Audit EU AI Act CRM : checklist pour évaluer la conformité de votre stack IA

L'EU AI Act est entré en vigueur. Les obligations pour les systèmes IA à haut risque s'appliquent, et les amendes peuvent atteindre 30 millions d'euros ou 6 % du chiffre d'affaires mondial. Pourtant, la majorité des équipes commerciales n'ont pas encore commencé leur audit.

Cette checklist permet d'évaluer votre situation en 30 minutes. Vingt points. Cinq catégories. Un score final qui dit exactement où vous en êtes.

Ce que l'EU AI Act implique pour votre CRM

Votre CRM intègre de l'IA ? Vous êtes concerné, à des degrés divers selon comment cette IA prend des décisions.

Notre guide complet EU AI Act pour les équipes commerciales détaille les seuils de risque. En résumé : tout système qui score des prospects, prédit des comportements d'achat, ou automatise des décisions impactant des personnes physiques entre dans le périmètre.

Les 5 obligations concrètes pour les équipes commerciales : documentation, explicabilité, supervision humaine, qualité des données, gouvernance. Chacune a une traduction opérationnelle directe dans votre workflow.

Avant d'agir, il faut savoir où vous en êtes. C'est l'objet de cet audit.

La checklist 20 points

Catégorie 1 : Classification du risque

1. Avez-vous inventorié tous les systèmes IA utilisés dans votre processus commercial ? Pipeline de scoring, chatbots, enrichissement de données, analyse prédictive... tout ce qui prend des décisions ou émet des recommandations automatisées compte.

2. Pour chaque système IA, avez-vous déterminé le niveau de risque EU AI Act ? Haut risque : décisions qui affectent l'accès à des services ou influencent significativement des personnes. Risque limité : interaction humaine avec obligation de transparence.

3. Les décisions automatisées dans votre CRM sont-elles cartographiées ? Qui décide quoi ? Quel algorithme classe tel prospect ? Quelle règle exclut telle opportunité du pipeline ? Si vous ne pouvez pas répondre, c'est un gap réglementaire.

4. Disposez-vous d'un registre des systèmes IA avec dates de mise en production et fournisseurs ? Ce document est la base de tout audit externe. Sans lui, vous partez de zéro face à un contrôleur.

Catégorie 2 : Transparence et explicabilité

5. Vos algorithmes de scoring commercial peuvent-ils être expliqués en langage clair à un prospect ? "Votre score est de 34/100 parce que..." doit être faisable. Pas nécessairement automatique, mais possible sur demande.

6. Informez-vous vos prospects qu'ils sont évalués par un système IA ? La mention dans les CGV, la politique de confidentialité ou un document dédié : une obligation pour les systèmes à risque limité et élevé.

7. Vos équipes commerciales peuvent-elles contester ou corriger une décision IA ? La supervision humaine effective est un pilier de l'EU AI Act. Si le CRM dit "prospect froid" et que personne ne peut invalider cette décision, vous n'êtes pas conforme.

8. La documentation des critères de décision de chaque IA est-elle accessible en interne ? Pas d'abord pour les régulateurs. Pour vos équipes. Si elles ne comprennent pas pourquoi l'IA décide ainsi, elles ne peuvent pas la superviser.

Catégorie 3 : Qualité des données

9. Avez-vous documenté l'origine et la composition des données utilisées pour entraîner vos modèles IA ? Données propriétaires ? Tierces parties ? Mixtes ? La traçabilité est exigée pour les systèmes à haut risque.

10. Un audit de biais a-t-il été réalisé sur vos données de scoring ? Biais géographiques, sectoriels, par taille d'entreprise... Un modèle entraîné sur vos deals passés reproduit mécaniquement vos angles morts commerciaux. C'est un risque réglementaire et un risque business.

11. Un processus de validation et de mise à jour des données d'entraînement est-il en place ? Les données vieillissent. Un modèle entraîné en 2023 sur des données pré-inflation peut générer des scores décalés aujourd'hui. La réglementation exige une gouvernance active, pas un entraînement ponctuel.

12. Les données personnelles utilisées dans vos modèles respectent-elles le RGPD ? EU AI Act et RGPD se cumulent. Si vous utilisez des données personnelles pour entraîner un modèle de scoring, les deux règlements s'appliquent simultanément.

Catégorie 4 : Gouvernance humaine

13. Un responsable IA est-il désigné nommément dans votre organisation ? Pas forcément un poste dédié en PME, mais quelqu'un doit être nommément responsable. Sans nom, pas de responsabilité. Sans responsabilité, pas de conformité durable.

14. Les logs de décision IA sont-ils conservés avec une durée de rétention définie ? En cas de contestation, vous devez pouvoir reconstruire pourquoi l'IA a pris telle décision à telle date. Sans logs structurés, c'est impossible.

15. Un processus de contestation existe-t-il pour les prospects ou clients impactés par une décision IA ? "Je pense que votre IA s'est trompée sur mon dossier" doit avoir une réponse procédurale. Ce n'est pas anecdotique : c'est une obligation explicite pour les systèmes à haut risque.

16. Vos fournisseurs IA tiers ont-ils fourni une documentation de conformité EU AI Act ? Éditeur CRM, outils d'enrichissement, analytics prédictif... Vous restez responsable des systèmes IA que vous déployez. Si votre éditeur ne peut pas fournir de documentation, c'est votre problème aussi.

Catégorie 5 : Documentation et préparation à l'audit

17. Votre documentation technique sur chaque système IA est-elle à jour et accessible ? Architecture, flux de données, logique de décision, limites connues... Si ce n'est pas écrit, ce n'est pas conforme.

18. Un calendrier de revue périodique des systèmes IA est-il planifié ? La conformité n'est pas un événement ponctuel. Les modèles dérivent, les règlements évoluent, les usages changent. Une revue annuelle minimum est nécessaire.

