AI Act ou NIST AI RMF : points communs et différences

AI Act et NIST AI RMF partagent 14 thèmes de contrôle sur 24 et 9 vérifications. 22 % des exigences de NIST AI RMF se prouvent avec des vérifications déjà utilisées par AI Act, 15 % dans l’autre sens.

EURèglementApplication progressive

AI Act

Comment mettre un système d'IA en conformité avec l'AI Act

33 exigencesProchain jalon 2 août 2027

USCadre volontaireVolontaire

NIST AI RMF

Comment appliquer le NIST AI RMF à vos systèmes d'IA

72 exigencesProchain jalon déc. 2026

14/24thèmes de contrôle communs

9vérifications communes

22 %des exigences NIST AI RMF couvertes par les preuves AI Act

15 %des exigences AI Act couvertes par les preuves NIST AI RMF

En un coup d’œil

	AI Act	NIST AI RMF
Juridiction	Union européenne	États-Unis (fédéral)
Nature	Règlement	Cadre volontaire
Statut	Application progressive	Volontaire
Contraignant	Oui	Non
Objet analysé	Système d'IA identique	Système d'IA identique
Champ	Fournisseurs, déployeurs, importateurs et distributeurs de systèmes d'IA ; fournisseurs de modèles GPAI.	Toute organisation qui conçoit, déploie ou utilise de l'IA.
Territorialité	Extraterritorial : s'applique dès que le système est mis sur le marché de l'UE ou que ses sorties y sont utilisées.	Sans portée territoriale ; référence de fait pour les acheteurs publics américains.
Sanctions	Jusqu'à 35 M€ ou 7 % du CA mondial (pratiques interdites) ; 15 M€ ou 3 % (autres obligations) ; 7,5 M€ ou 1 % (informations inexactes).	Aucune (volontaire). Levier : valeur refuge dans les lois d'États.
Axes de qualification	Niveau de risque AI Act, Rôle de l'organisation, Modèle à usage général	Niveau de risque interne (défini par l'organisation)
Rôles	Fournisseur, Déployeur, Fournisseur GPAI	Acteur IA
Exigences	33	72
Prochain jalon	2 août 2027, Haut risque Annexe I (produits réglementés) ; GPAI mis sur le marché avant août 2025	déc. 2026, Révision du RMF attendue

Thème par thème

nombre d’exigences par thème

AI ActNIST AI RMF

Gouvernance

Gouvernance & responsabilitésNIST AI RMF seul13

Inventaire & catégorisationNIST AI RMF seul2

2Maîtrise & compétencescommun2

3Gestion des risquescommun11

4Qualité & conformitéAI Act seul

Évaluation

1Pratiques interditesAI Act seul

2Analyses d'impactcommun6

1Équité & non-discriminationcommun1

1Données personnellescommun2

Conception

2Gouvernance des donnéesAI Act seul

8Documentation techniquecommun8

3Journalisation & traçabilitéAI Act seul

2Exactitude & robustessecommun11

2Cybersécuritécommun1

Impact environnementalNIST AI RMF seul1

Personnes & usage

5Transparence & informationcommun1

1Contenus synthétiquesAI Act seul

1Supervision humainecommun3

1Explication & recourscommun4

Cycle de vie & tiers

3Surveillance après déploiementcommun8

4Incidents & mesures correctivescommun6

4Autorités & enregistrementAI Act seul

2Tiers & chaîne de valeurcommun5

1Propriété intellectuelleAI Act seul

Points communs : une preuve, deux cadres

Code	Vérification	Exigences AI Act	Exigences NIST AI RMF
VER-003-01	Registre des risques documenté et à jour	EX-003	MEASURE-3.1 MEASURE-3.2
VER-008-01	Procédure d'escalade et d'arrêt d'urgence documentée	EX-008	GOVERN-3.2 MAP-3.5
VER-008-02	Système conçu pour permettre la supervision humaine (bouton arrêt, override)	EX-008	MANAGE-2.4
VER-008-03	Superviseurs compétents affectés au système	EX-008	GOVERN-3.2 MAP-3.5
VER-AUTO-05	Surveillance de la précision en opération	EX-009	MEASURE-4.3
VER-009-02	Précision et robustesse vérifiées et documentées	EX-009	MEASURE-2.3 MEASURE-2.5
VER-021-F-01	Plan de surveillance opérationnel	EX-021	MEASURE-2.4 MANAGE-2.2 MANAGE-4.1
VER-022-F-01	Procédure de réaction aux risques et incidents	EX-022	GOVERN-1.5 GOVERN-4.3 GOVERN-6.2 MANAGE-2.3 MANAGE-4.1 MANAGE-4.3
VER-022-D-01	Procédure de signalement des incidents graves	EX-022	GOVERN-1.5 GOVERN-4.3 GOVERN-6.2 MANAGE-2.3 MANAGE-4.1 MANAGE-4.3

Différences : exigences propres à chaque cadre

Exigences dont aucune vérification ne sert l’autre cadre : ce qu’il reste à faire en plus.

