Quel est le meilleur logiciel de conformité à l'EU AI Act ?

Aucun produit n'est le meilleur pour tous les acheteurs. Ces logiciels se répartissent en quatre catégories (automatisation GRC, gouvernance de l'IA d'entreprise, observabilité des LLM et plans de contrôle à l'exécution), et beaucoup d'équipes réglementées en utilisent deux : un système de référence pour la gouvernance, et un moyen de contrôler et d'enregistrer ce que fait leur IA la plus risquée en production. Notez les candidats avec la grille d'évaluation de cette page.

Comment choisir un logiciel de conformité pour le RGPD et l'EU AI Act à la fois ?

Partez de vos rôles : responsable du traitement ou sous-traitant au sens du RGPD, fournisseur ou déployeur au sens de l'AI Act. Listez les obligations communes : analyses d'impact (AIPD et FRIA), intervention humaine sur les décisions automatisées (RGPD article 22, AI Act article 14), registres (RGPD article 30, AI Act articles 12 et 26, paragraphe 6) et information des personnes. Demandez ensuite à chaque éditeur de montrer un enregistrement qui sert les deux autorités, et vérifiez son contrat de sous-traitance au titre de l'article 28 du RGPD.

Où acheter un logiciel de conformité pour le RGPD et l'EU AI Act ?

Directement auprès de l'éditeur. Les outils d'observabilité comme Langfuse, LangSmith et Arize publient des tarifs en libre-service. Les plateformes GRC, de gouvernance de l'IA et de contrôle à l'exécution vendent sur devis. Avant de signer, demandez une région d'hébergement dans l'UE, un contrat de sous-traitance au titre de l'article 28 du RGPD, la liste des sous-traitants ultérieurs et un export complet de vos données en fin de contrat.

Combien coûte un logiciel de conformité RGPD et EU AI Act ?

Tarifs publiés en octobre 2026 : Langfuse Cloud de gratuit à 2 499 USD par mois, gratuit en auto-hébergement ; LangSmith Plus 39 USD par utilisateur et par mois ; Arize AX Pro 50 USD par mois. KLA commence par un SAFR Production Sprint de quatre semaines à partir de 5 000 EUR. Les plateformes GRC et de gouvernance de l'IA chiffrent par contrat : demandez l'unité de facturation (utilisateurs, référentiels, systèmes d'IA ou agents) et le prix de la deuxième année.

Quand s'appliquent les obligations à haut risque de l'EU AI Act ?

Le règlement (UE) 2026/1744, l'Omnibus numérique sur l'IA, a été publié au Journal officiel le 24 juillet 2026 et est en vigueur depuis le 27 juillet 2026. Il reporte au 2 décembre 2027 les obligations des systèmes à haut risque autonomes de l'annexe III, la FRIA de l'article 27 et l'enregistrement de l'article 49, et au 2 août 2028 l'IA à haut risque intégrée aux produits de l'annexe I. Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026 ; le délai de grâce pour le marquage des contenus générés par l'IA prend fin le 2 décembre 2026.

KLA a-t-il un intérêt commercial dans ce guide ?

Oui. KLA publie ce guide et vend KLA Control Plane, un plan de contrôle à l'exécution. Les autres éditeurs sont décrits à partir de leurs propres pages publiques, vérifiées en octobre 2026. Le guide ne classe pas les éditeurs.

Guide d'achat

Best EU AI Act compliance software 2026: A buyer's guide

Mis à jour en octobre 2026. Les logiciels de conformité à l'EU AI Act se répartissent en quatre catégories : automatisation GRC, gouvernance de l'IA d'entreprise, observabilité des LLM et plans de contrôle à l'exécution. Comment choisir, où acheter et combien prévoir pour le RGPD et l'AI Act, avec les déclarations des éditeurs vérifiées en octobre 2026 et une grille d'évaluation.

Réponse courte

Choisissez selon la tâche. L'automatisation GRC (Vanta, Drata, Secureframe) mène le RGPD et l'AI Act dans un même programme. La gouvernance de l'IA d'entreprise (OneTrust, Credo AI, Holistic AI, IBM watsonx.governance) tient l'inventaire IA et les analyses d'impact. L'observabilité des LLM sert l'ingénierie. Un plan de contrôle à l'exécution retient les actions à haut risque pour approbation et enregistre les preuves. KLA, éditeur de ce guide, vend cette dernière catégorie.

Pour les entreprises

Utilisez une plateforme de gouvernance IA d’entreprise (OneTrust, Credo AI, Holistic AI) comme système de référence pour la découverte et les évaluations d’impact, puis ajoutez un plan de contrôle à l’exécution (KLA) pour appliquer et documenter la supervision humaine des Processes à haut risque.

Pour les startups

Si l’IA est un référentiel parmi SOC 2, ISO 27001 et RGPD, une plateforme GRC (Vanta, Drata) est le point de départ le moins coûteux. Si vous livrez un produit IA à haut risque ou agentique, privilégiez un plan de contrôle à l’exécution qui fournit des preuves prêtes pour l’audit sur les décisions exposées au risque réglementaire.

Pour RGPD et EU AI Act

Associez un système de référence de gouvernance à un plan de contrôle à l’exécution. Une même traçabilité des décisions automatisées et de la supervision humaine sert l’autorité de protection des données (articles 22 et 35 du RGPD) et l’autorité de surveillance du marché (articles 14 et 27 de l’AI Act).

