savoir plus sur la gouvernance de l’IA

Système de management selon ISO/IEC 42001Un AIMS certifiable, articulé avec le SMSI et la protection des données. Les preuves valent aussi pour l’AI Act.

Fournisseurs et contratsÉvaluer les fournisseurs d’IA, vérifier les clauses contractuelles et les informations de transparence.

Ce qui s’applique aujourd’hui

Depuis le 02/02/2025Pratiques d’IA interdites et obligation de maîtrise de l’IA (Art. 4)

Depuis le 02/08/2025Obligations pour les modèles d’IA à usage général

Depuis le 29/07/2026Entrée en vigueur de la KI-MIG, avec l’Agence fédérale des réseaux (Bundesnetzagentur) comme autorité centrale de surveillance du marché

Supervision sectorielleBaFin pour les services financiers, autorités spécialisées pour les produits réglementés

AmendesJusqu’à 35 M€ ou 7 % du chiffre d’affaires annuel mondial

Les échéances applicables aux systèmes à haut risque sont en cours d’ajustement au niveau européen. La plateforme vous indique l’état en vigueur pour chaque système d’IA.

Dans la plateforme : registre IA, classification des risques par questionnaire, preuves de formation selon l’Art. 4, bibliothèque documentaire ISO 42001 de 20 documents en allemand et en anglais.

L’AI Act n’exige pas seulement des mesures ponctuelles, mais des responsabilités claires. La direction doit pouvoir prouver que l’usage de l’IA est piloté et surveillé. Nous construisons cette structure avec vous et la reproduisons dans la plateforme.

Organisation

Stratégie IA et politique IA validées par la direction
Modèle de rôles avec matrice RACI : direction, référent IA, métiers, IT, protection des données, sécurité de l’information
Comité IA pour les décisions de principe et les escalades
Attribution claire du rôle de fournisseur ou de déployeur pour chaque système d’IA

Processus

Processus de validation des nouvelles applications d’IA, de la demande à la mise en service
Analyse des risques et des impacts, si nécessaire analyse d’impact sur les droits fondamentaux (Art. 27) et AIPD
Contrôle humain selon l’Art. 14 et obligations des déployeurs selon l’Art. 26
Obligations de transparence selon l’Art. 50, par exemple pour les chatbots et les contenus générés par IA

Contrôle et preuve

Surveillance en exploitation et conservation des journaux
Gestion des incidents liés à l’IA et circuits de notification
Calendrier annuel des tâches du référent IA
Audits internes et rapport à la direction, intégrés au SMSI et à ISO/IEC 42001

Dans la plateforme : matrice des rôles, workflow de validation des applications d’IA, modèles de politiques, suivi des mesures et rapport de gouvernance pour la direction.

Analyse des risques IA pour la sécurité de l’information

Notre propre modèle de risques : identifier, évaluer et maîtriser les risques liés à l’IA, prêt pour l’audit

Les analyses de risques classiques du SMSI couvrent mal les scénarios d’IA. L’injection de prompts, les outils d’agents manipulés, les fuites de données via les copilotes ou la dérive des modèles en production manquent dans les catalogues de menaces habituels. Notre modèle comble cette lacune.

AUsage de l’IA générative par les collaborateursBApplications d’IA internes (LLM, RAG, agents)CChaîne d’approvisionnement IA et tiersDL’IA comme outil d’attaqueEGouvernance et exploitationFIA en production (sécurité OT)GIA agentique et assistants IAHProtection des données dans le cycle de vie de l’IAIIA intégrée aux SaaSJAuthenticité et identitéKIA dans les processus de sécuritéLDroit, gouvernance, dépendanceMCycle de vie de l’IA et traçabilité

Base de connaissances vérifiée

76 risques types, 58 menaces, 67 vulnérabilités et 70 mesures, appuyés sur 42 sources documentées. Votre temps sert à évaluer votre situation, pas à rassembler les bases.

Méthodologie

Chaîne de risque selon l’ISO 31000 et l’ISO/IEC 27005 : actif, menace, vulnérabilité, risque. Alignée sur l’OWASP Top 10 pour les applications LLM et agentiques, MITRE ATLAS, le NIST AI RMF et les guides du BSI, du NCSC-UK et de l’ENISA.

Résultats

Registre des risques vivant avec risque résiduel en temps réel, matrice de mesures référencée ISO/IEC 27001, ISO/IEC 42001 et IEC 62443, cartes de chaleur, rapport de résultats et présentation pour la direction, directement utilisables pour le SMSI, l’AIMS et NIS2.

Offres : BASIC – Quick check IA (6 domaines de risque, 3–4 jours de conseil) · STANDARD (12 domaines, 8–10 jours) · PREMIUM avec OT (les 13 domaines, 15–20 jours). Durée habituelle de 4 à 8 semaines.

Règlement européen sur l’IA et KI-MIG : utiliser l’IA en toute sécurité juridique