AI Act

EX-001

Maîtrise de l'IA Art. 4

EX-002

Pratiques interdites en matière d'IA Art. 5

EX-004

Données et gouvernance des données Art. 10

EX-005

Documentation technique Art. 11 + Annexe IV

EX-006

Enregistrement / journalisation Art. 12

EX-007

Transparence et fourniture d'informations aux déployeurs Art. 13

EX-010

Système de gestion de la qualité Art. 17

EX-011

Conservation de la documentation (10 ans) Art. 18

EX-012

Journaux générés automatiquement Art. 19

EX-013

Mesures correctives et devoir d'information Art. 20

EX-014

Coopération avec les autorités compétentes Art. 21 + Art. 26§12

EX-015

Déclaration UE de conformité Art. 47

EX-016

Marquage CE Art. 48

EX-017

Enregistrement dans la base de données de l'UE Art. 49

EX-018

Obligations de transparence (tous systèmes) Art. 50

EX-019

Analyse d'impact protection des données (DPIA) Art. 26§9

EX-020

Analyse d'impact sur les droits fondamentaux (FRIA) Art. 27

EX-023

Accessibilité Art. 16(l)

EX-024

Évaluation de la conformité Art. 43

EX-025

Désignation d'un mandataire (hors UE) Art. 22

EX-026

Responsabilités le long de la chaîne de valeur Art. 25

EX-027

Usage conforme Art. 26§1

EX-028

Données d'entrée Art. 26§4

EX-029

Information des personnes concernées Art. 26§11

EX-030

Information des représentants du personnel Art. 26§7

EX-031

Obligations des fournisseurs de modèles GPAI Art. 53

EX-032

Obligations GPAI à risque systémique Art. 55

EX-033

Droit à l'explication des décisions individuelles Art. 86

NIST AI RMF

GOVERN-1.1

Les exigences légales et réglementaires relatives à l'IA sont comprises, gérées et documentées. GOVERN

GOVERN-1.2

Les caractéristiques d'une IA digne de confiance sont intégrées aux politiques, processus, procédures et pratiques de l'organisation. GOVERN

GOVERN-1.3

Des processus, procédures et pratiques sont en place pour déterminer le niveau nécessaire d'activités de gestion des risques en fonction de la tolérance au risque de l'organisation. GOVERN

GOVERN-1.4

Le processus de gestion des risques et ses résultats sont établis au moyen de politiques, procédures et autres contrôles transparents, fondés sur les priorités de risque de l'organisation. GOVERN

GOVERN-1.6

Des mécanismes sont en place pour inventorier les systèmes d'IA et sont dotés de ressources selon les priorités de risque de l'organisation. GOVERN

GOVERN-1.7

Des processus et procédures sont en place pour mettre hors service et retirer progressivement les systèmes d'IA de manière sûre, sans accroître les risques ni diminuer la fiabilité de l'organisation. GOVERN

GOVERN-2.1

Les rôles, responsabilités et lignes de communication relatifs à la cartographie, à la mesure et à la gestion des risques liés à l'IA sont documentés et clairs pour les individus et les équipes dans toute l'organisation. GOVERN

GOVERN-2.2

Le personnel et les partenaires de l'organisation reçoivent une formation à la gestion des risques liés à l'IA afin de leur permettre d'exercer leurs missions et responsabilités conformément aux politiques, procédures et accords applicables. GOVERN

GOVERN-2.3

La direction exécutive de l'organisation assume la responsabilité des décisions relatives aux risques associés au développement et au déploiement des systèmes d'IA. GOVERN

GOVERN-3.1

La prise de décision relative à la cartographie, à la mesure et à la gestion des risques liés à l'IA tout au long du cycle de vie s'appuie sur une équipe diversifiée (p. ex. diversité démographique, disciplinaire, d'expérience, d'expertise et de parcours). GOVERN