Déclaration d'intérêt : KLA publie ce guide et vend KLA Control Plane, qui relève de la catégorie des plans de contrôle à l'exécution. Nous décrivons les autres éditeurs à partir de leurs propres pages produit et tarifs, vérifiées en octobre 2026, et nous citons chaque source. Le guide regroupe les produits selon leur tâche et ne les classe pas.

« Logiciel de conformité IA » recouvre quatre types de produits : automatisation GRC, gouvernance de l'IA d'entreprise, observabilité des LLM et des agents, et plans de contrôle à l'exécution. Les frontières ont bougé en 2026. Drata et Vanta annoncent des produits de gouvernance des agents, et OneTrust et Holistic AI décrivent le blocage ou l'escalade d'actions d'agents à l'exécution. Servez-vous des catégories pour fixer la tâche, puis testez chaque éditeur sur cette tâche.

Les échéances sont désormais du droit en vigueur. L'Omnibus numérique sur l'IA a été publié au Journal officiel sous la référence règlement (UE) 2026/1744 le 24 juillet 2026 et est en vigueur depuis le 27 juillet 2026. Les systèmes à haut risque autonomes (annexe III) doivent être conformes à partir du 2 décembre 2027, et l'IA à haut risque intégrée à des produits réglementés (annexe I) à partir du 2 août 2028. Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026 ; le délai de grâce pour le marquage des contenus générés par l'IA prend fin le 2 décembre 2026.

La première norme harmonisée est aussi en place. Le 14 octobre 2026, la Commission a cité l'EN 18286:2026, la norme de système de management de la qualité, au Journal officiel (décision d'exécution (UE) 2026/2274). Les fournisseurs qui l'appliquent bénéficient d'une présomption de conformité pour les exigences de l'article 17 qu'elle couvre. Voir ce que la citation change pour l'article 17.

En bref

Désignez d'abord votre système de référence: généralement une plateforme de gouvernance IA d'entreprise, ou une plateforme GRC si l'IA s'inscrit dans un programme plus large. Décidez ensuite si vos flux de travail les plus à risque nécessitent aussi une couche de gouvernance runtime pour appliquer et prouver la décision réelle. La plupart des déployeurs en environnement réglementé finissent par utiliser les deux, car un registre de gouvernance et une preuve d'exécution au niveau du dossier sont deux choses différentes.

Dernière mise à jour: 20 octobre 2026 · Version v3.0 · Pas d'avis juridique.

Ouvrir les comparatifs Checklist dossier de preuves

Réponse citable

Objet de citation

Sources principales

Actualité: 20 octobre 2026

Comment KLA Control Plane met ce contrôle en œuvre

Capacité: /platform/live-intercepts
Référence technique: /resources/evidence-room-sample
Ressource pratique: Sélecteur de logiciels EU AI Act

Le verdict

La réponse en 30 secondes

Les quatre catégories en un coup d'œil (déclarations des éditeurs vérifiées en octobre 2026)
Catégorie	Tâche principale	Exemples	Meilleure adéquation avec l'EU AI Act	À tester	Choisissez-la quand
Automatisation GRC	Mener la conformité IA dans un programme multi-référentiels qui couvre déjà le RGPD	Vanta, Drata, Secureframe	Pilotage du programme, inventaires, preuves transverses (SOC 2, ISO 27001, ISO 42001, RGPD, AI Act)	La gouvernance des agents est récente : Vanta indique une liste d'attente, Drata une disponibilité limitée	L'IA est un domaine de risque parmi d'autres et vous voulez un seul outil pour tous
Gouvernance de l'IA d'entreprise	Un système de référence pour l'IA : découverte, classification, analyses d'impact	OneTrust, Credo AI, Holistic AI, IBM watsonx.governance	Articles 9 et 11, analyses d'impact, gouvernance transverse	Les environnements d'exécution pris en charge par l'application des règles, et la façon dont une approbation humaine est enregistrée	Vous avez besoin d'une gouvernance structurée sur un large portefeuille de systèmes d'IA
Observabilité des LLM et des agents	Tracer, évaluer et surveiller les applications LLM	LangSmith, Langfuse, Arize AI	Journaux d'ingénierie utiles pour l'article 12 et les tests de l'article 15	Durée de conservation, format d'export et qui peut modifier une trace	L'ingénierie doit déboguer et évaluer des modèles et des agents
Plan de contrôle à l'exécution	Évaluer chaque action d'agent à fort enjeu avant son exécution, la retenir pour approbation humaine et enregistrer des preuves vérifiables	KLA (éditeur de ce guide)	Supervision de l'article 14, enregistrements de l'article 12 avec contrôle d'intégrité, preuves de l'annexe IV pour les workflows gouvernés	Frameworks d'agents et voies d'intégration pris en charge	Des agents prennent des actions à haut risque et vous devez montrer à un auditeur qui a approuvé quoi

RGPD et AI Act ensemble : choisir, acheter, budgéter

Le RGPD et l'AI Act demandent des registres qui se recoupent. Un système d'IA qui utilise des données personnelles pour prendre ou préparer des décisions sur des personnes exige souvent une analyse d'impact relative à la protection des données (AIPD, article 35 du RGPD). Si le système est à haut risque, le déployeur peut aussi devoir réaliser une analyse d'impact sur les droits fondamentaux (FRIA, article 27 de l'AI Act) à partir du 2 décembre 2027. L'article 26, paragraphe 9, demande aux déployeurs d'utiliser la notice d'utilisation du fournisseur (article 13) pour leur AIPD, et l'article 27, paragraphe 4, prévoit que la FRIA complète une AIPD qui couvre déjà une partie de ses points. Un logiciel pour les deux textes doit tenir une seule description du système et une seule chaîne de preuves derrière les deux analyses.