19. Un processus de gestion des incidents IA est-il documenté ? Que se passe-t-il si votre IA génère une décision erronée qui cause un préjudice ? Qui est notifié, en combien de temps, avec quel correctif ? Ce scénario doit être préparé, pas improvisé.

20. Êtes-vous en mesure de présenter un dossier de conformité complet à un auditeur externe dans les 72 heures ? Le test ultime. Un régulateur peut demander accès rapidement. Si l'assemblage du dossier prendrait des semaines, vous n'êtes pas prêt.

Votre score de conformité

Comptez le nombre de réponses "oui" :

Score	Situation	Action recommandée
18-20	Conforme, prêt pour audit externe	Maintenance et veille réglementaire
14-17	Bon socle, gaps mineurs	Planifier les corrections dans les 60 jours
10-13	Exposition réglementaire significative	Plan d'action prioritaire immédiat
Moins de 10	Risque réglementaire critique	Mobilisation urgente, accompagnement recommandé

La majorité des entreprises qui utilisent un CRM avec IA scoring se situent entre 8 et 12. Pas parce qu'elles sont négligentes, mais parce que les outils commerciaux ont été construits pour la performance, pas pour la conformité réglementaire. Ce n'est pas un reproche. C'est un constat structurel.

Les trois gaps les plus fréquents

Après analyse des stacks commerciales typiques, trois points concentrent l'essentiel du retard.

La traçabilité des décisions IA (points 3, 14, 20). Les CRM traditionnels logguent les actions humaines mais rarement les décisions algorithmiques dans leur contexte complet. Pourquoi ce prospect a été scoré ainsi, à ce moment, avec quelles données d'entrée ? L'information n'existe souvent tout simplement pas. Et c'est précisément ce que les CRM traditionnels n'ont pas été conçus pour produire.

La supervision humaine effective (points 7, 13, 15). L'override existe en théorie. Dans la pratique, si l'IA dit que l'opportunité est froide et que le pipeline entier est organisé autour de ça, personne ne conteste. La gouvernance sur le papier ne vaut rien sans processus réel et culture de questionnement.

La documentation fournisseur (point 16). Les grands éditeurs CRM publient des engagements EU AI Act généraux. Ce n'est pas suffisant. Vous avez besoin d'une documentation spécifique aux modules IA que vous utilisez, avec les données utilisées pour les entraîner et les critères de décision appliqués.

Comment SymbiozAI aborde la conformité par conception

Nous avons construit SymbiozAI avec 17 agents IA actifs, 57 epics livrés, 195 sprints shippés. Chaque agent est documenté : rôle, données consommées, logique de décision, limites connues.

La conformité n'a pas été rajoutée après coup. Elle est dans l'architecture dès le départ.

Exemples concrets :

Explicabilité native. Le deal momentum est une règle transparente, pas un modèle opaque. Seuil : 21 jours sans activité ou moins de 3 touchpoints = attention requise. Chaque commercial comprend pourquoi une opportunité bascule. Il peut contester, corriger, override. C'est la supervision humaine effective en pratique.

Zéro saisie manuelle. L'EU AI Act exige la qualité des données d'entraînement. Quand toutes les données entrent par synchronisation automatique, le risque de données corrompues ou biaisées par erreur de saisie disparaît structurellement.

DISC profiling explicable. Les 4 profils (D/I/S/C) sont expliqués à l'équipe et servent de guide, pas d'oracle. L'humain adapte l'approche selon le contexte, l'IA suggère le cadrage initial. La décision reste humaine.

À 650 euros par mois de burn rate, nous n'avons pas le luxe de l'approximation. Chaque composant doit être justifiable. La conformité EU AI Act est un avantage compétitif quand elle est dans le produit. C'est un coût quand elle est boulonnée après.

Questions fréquentes

L'EU AI Act s'applique-t-il aux PME qui utilisent un CRM avec IA ?

Oui, si le CRM prend des décisions automatisées qui impactent des personnes physiques. L'obligation de transparence s'applique dès le premier système IA, quelle que soit la taille de l'entreprise. Les obligations de documentation complète concernent principalement les systèmes à haut risque.

Mon éditeur CRM est responsable à ma place, non ?

Non. Vous êtes "déployeur" du système IA au sens de l'EU AI Act. À ce titre, vous avez des obligations propres : superviser l'utilisation, informer les personnes concernées, conserver les logs de décision. La responsabilité est partagée entre éditeur et déployeur, pas déléguée entièrement à l'un des deux.

Un score de 10/20 signifie-t-il que je dois arrêter d'utiliser mon CRM IA ?

Non. Ça signifie que vous avez 10 gaps à combler. La plupart sont documentaires et organisationnels, pas techniques. Désigner un responsable IA, documenter les systèmes existants, établir un processus de log... Ces actions prennent quelques jours ou semaines, pas des mois de refonte.

Combien de temps pour atteindre la conformité en partant de zéro ?

Entre 4 et 12 semaines selon la complexité de votre stack. L'inventaire et la documentation initiale vont vite, 1 à 2 semaines. L'audit de biais et la mise en place des processus de gouvernance prennent plus de temps. Un accompagnement spécialisé réduit significativement ce délai.

La conformité EU AI Act n'est pas un projet IT. C'est un projet organisationnel avec une dimension technique. Les 20 points de cette checklist couvrent les deux dimensions. Commencez par l'inventaire des systèmes IA en place. C'est le seul moyen de savoir où vous en êtes vraiment.

Et si votre CRM ne peut pas répondre à la majorité de ces points, la question n'est pas "comment je me conforme" mais "est-ce que cet outil est construit pour ce qui vient".