GOVERN-4.1

Des politiques et pratiques organisationnelles sont en place pour favoriser un esprit critique et une culture de la sécurité avant tout dans la conception, le développement, le déploiement et les usages des systèmes d'IA, afin de minimiser les impacts négatifs potentiels. GOVERN

GOVERN-4.2

Les équipes de l'organisation documentent les risques et impacts potentiels de la technologie d'IA qu'elles conçoivent, développent, déploient, évaluent et utilisent, et communiquent plus largement sur ces impacts. GOVERN

GOVERN-5.1

Des politiques et pratiques organisationnelles sont en place pour recueillir, prendre en compte, prioriser et intégrer les retours des personnes extérieures à l'équipe ayant développé ou déployé le système d'IA, concernant les impacts individuels et sociétaux potentiels liés aux risques de l'IA. GOVERN

GOVERN-5.2

Des mécanismes sont établis pour permettre à l'équipe ayant développé ou déployé les systèmes d'IA d'intégrer régulièrement, dans la conception et la mise en œuvre du système, les retours arbitrés des acteurs pertinents de l'IA. GOVERN

GOVERN-6.1

Des politiques et procédures sont en place pour traiter les risques liés à l'IA associés aux entités tierces, y compris les risques d'atteinte à la propriété intellectuelle ou à d'autres droits d'un tiers. GOVERN

MAP-1.1

Les finalités prévues, les usages potentiellement bénéfiques, les lois propres au contexte, les normes et attentes, ainsi que les cadres prospectifs dans lesquels le système d'IA sera déployé sont compris et documentés. Les considérations incluent : l'ensemble ou les types spécifiques d'utilisateurs et leurs attentes ; les impacts positifs et négatifs potentiels des usages du système pour les individus, les communautés, les organisations, la société et la planète ; les hypothèses et limites associées quant aux finalités, usages et risques du système d'IA tout au long du cycle de vie de développement ou de produit ; ainsi que les métriques TEVV et système associées. MAP

MAP-1.2

Les acteurs, compétences, savoir-faire et capacités interdisciplinaires de l'IA mobilisés pour établir le contexte reflètent une diversité démographique et une large expertise du domaine et de l'expérience utilisateur, et leur participation est documentée. Les occasions de collaboration interdisciplinaire sont priorisées. MAP

MAP-1.3

La mission de l'organisation et les objectifs pertinents pour la technologie d'IA sont compris et documentés. MAP

MAP-1.4

La valeur métier ou le contexte d'usage métier a été clairement défini ou – dans le cas de l'évaluation de systèmes d'IA existants – réévalué. MAP

MAP-1.5

Les tolérances au risque de l'organisation sont déterminées et documentées. MAP

MAP-1.6

Les exigences du système (p. ex. « le système doit respecter la vie privée de ses utilisateurs ») sont recueillies auprès des acteurs pertinents de l'IA et comprises par eux. Les décisions de conception tiennent compte des implications socio-techniques pour traiter les risques liés à l'IA. MAP

MAP-2.1

Les tâches spécifiques et les méthodes employées pour les mettre en œuvre, que le système d'IA prendra en charge, sont définies (p. ex. classifieurs, modèles génératifs, systèmes de recommandation). MAP

MAP-2.2

Les informations relatives aux limites de connaissance du système d'IA et à la manière dont ses sorties peuvent être utilisées et supervisées par des humains sont documentées. La documentation fournit des informations suffisantes pour aider les acteurs pertinents de l'IA à prendre des décisions et à mener les actions qui en découlent. MAP

MAP-2.3

Les considérations d'intégrité scientifique et de TEVV sont identifiées et documentées, y compris celles relatives à la conception expérimentale, à la collecte et à la sélection des données (p. ex. disponibilité, représentativité, adéquation), à la fiabilité du système et à la validation des construits. MAP

MAP-3.1

Les bénéfices potentiels des fonctionnalités et performances prévues du système d'IA sont examinés et documentés. MAP

MAP-3.2

Les coûts potentiels, y compris non monétaires, résultant d'erreurs d'IA attendues ou avérées ou de la fonctionnalité et de la fiabilité du système – en lien avec la tolérance au risque de l'organisation – sont examinés et documentés. MAP

MAP-3.3

Le périmètre d'application visé est spécifié et documenté en fonction des capacités du système, du contexte établi et de la catégorisation du système d'IA. MAP