Choisir. (1) Notez vos rôles : responsable du traitement ou sous-traitant au sens du RGPD, fournisseur ou déployeur au sens de l'AI Act. (2) Repérez dans le tableau ci-dessous les obligations qui vous concernent. (3) Demandez à chaque éditeur de montrer un enregistrement qui sert une autorité de protection des données et une autorité de surveillance du marché, par exemple une décision automatisée revue, avec le relecteur, les informations affichées et le résultat. (4) Notez les réponses avec la grille d'évaluation.

Acheter. Tous les éditeurs de ce guide vendent en direct. Langfuse, LangSmith et Arize publient des offres en libre-service ; les plateformes GRC, de gouvernance de l'IA et de contrôle à l'exécution travaillent sur devis. Avant de signer, demandez une région d'hébergement dans l'UE, un contrat de sous-traitance au titre de l'article 28 du RGPD, la liste des sous-traitants ultérieurs, le mécanisme de transfert hors UE et un export complet de vos données si vous partez.

Budgéter. Tarifs publiés en octobre 2026 : Langfuse Cloud Hobby gratuit, Core 29 USD, Pro 199 USD et Enterprise 2 499 USD par mois, gratuit en auto-hébergement ; LangSmith Developer gratuit et Plus 39 USD par utilisateur et par mois ; Arize AX Free et AX Pro 50 USD par mois. Le SAFR Production Sprint de KLA démarre à 5 000 EUR pour quatre semaines, et l'offre Production est facturée par application d'IA, modèle ou processus gouverné. L'usage au-delà du volume inclus est facturé à part. Pour les plateformes sur devis, demandez l'unité de facturation, le prix de la deuxième année et le coût des exports de sortie.

Les modifications du RGPD restent une proposition. La proposition Omnibus numérique de la Commission du 19 novembre 2025 (COM(2025) 837) modifierait une partie du RGPD. En octobre 2026, elle attendait une décision de commission au Parlement européen (procédure 2025/0360(COD)) : achetez donc selon le RGPD en vigueur. Le générateur AIPD et FRIA gratuit mène les deux analyses en une passe avec un registre des risques commun.

Où se rejoignent les obligations du RGPD et de l'AI Act, et ce que le logiciel doit conserver
Obligation	RGPD	EU AI Act	Ce que le logiciel doit conserver
Analyse d'impact	AIPD pour les traitements à risque élevé (art. 35)	FRIA pour certains déployeurs de systèmes de l'annexe III à partir du 2 déc. 2027 (art. 27) ; la FRIA complète une AIPD existante (art. 27, par. 4)	Une description du système, une liste des risques et une liste des responsables communes aux deux analyses
Décisions sur des personnes	Droits face aux décisions entièrement automatisées produisant des effets juridiques ou similaires, y compris l'intervention humaine (art. 22)	Supervision humaine des systèmes à haut risque (art. 14) ; les déployeurs désignent des personnes compétentes (art. 26, par. 2)	Chaque cas revu : relecteur, informations affichées, décision, horodatage
Registres	Registre des activités de traitement (art. 30)	Journaux automatiques (art. 12) ; les déployeurs conservent les journaux au moins six mois (art. 26, par. 6)	Un registre des traitements et des journaux par exécution avec une règle de conservation
Information des personnes	Information des personnes concernées (art. 13 et 14)	Transparence de l'article 50 depuis le 2 août 2026 ; les déployeurs de systèmes de l'annexe III informent les personnes concernées (art. 26, par. 11)	Versions des mentions et dates auxquelles chacune a été affichée
Informations du fournisseur	Le responsable du traitement s'appuie sur le contrat de sous-traitance (art. 28)	Les déployeurs utilisent la notice d'utilisation du fournisseur (art. 13) pour leur AIPD (art. 26, par. 9)	Documentation du fournisseur conservée avec l'AIPD et la FRIA

Ce que chaque éditeur dit faire (vérifié en octobre 2026)

Chaque ligne résume la page publique de l'éditeur. Ces pages changent souvent et décrivent les fonctions avec les mots de l'éditeur ; vérifiez la disponibilité et le périmètre en démonstration. KLA est l'éditeur de ce guide.

Lors d'un échange avec un acheteur, un cabinet de services professionnels qui crée de nombreux agents dans un outil low-code hébergé nous a demandé des approbations et des contrôles d'usage des outils pour des agents qui s'exécutent dans le cloud d'un autre éditeur. La question de conception était l'emplacement du point de contrôle. Le contrôle en ligne exige que chaque appel d'outil passe par le point de contrôle avant son exécution. Lire ensuite le journal d'audit de la plateforme d'agents ne permet que la détection. Demandez à chaque éditeur laquelle des deux options il propose pour votre plateforme d'agents.

Éditeur	Catégorie	Ce que décrit la page de l'éditeur	Disponibilité indiquée	Source
Vanta	Automatisation GRC	Modèles et contrôles ISO 42001 réutilisables pour l'EU AI Act. Un produit de gouvernance de l'IA qui recense agents, modèles, prompts et données, atteste les cas d'usage visés par l'EU AI Act et alerte en cas d'activité hors des limites approuvées.	Gouvernance de l'IA : liste d'attente	AI governance, ISO 42001
Drata	Automatisation GRC	Référentiel ISO 42001. AI Agent Governance découvre les agents, contrôle commandes et appels d'outils au regard des règles, bloque les violations avant exécution et journalise chaque décision de façon infalsifiable, avec correspondance vers ISO 42001, l'EU AI Act et AIUC-1.	Gouvernance des agents : disponibilité limitée	Agent governance, ISO 42001
Secureframe	Automatisation GRC	Référentiels pris en charge : ISO 42001, NIST AI RMF et EU AI Act, avec correspondance des contrôles, tests automatisés et preuves transverses.	Non indiquée	Framework offering
OneTrust	Gouvernance de l'IA d'entreprise	Inventaire des systèmes d'IA, agents, modèles, jeux de données et fournisseurs. Modèles pour l'EU AI Act, le NIST AI RMF et ISO 42001. Surveillance à l'exécution pour Amazon Bedrock et Microsoft Foundry. Application de garde-fous pouvant bloquer, autoriser, masquer, escalader ou réacheminer.	Non indiquée	AI governance
Credo AI	Gouvernance de l'IA d'entreprise	AI Registry pour les systèmes, agents, fournisseurs et modèles. Policy packs pour l'EU AI Act, le NIST AI RMF et ISO 42001. Surveillance via les outils d'observabilité connectés.	Agent Governor : préversion de recherche	credo.ai
Holistic AI	Gouvernance de l'IA d'entreprise	Découverte et inventaire. Contrôles alignés sur l'EU AI Act, le NIST AI RMF et ISO/IEC 42001. Tests de biais, d'hallucination et d'injection de prompt. Agents qui bloquent ou suspendent les actions d'agents non conformes.	Non indiquée	holisticai.com
IBM watsonx.governance	Gouvernance de l'IA d'entreprise	Gouvernance du cycle de vie, gestion des risques, détection de l'IA fantôme et application des règles. Cite l'EU AI Act parmi les référentiels pris en charge.	Essai de 14 jours	watsonx.governance
LangSmith	Observabilité	Traçage et évaluation des applications LLM et des agents. Cloud aux États-Unis ou dans l'UE, hybride, ou auto-hébergé avec Enterprise.	Developer gratuit ; Plus 39 USD par utilisateur et par mois	Pricing
Langfuse	Observabilité	Traçage et évaluation open source. Régions cloud aux États-Unis, dans l'UE et au Japon.	Auto-hébergement gratuit ; cloud de gratuit à 2 499 USD par mois	Pricing
Arize AI	Observabilité	Phoenix (open source) et Arize AX : traçage, évaluations, moniteurs et files d'annotation humaine.	AX Free ; AX Pro 50 USD par mois	Pricing
KLA (éditeur)	Plan de contrôle à l'exécution	Évalue chaque action d'agent proposée en allow, warn, require_approval ou block ; envoie les approbations vers Decision Desk ; exporte un Sealed Evidence Bundle avec une vérification indépendante.	SAFR Production Sprint à partir de 5 000 EUR	Tarifs

Arbre de décision

De quelle couche avez-vous réellement besoin ?

Faites correspondre le symptôme à la catégorie avant de comparer les fonctionnalités.

“Nous gérons SOC 2, ISO 27001 et GDPR, et l'IA est le prochain référentiel.”

Plateforme d'automatisation GRC

“Nous avons des dizaines de systèmes IA et aucun endroit unique pour les inventorier, les classifier et les évaluer.”

Plateforme de gouvernance IA d'entreprise

“Nos ingénieurs ont besoin de déboguer les instructions, la latence et le comportement des modèles.”

Observabilité LLM / agents

“Nous laissons un agent prendre des actions qui exigent un humain dans la boucle, et nous devrons le prouver à un régulateur.”

Couche de gouvernance runtime

“Plusieurs des situations ci-dessus sont vraies.”

Une petite stack : un système de référence pour la couverture, plus une couche runtime pour les décisions à haut risque

Exigences

Ce que l'EU AI Act exige réellement

Système de gestion des risques (Article 9) : identification et réduction continues des risques.

Système de gestion des risques (Article 9) : identification et réduction continues des risques.
Gouvernance des données (Article 10) : qualité, pertinence et contrôle des données utilisées.
Documentation technique (Article 11 + Annexe IV) : dossier technique complet du système IA.
Journalisation et tenue de registres (Article 12) : journaux automatiques des opérations du système.
Transparence (Article 13) : informations claires pour les déployeurs et opérateurs.
Supervision humaine (Article 14) : mécanismes permettant une intervention humaine effective.
Exactitude, robustesse, cybersécurité (Article 15) : exigences de performance et de sécurité.
Surveillance post-commercialisation (Article 72) : suivi continu après mise sur le marché ou déploiement.

Cartographie du marché

Les catégories d'outils que les acheteurs comparent vraiment

Plateformes GRC (Governance, Risk and Compliance)

Exemples: Vanta, Drata, Secureframe

Points forts

Gestion multi-référentiels (SOC 2, ISO 27001, RGPD et EU AI Act).
Collecte automatisée de preuves depuis l'infrastructure en nuage et les systèmes métier.
Flux de travail de politiques, documentation et rapports pour les équipes conformité.
Questionnaires fournisseurs, rapports de confiance et suivi de contrôles à grande échelle.
Visibilité consolidée sur le programme de conformité et les écarts.

Limites

Contrôles au niveau du flux de travail directement reliés à chaque action IA à haut risque.
Captures de preuves centrées sur les exécutions effectives des agents IA.
Files d’approbation humaines nativement intégrées à chaque chemin de décision.
Vérification indépendante de l'intégrité des dossiers de preuves remis aux auditeurs.

Idéal pour: Organisations qui gèrent plusieurs référentiels et veulent traiter l'EU AI Act comme une extension d'un programme de conformité plus large. Très pertinent lorsque l'IA est un composant du produit, pas tout le produit.