MAP-3.4

Les processus relatifs à la maîtrise, par les opérateurs et praticiens, de la performance et de la fiabilité du système d'IA – ainsi que les normes techniques et certifications pertinentes – sont définis, évalués et documentés. MAP

MAP-4.1

Des approches de cartographie de la technologie d'IA et des risques juridiques de ses composants – y compris l'usage de données ou de logiciels tiers – sont en place, suivies et documentées, de même que les risques d'atteinte à la propriété intellectuelle ou à d'autres droits d'un tiers. MAP

MAP-4.2

Les contrôles de risque internes portant sur les composants du système d'IA, y compris les technologies d'IA tierces, sont identifiés et documentés. MAP

MAP-5.1

La probabilité et l'ampleur de chaque impact identifié (potentiellement bénéfique comme néfaste), établies à partir de l'usage attendu, des usages passés de systèmes d'IA dans des contextes similaires, des rapports d'incidents publics, des retours de personnes extérieures à l'équipe ayant développé ou déployé le système d'IA, ou d'autres données, sont identifiées et documentées. MAP

MAP-5.2

Des pratiques et des personnels destinés à soutenir un engagement régulier avec les acteurs pertinents de l'IA et à intégrer les retours sur les impacts positifs, négatifs et imprévus sont en place et documentés. MAP

MEASURE-1.1

Les approches et métriques de mesure des risques d'IA recensés lors de la fonction map sont sélectionnées pour mise en œuvre, en commençant par les risques d'IA les plus significatifs. Les risques ou caractéristiques de fiabilité qui ne seront pas – ou ne peuvent pas – être mesurés sont dûment documentés. MEASURE

MEASURE-1.2

La pertinence des métriques d'IA et l'efficacité des contrôles existants sont régulièrement évaluées et mises à jour, y compris les signalements d'erreurs et les impacts potentiels sur les communautés concernées. MEASURE

MEASURE-1.3

Des experts internes n'ayant pas participé au développement de première ligne du système et/ou des évaluateurs indépendants sont associés aux évaluations et mises à jour régulières. Des experts du domaine, des utilisateurs, des acteurs de l'IA extérieurs à l'équipe ayant développé ou déployé le système, ainsi que les communautés concernées, sont consultés à l'appui des évaluations, selon les besoins et la tolérance au risque de l'organisation. MEASURE

MEASURE-2.1

Les jeux de test, les métriques et les détails relatifs aux outils utilisés lors du TEVV sont documentés. MEASURE

MEASURE-2.2

Les évaluations impliquant des sujets humains respectent les exigences applicables (y compris la protection des sujets humains) et sont représentatives de la population concernée. MEASURE

MEASURE-2.6

Le système d'IA est évalué régulièrement au regard des risques de sécurité (safety) – tels qu'identifiés dans la fonction map. Il est démontré que le système à déployer est sûr, que son risque négatif résiduel n'excède pas la tolérance au risque et qu'il peut défaillir de manière sûre, en particulier s'il est amené à fonctionner au-delà de ses limites de connaissance. Les métriques de sécurité reflètent la fiabilité et la robustesse du système, la surveillance en temps réel et les temps de réponse en cas de défaillance. MEASURE

MEASURE-2.7

La sécurité (security) et la résilience du système d'IA – telles qu'identifiées dans la fonction map – sont évaluées et documentées. MEASURE

MEASURE-2.8

Les risques associés à la transparence et à la redevabilité – tels qu'identifiés dans la fonction map – sont examinés et documentés. MEASURE

MEASURE-2.9

Le modèle d'IA est expliqué, validé et documenté, et les sorties du système d'IA sont interprétées dans leur contexte – tel qu'identifié dans la fonction map – afin d'éclairer un usage et une gouvernance responsables. MEASURE

MEASURE-2.10

Le risque d'atteinte à la vie privée du système d'IA – tel qu'identifié dans la fonction map – est examiné et documenté. MEASURE

MEASURE-2.11

L'équité et les biais – tels qu'identifiés dans la fonction map – sont évalués et les résultats sont documentés. MEASURE

MEASURE-2.12

L'impact environnemental et la durabilité des activités d'entraînement et de gestion du modèle d'IA – tels qu'identifiés dans la fonction map – sont évalués et documentés. MEASURE

MEASURE-2.13

L'efficacité des métriques et processus TEVV employés dans la fonction measure est évaluée et documentée. MEASURE