Couverture EU AI Act: Fort sur la documentation, la gestion de programme, l'inventaire et le suivi des contrôles. Plus variable sur la gouvernance à l’exécution de décisions IA spécifiques.

Plateformes de gouvernance IA

Exemples: OneTrust, Credo AI, Holistic AI, IBM watsonx.governance

Points forts

Inventaire et catalogage des systèmes IA.
Évaluations d'impact, audits de biais et notation des risques.
Cadres de politique pour une IA responsable et coordination de gouvernance.
Flux de travail structurés pour les propriétaires, juristes, conformité et métiers.
Bonne lisibilité portefeuille pour des dizaines ou centaines de systèmes IA.

Limites

Application de politiques directement dans le chemin d’exécution d’un agent.
Files d’approbation humaines reliées à des actions métier en temps réel.
Preuves tirées de décisions effectives, prêtes à être remises aux auditeurs.
Contrôle fin des dérogations, SLA de revue et preuve d’exécution action par action.

Idéal pour: Entreprises qui doivent structurer un programme de gouvernance IA, inventorier de nombreux systèmes et normaliser les évaluations de risque.

Couverture EU AI Act: Très utile pour les Articles 9, 10 et la gouvernance documentaire. Plus faible quand il faut démontrer l'exécution concrète d'une supervision humaine au titre de l'Article 14.

Plateformes d’observabilité LLM

Exemples: LangSmith, Langfuse, Arize AI

Points forts

Traçage, débogage et analyse détaillée des applications LLM.
Gestion des versions d’instructions, expérimentations et évaluations.
Suivi de performance, latence et coûts fournisseurs.
Gestion des jeux de données et instrumentation pour les équipes d’ingénierie.
Très forte utilité pour améliorer qualité, fiabilité et exploitation au quotidien.

Limites

Ces plateformes ne sont pas conçues pour produire des preuves de conformité : les journaux sont pensés pour les développeurs, pas pour les auditeurs.
Il n'existe ni flux de travail d'approbation humaine, ni sorties de documentation de conformité.
Il n'y a aucune vérification d'intégrité sur laquelle un examinateur externe puisse s'appuyer.

Idéal pour: Équipes d’ingénierie qui conçoivent, testent et exploitent des applications LLM. Excellent pour la qualité technique, pas comme couche de conformité à lui seul.

Couverture EU AI Act: Peut contribuer à l'Article 12 via la journalisation, mais ces journaux sont pensés pour le débogage et l'exploitation, pas pour la remise directe à un auditeur.

Plans de contrôle de gouvernance à l’exécution

Exemples: KLA (éditeur de ce guide)

Points forts

Application de politiques au moment exact de la décision.
Files d’approbation humaine avec escalade, SLA et dérogation.
Capture de preuves reliée à des exécutions IA réelles.
Dossiers de preuves vérifiables avec manifeste, sommes de contrôle et logique de remise à l’audit.
Contrôles au niveau du flux de travail pour les actions les plus sensibles.

Limites

Ce n'est pas un outil GRC multi-référentiels ni un orchestrateur de gouvernance à l'échelle de l'entreprise.
Ce n'est pas une suite d'observabilité de développement, et elle ne réalise ni entraînement ni expérimentation de modèles.
C'est la couche dédiée à la décision, pas au programme qui l'entoure.

Idéal pour: Organisations qui déploient des agents IA sur des décisions à fort enjeu et doivent prouver, flux de travail par flux de travail, comment la gouvernance a été appliquée.

Couverture EU AI Act: Très pertinent pour l'Article 14 (supervision humaine), l'Article 12 (journaux exploitables) et la génération de preuves mappées à l'Annexe IV.

Carte de couverture

Quelle obligation chaque couche couvre-t-elle ?

Principales obligations à haut risque mappées à la couche qui aide principalement
Obligation réglementaire	Ce qu’elle exige	Couche qui aide principalement
Gestion des risques (Art. 9)	Identification et réduction continues des risques	Plateforme de gouvernance
Gouvernance des données (Art. 10)	Normes de qualité pour les données d'entraînement et de validation	Plateforme de gouvernance
Documentation technique (Art. 11 + Annexe IV)	Documentation complète du système	Plateforme de gouvernance + preuves d’exécution
Tenue de registres (Art. 12)	Journalisation automatique des opérations du système	Couche de gouvernance runtime (qualité auditeur) / observabilité (logs développeur)
Transparence envers les déployeurs (Art. 13)	Informations claires pour les déployeurs	Plateforme de gouvernance
Supervision humaine (Art. 14)	Mécanismes de surveillance et d'intervention humaines	Couche de gouvernance runtime
Exactitude, robustesse, cybersécurité (Art. 15)	Normes de performance et de sécurité	Observabilité + plateforme de gouvernance
Système de gestion de la qualité (Art. 17)	Un SGQ documenté pour les fournisseurs	Plateforme GRC / de gouvernance
Surveillance post-commercialisation (Art. 72)	Surveillance continue après le déploiement	Couche de gouvernance runtime + plateforme de gouvernance
Signalement des incidents (Art. 73)	Signalement des incidents graves	Plateforme de gouvernance + preuves runtime

Sélection

Comment évaluer les fournisseurs

Rôle et périmètre

Sachez clairement si vous achetez pour un fournisseur, un déployeur, ou les deux, et si cet outil est votre système de référence ou une couche spécialisée.

À rechercher

Clarté sur les responsabilités respectives du fournisseur et du déployeur.
Prise en charge de votre modèle de gouvernance entre les équipes juridiques, conformité et ingénierie.
Une réponse réaliste à la question de savoir si cet outil est votre système de référence principal ou une couche spécialisée.
Une vision claire de l'endroit où un autre outil est censé venir le compléter dans une stack à haut risque.

À demander

Quelles obligations de l'EU AI Act prenez-vous en charge pour les fournisseurs, les déployeurs, ou les deux ?
Êtes-vous le système de référence, la couche de contrôle à l’exécution, ou un complément à une autre plateforme ?
Où attendez-vous qu'un autre outil vous complète dans une stack à haut risque ?

Profondeur du contrôle à l’exécution

La plupart des fournisseurs revendiquent désormais une « gouvernance à l’exécution ». La vraie question est de savoir si cela signifie garde-fous et supervision, ou une véritable autorité sur une action métier.

À rechercher

Application de politique au moment de l'exécution.
Capacité à arrêter, réorienter ou exiger une approbation avant que l'action ne s'achève.
Intégration dans le chemin de décision, et pas seulement un flux de supervision en aval.
Une distinction claire entre posture à l’exécution, revue en aval et points d'approbation dans le flux.

À demander

Que se passe-t-il dans le produit lorsqu'une action à haut risque doit être bloquée en attente de revue ?
Prenez-vous en charge des approbateurs nommés, des chemins d'escalade et la capture des dérogations pour les actions métier ?
Quels contrôles sont en ligne, et lesquels relèvent de la supervision ou de la revue a posteriori ?

Preuves et préparation à l'audit

Les auditeurs ont besoin de preuves, pas de tableaux de bord. La qualité des preuves compte énormément.

À rechercher

Des preuves reliées à une exécution IA spécifique.
Une mise en correspondance claire avec les exigences documentaires de l'Annexe IV.
Des formats structurés exploitables par les auditeurs.
La complétude du dossier de preuves.

À demander

Pouvez-vous me montrer un exemple d'export de preuves relié à une exécution unique ?
Comment cela se mappe-t-il aux exigences de l'Annexe IV ?
Quel format un auditeur reçoit-il concrètement ?

Vérifiabilité indépendante

C'est le différenciateur le plus net : un auditeur peut-il faire confiance aux preuves, ou doit-il vous faire confiance à vous ?

À rechercher

Vérification cryptographique de l'intégrité.
Stockage rendant les altérations détectables.
Mécanismes de vérification indépendants.
Documentation de la chaîne de conservation.

À demander

Comment un auditeur peut-il vérifier que les preuves n'ont pas été modifiées ?
Le stockage rend-il les altérations détectables, avec une documentation de chaîne de conservation ?
La vérification peut-elle se faire sans se connecter à votre plateforme ?

Exploitation après la mise en production

La façon dont un produit se comporte une fois en production (sous pression de SLA, lors de changements de politique et sur une rétention pluriannuelle) est l'endroit où de nombreux outils faiblissent discrètement.

À rechercher

Des flux de travail d'approbation qui se dégradent proprement lorsqu'un relecteur manque un SLA.
Un processus défini pour la surveillance post-commercialisation, les incidents et les changements de politique.
Une rétention et un export de preuves pluriannuels.
La documentation des actions de supervision et des dérogations.

À demander

Comment les flux de travail d'approbation se comportent-ils lorsqu'un relecteur manque un SLA ?
Comment gérez-vous la surveillance post-commercialisation, les incidents et les changements de politique ?
À quoi ressemble la rétention des preuves sur plusieurs années ?

Grille d'évaluation

Copiez ce tableau dans un tableur, ajoutez une colonne par éditeur et remplissez-la à partir des démonstrations et des documents. Notez la source et la date de vérification, car les pages et la disponibilité changent. Notez chaque ligne 0 (non montré), 1 (décrit dans la documentation) ou 2 (montré en fonctionnement sur vos données).

Critère	Preuve à demander	Source et date de vérification	Note (0–2)
Adéquation des rôles	Rôles AI Act (fournisseur, déployeur) et RGPD (responsable, sous-traitant) pris en charge
AIPD et FRIA	Les deux analyses construites à partir d'une seule description du système (RGPD art. 35, AI Act art. 27)
Supervision humaine	Une approbation enregistrée d'une action à conséquences : relecteur, informations affichées, décision, horodatage
Contrôle à l'exécution	Une démonstration en direct d'une action retenue ou bloquée avant exécution, et ce que l'agent reçoit en retour
Journaux et conservation	Schéma des journaux, réglage de conservation et export d'une exécution (AI Act art. 12, 19, 26, par. 6)
Intégrité des preuves	Comment un relecteur externe vérifie qu'un export n'a pas été modifié, sans se connecter au produit
Correspondance avec les normes	Pour les fournisseurs : modèles de SMQ rattachés aux clauses de l'EN 18286:2026
Conditions de protection des données	Contrat au titre de l'art. 28 du RGPD, liste des sous-traitants ultérieurs, région d'hébergement UE, mécanisme de transfert
Coût	Unité de facturation, prix de la première et de la deuxième année, dépassements, export de sortie
Disponibilité	Si chaque fonction notée est disponible, en préversion ou sur liste d'attente

Cas d'usage

Recommandations par cas d'usage

Programme GRC large avec couverture de l'EU AI Act

Vanta, Drata ou OneTrust

Points forts

Efficacité multi-référentiels
Écosystème fournisseur établi
Rapports et pilotage du programme

Lacunes

Gouvernance à l’exécution plus variable selon le flux de travail IA exact
Preuves souvent plus proches de la configuration et du programme que de l'exécution fine d'une décision