MEASURE-3.3

Des processus de retour permettant aux utilisateurs finaux et aux communautés impactées de signaler des problèmes et de contester les résultats du système sont établis et intégrés aux métriques d'évaluation du système d'IA. MEASURE

MEASURE-4.1

Les approches de mesure servant à identifier les risques d'IA sont reliées au(x) contexte(s) de déploiement et éclairées par la consultation d'experts du domaine et d'autres utilisateurs finaux. Les approches sont documentées. MEASURE

MEASURE-4.2

Les résultats de mesure relatifs à la fiabilité du système d'IA dans le(s) contexte(s) de déploiement et tout au long du cycle de vie de l'IA sont éclairés par les contributions d'experts du domaine et d'acteurs pertinents de l'IA afin de valider que le système fonctionne de manière constante et conforme aux intentions. Les résultats sont documentés. MEASURE

MANAGE-1.1

Une décision est prise quant à savoir si le système d'IA atteint ses finalités prévues et objectifs déclarés, et si son développement ou son déploiement doit se poursuivre. MANAGE

MANAGE-1.2

Le traitement des risques d'IA documentés est priorisé en fonction de l'impact, de la probabilité et des ressources ou méthodes disponibles. MANAGE

MANAGE-1.3

Les réponses aux risques d'IA jugés hautement prioritaires, tels qu'identifiés par la fonction map, sont élaborées, planifiées et documentées. Les options de réponse au risque peuvent inclure l'atténuation, le transfert, l'évitement ou l'acceptation. MANAGE

MANAGE-1.4

Les risques résiduels négatifs (définis comme la somme de tous les risques non atténués) pesant à la fois sur les acquéreurs en aval des systèmes d'IA et sur les utilisateurs finaux sont documentés. MANAGE

MANAGE-2.1

Les ressources nécessaires à la gestion des risques d'IA sont prises en compte – de même que des systèmes, approches ou méthodes alternatifs viables non fondés sur l'IA – afin de réduire l'ampleur ou la probabilité des impacts potentiels. MANAGE

MANAGE-3.1

Les risques et bénéfices liés à l'IA provenant de ressources tierces font l'objet d'une surveillance régulière, et des contrôles de risque sont appliqués et documentés. MANAGE

MANAGE-3.2

Les modèles pré-entraînés utilisés pour le développement font l'objet d'une surveillance dans le cadre de la surveillance et de la maintenance régulières du système d'IA. MANAGE

MANAGE-4.2

Des activités mesurables d'amélioration continue sont intégrées aux mises à jour du système d'IA et comprennent un engagement régulier avec les parties intéressées, y compris les acteurs pertinents de l'IA. MANAGE

Calendriers

PasséPrévu par le textePotentielÀ vérifier

21 avr. 2021AI Act · Proposition de la Commission

26 janv. 2023NIST AI RMF · AI RMF 1.0

12 juil. 2024AI Act · Publication au JOUE

26 juil. 2024NIST AI RMF · Profil IA générative (NIST AI 600-1)

1 août 2024AI Act · Entrée en vigueur

2 févr. 2025AI Act · Pratiques interdites (Art. 5) et maîtrise de l'IA (Art. 4)

10 juil. 2025AI Act · Code de bonnes pratiques GPAI publié

23 juil. 2025NIST AI RMF · L'AI Action Plan demande une révision du cadre

2 août 2025AI Act · Obligations GPAI, gouvernance, sanctions, organismes notifiés

19 nov. 2025AI Act · Proposition Omnibus numérique : report du haut risque lié aux normes

2 août 2026AI Act · Application générale : Art. 50, bacs à sable, haut risque Annexe III (sauf report Omnibus)

déc. 2026NIST AI RMF · Révision du RMF attendue

2 août 2027AI Act · Haut risque Annexe I (produits réglementés) ; GPAI mis sur le marché avant août 2025

2 déc. 2027AI Act · Date butoir Omnibus pour le haut risque Annexe III

2 août 2028AI Act · Date butoir Omnibus pour le haut risque Annexe I

2 août 2030AI Act · Systèmes à haut risque des autorités publiques déjà en service (Art. 111)

Pilotez ces exigences sur tous vos systèmes d’IA

TrustFlow inventorie vos systèmes, les qualifie pour chaque réglementation et collecte les preuves une seule fois pour tous les référentiels.

Demander une démo