Structure de gouvernance IA à l’échelle du portefeuille

Credo AI ou Holistic AI

Points forts

Cadres de gouvernance IA spécialisés
Méthodologies d’évaluation
Structuration des politiques et rôles

Lacunes

Contrôles à l’exécution moins profonds sur une action métier donnée
Preuves plus centrées sur les évaluations que sur les exécutions réelles

Observabilité et qualité technique des applications LLM

LangSmith, Langfuse ou Arize AI

Points forts

Très bonne expérience développeur
Débogage et instrumentation puissants
Visibilité performance/coût

Lacunes

Pas conçu comme couche de preuve de conformité à lui seul
Absence de flux de travail complets de gouvernance métier

Gouvernance de décision et preuves prêtes pour audit

KLA

Points forts

Gouvernance à l’exécution
Contrôles au moment de la décision
Exports de preuves vérifiables

Lacunes

Positionnement plus focalisé IA que plateforme GRC multi-référentiels
Nécessite une intégration dans le chemin d'exécution des agents IA

Besoin à la fois d’une large gouvernance d’entreprise et de preuves à l’exécution

OneTrust ou Vanta avec KLA

Points forts

Système de référence de gouvernance et preuves au niveau du flux de travail
Meilleure cohérence entre politiques, supervision et exécution en production
Posture plus défendable pour les flux de travail à haut risque

Lacunes

Coordination de mise en œuvre plus importante
Vous devez définir quel outil est responsable de chaque contrôle

Structure

Une pile de conformité réaliste

GRC multi-référentiels

Catégorie: Plateforme GRC

Exemple: Vanta ou OneTrust

Inventaire IA et évaluations

Catégorie: Plateforme de gouvernance IA

Exemple: Credo AI

Développement et débogage LLM

Catégorie: Plateforme d’observabilité

Exemple: LangSmith

Gouvernance à l’exécution et preuves

Catégorie: Plan de contrôle

Exemple: KLA

Calendrier

Calendrier pratique jusqu'aux nouvelles échéances

Maintenant (octobre 2026)

Terminer l'inventaire et la classification de vos systèmes d'IA.
Noter vos rôles : fournisseur ou déployeur au sens de l'AI Act, responsable ou sous-traitant au sens du RGPD.
Vérifier la transparence de l'article 50, applicable depuis le 2 août 2026.

D'ici le 2 décembre 2026

Achever le marquage lisible par machine des contenus générés par l'IA avant la fin du délai de grâce.
Vérifier vos systèmes au regard des nouvelles interdictions de l'article 5 applicables à cette date.

En 2027, jusqu'au 2 décembre 2027 (annexe III)

Finaliser la documentation technique, les procédures de supervision, la FRIA si elle est requise et les exports de preuves.
Fournisseurs : aligner le SMQ sur l'EN 18286:2026.
Mener un exercice de préparation à l'audit sur de vrais échantillons de workflows et des preuves conservées.

Jusqu'au 2 août 2028 (produits de l'annexe I)

Aligner les preuves AI Act sur l'évaluation de la conformité sectorielle du produit.
Valider la conservation, l'export et la surveillance après commercialisation (article 72).

Décision

La décision, en une ligne

Aucun produit ne couvre à lui seul la stratégie de gouvernance, les preuves des systèmes environnants, l'observabilité pour les développeurs et le contrôle à l'exécution au niveau des workflows. Désignez d'abord votre système de référence, puis décidez si vos workflows les plus risqués ont aussi besoin d'un plan de contrôle à l'exécution. Interrogez chaque éditeur sur trois points : la profondeur de son contrôle à l'exécution, la portabilité et la vérifiabilité de ses preuves, et les fonctions disponibles aujourd'hui.

Notre propre catégorie, dite simplement : KLA est une couche d'exécution qui s'ajoute à votre plateforme GRC ou de gouvernance de l'IA. KLA évalue chaque action d'agent proposée au regard des règles dans le chemin d'exécution, envoie les actions à fort enjeu en approbation humaine et scelle les preuves pour qu'un auditeur puisse les vérifier.

Si vous choisissez un système de référence, commencez par une plateforme de gouvernance. Si vous choisissez comment contrôler et enregistrer les actions d'IA à haut risque, réservez une démonstration ou consultez les tarifs.

FAQ

Questions fréquentes

Quel est le meilleur logiciel de conformité à l'EU AI Act ?: Aucun produit n'est le meilleur pour tous les acheteurs. Ces logiciels se répartissent en quatre catégories (automatisation GRC, gouvernance de l'IA d'entreprise, observabilité des LLM et plans de contrôle à l'exécution), et beaucoup d'équipes réglementées en utilisent deux : un système de référence pour la gouvernance, et un moyen de contrôler et d'enregistrer ce que fait leur IA la plus risquée en production. Notez les candidats avec la grille d'évaluation de cette page.
Comment choisir un logiciel de conformité pour le RGPD et l'EU AI Act à la fois ?: Partez de vos rôles : responsable du traitement ou sous-traitant au sens du RGPD, fournisseur ou déployeur au sens de l'AI Act. Listez les obligations communes : analyses d'impact (AIPD et FRIA), intervention humaine sur les décisions automatisées (RGPD article 22, AI Act article 14), registres (RGPD article 30, AI Act articles 12 et 26, paragraphe 6) et information des personnes. Demandez ensuite à chaque éditeur de montrer un enregistrement qui sert les deux autorités, et vérifiez son contrat de sous-traitance au titre de l'article 28 du RGPD.
Où acheter un logiciel de conformité pour le RGPD et l'EU AI Act ?: Directement auprès de l'éditeur. Les outils d'observabilité comme Langfuse, LangSmith et Arize publient des tarifs en libre-service. Les plateformes GRC, de gouvernance de l'IA et de contrôle à l'exécution vendent sur devis. Avant de signer, demandez une région d'hébergement dans l'UE, un contrat de sous-traitance au titre de l'article 28 du RGPD, la liste des sous-traitants ultérieurs et un export complet de vos données en fin de contrat.
Combien coûte un logiciel de conformité RGPD et EU AI Act ?: Tarifs publiés en octobre 2026 : Langfuse Cloud de gratuit à 2 499 USD par mois, gratuit en auto-hébergement ; LangSmith Plus 39 USD par utilisateur et par mois ; Arize AX Pro 50 USD par mois. KLA commence par un SAFR Production Sprint de quatre semaines à partir de 5 000 EUR. Les plateformes GRC et de gouvernance de l'IA chiffrent par contrat : demandez l'unité de facturation (utilisateurs, référentiels, systèmes d'IA ou agents) et le prix de la deuxième année.
Quand s'appliquent les obligations à haut risque de l'EU AI Act ?: Le règlement (UE) 2026/1744, l'Omnibus numérique sur l'IA, a été publié au Journal officiel le 24 juillet 2026 et est en vigueur depuis le 27 juillet 2026. Il reporte au 2 décembre 2027 les obligations des systèmes à haut risque autonomes de l'annexe III, la FRIA de l'article 27 et l'enregistrement de l'article 49, et au 2 août 2028 l'IA à haut risque intégrée aux produits de l'annexe I. Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026 ; le délai de grâce pour le marquage des contenus générés par l'IA prend fin le 2 décembre 2026.
La norme EN 18286 change-t-elle ce qu'il faut acheter ?: Le 14 octobre 2026, la Commission a publié au Journal officiel la référence de l'EN 18286:2026, la norme de système de management de la qualité pour l'AI Act (décision d'exécution (UE) 2026/2274). Les fournisseurs qui l'appliquent bénéficient d'une présomption de conformité au titre de l'article 40 pour les exigences de l'article 17 qu'elle couvre. Si vous êtes fournisseur, demandez aux éditeurs si leurs modèles de SMQ renvoient aux clauses de l'EN 18286.
KLA a-t-il un intérêt commercial dans ce guide ?: Oui. KLA publie ce guide et vend KLA Control Plane, un plan de contrôle à l'exécution. Les autres éditeurs sont décrits à partir de leurs propres pages publiques, vérifiées en octobre 2026. Le guide ne classe pas les éditeurs.

Liens

Liens connexes

Exigences et guide d’achat des logiciels d’audit des agents IA

/blog/ai-agent-audit-software-requirements-vendor-categories

Ouvrir

Amendes et sanctions de l’article 99

/blog/eu-ai-act-fines-article-99

Ouvrir

Outil interactif : quelle catégorie de logiciel vous faut-il ?

/tools/eu-ai-act-software-selector

Ouvrir

KLA pour les logiciels de conformité EU AI Act

/eu-ai-act-compliance-software

Ouvrir

KLA vs Vanta (GRC)

/compare/vanta

Ouvrir

KLA vs OneTrust (gouvernance IA)

/compare/onetrust

Ouvrir

KLA vs LangSmith (observabilité)

/compare/langsmith

Ouvrir

Outil gratuit : générateur de FRIA

/tools/fria-generator

Ouvrir

Outil gratuit : générateur d’AIPD et de FRIA (RGPD et AI Act)

/tools/dpia-fria-generator

Ouvrir

Outil gratuit : classificateur de systèmes IA à haut risque

/tools/risk-classifier

Ouvrir

Outil gratuit : déclaration d’applicabilité ISO 42001

/tools/iso-42001-soa

Ouvrir

Outil gratuit : contrôle de préparation AMLR 2027

/tools/amlr-readiness

Ouvrir

Outil gratuit : registre de l’article 30 de DORA

/tools/dora-article-30

Ouvrir

Control Mapping

/control-mapping

Ouvrir

Liste de contrôle du dossier de preuves

/resources/evidence-pack-checklist

Ouvrir

Lancer le pilote gouverné de 4 semaines

/book-demo

Ouvrir

Références

Sources documentaires

EUR-Lex : règlement (UE) 2024/1689 (règlement sur l'intelligence artificielle)

https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32024R1689

Ouvrir

EUR-Lex : règlement (UE) 2026/1744 (Omnibus numérique sur l'IA)

https://eur-lex.europa.eu/eli/reg/2026/1744/oj/fra

Ouvrir

EUR-Lex : décision d'exécution (UE) 2026/2274 (référence de l'EN 18286:2026)

https://eur-lex.europa.eu/eli/dec_impl/2026/2274/oj

Ouvrir

EUR-Lex : règlement (UE) 2016/679 (RGPD)

https://eur-lex.europa.eu/eli/reg/2016/679/oj/fra

Ouvrir

Parlement européen, Observatoire législatif : Omnibus numérique 2025/0360(COD)

https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025/0360(COD)

Ouvrir

BSI: EN 18286:2026 harmonized (14 October 2026)

https://www.bsigroup.com/en-GB/insights-and-media/media-centre/press-releases/2026/october/en-18286-2026-harmonized-a-significant-milestone-for-ai-act-compliance/

Ouvrir

European Commission: AI Act

https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai

Ouvrir

Vanta: AI governance

https://www.vanta.com/products/ai-governance

Ouvrir

Vanta: ISO 42001

https://www.vanta.com/products/iso-42001

Ouvrir

Drata: AI agent governance

https://drata.com/products/agent-governance