AI Act 2026 : Credo AI, Vanta, Saidot et 5 autres outils comparés

L'application de l'AI Act a changé le 2 août 2026, mais le meilleur outil n'est pas celui qui affiche la plus longue liste de contrôles. Credo AI est le système de gouvernance le plus complet, Vanta est le choix le plus net pour les équipes pilotées par la sécurité qui réutilisent déjà leurs preuves de conformité, et le vérificateur officiel de l'UE reste la bonne première étape gratuite. Six des sept produits commerciaux présentés ici masquent encore leur tarif d'abonnement.

La réponse courte : quel outil AI Act choisir ?

Choisissez Credo AI s'il vous faut une seule couche de gouvernance couvrant modèles, fournisseurs, politiques, évaluations, preuves et supervision en exécution. C'est le meilleur choix pour une entreprise à plusieurs unités opérationnelles ou dotée d'un parc d'IA hétérogène, où le problème difficile n'est pas de remplir une checklist mais de garder responsabilités et preuves cohérentes pendant que les systèmes évoluent.

Choisissez Vanta si la sécurité ou la conformité pilote déjà l'achat et que votre entreprise utilise Vanta pour d'autres référentiels. Son produit AI Act contient plus de 150 contrôles et 16 politiques, et son atout majeur est la réutilisation des preuves, pas une profondeur de test de modèles hors norme.

Choisissez Saidot si vous voulez un graphe de connaissances natif de l'UE et un workflow collaboratif autour des systèmes, modèles, agents, jeux de données, risques, contrôles et politiques. Choisissez OneTrust quand la gouvernance de l'IA doit s'installer à côté d'un programme établi de protection des données, de gouvernance des données ou de GRC. Choisissez IBM watsonx.governance quand comptent le déploiement hybride, des évaluations de modèles mesurables ou un tarif d'usage public. Choisissez Holistic AI quand les tests techniques et l'application des règles en exécution sont le cœur du travail.

Commencez par le EU AI Act Compliance Checker si vous ignorez encore votre rôle ou les obligations susceptibles de s'appliquer. N'ajoutez Trainual que lorsque la couche manquante est l'orientation des collaborateurs, la formation assignée, l'accusé de réception et la preuve exportable au titre de l'article 4. Trainual n'est ni un inventaire d'IA, ni un outil de classification, d'évaluation de conformité ou de surveillance.

Le choix bascule sur une question : où vivent déjà vos preuves ? Si elles sont éparpillées entre équipes modèles et unités opérationnelles, Credo AI ou Saidot leur donnent un foyer de gouvernance. Si elles vivent déjà dans un programme de contrôles de sécurité, Vanta est le chemin le plus court. Si elles sont dans OneTrust, gardez les enregistrements IA à côté de ceux de la protection des données et du risque. Si la preuve manquante vient du comportement du modèle et non de documents, comparez IBM et Holistic AI. Si vous ne savez pas dire quel rôle s'applique, n'achetez rien avant d'avoir utilisé le vérificateur officiel.

Qu'est-ce qui a changé le 2 août 2026 ?

La date compte, mais pas pour la raison que suggèrent beaucoup d'anciens tableaux d'échéances. Le 2 août 2026 n'était pas la date de départ générale de toutes les obligations à haut risque. C'était l'entrée en application des règles de transparence de l'article 50 et le début de l'exécution pour des dispositions déjà applicables, dont les pratiques interdites, les mesures de maîtrise de l'IA et les obligations des fournisseurs de modèles d'IA à usage général.

Le calendrier officiel de mise en œuvre distingue désormais six jalons :

• 2 février 2025 : les définitions, les règles sur les pratiques interdites et les dispositions de maîtrise de l'IA ont commencé à s'appliquer.
• 2 août 2025 : les obligations des fournisseurs de modèles d'IA à usage général ont commencé à s'appliquer et la structure de gouvernance de l'UE devait être établie.
• 2 août 2026 : les règles de transparence de l'article 50 ont commencé à s'appliquer et l'exécution nationale ou européenne a démarré pour les règles applicables.
• 2 décembre 2026 : la transition s'achève pour certains systèmes de contenu synthétique mis sur le marché avant le 2 août 2026 afin de satisfaire l'article 50(2) ; des interdictions supplémentaires commencent également.
• 2 décembre 2027 : les obligations à haut risque de l'annexe III commencent selon le calendrier modifié.
• 2 août 2028 : les obligations commencent pour l'IA à haut risque intégrée dans des produits couverts par l'annexe I.

Les deux dernières dates ont changé par le règlement (UE) 2026/1744, l'amendement Digital Omnibus publié en juillet 2026. Une page qui présente encore le 2 août 2026 comme l'échéance générale de conformité à haut risque est obsolète.

Ce que l'article 50 signifie en pratique

L'article 50 est la couche de transparence. Les fournisseurs de systèmes qui interagissent directement avec des personnes doivent en général les informer qu'elles ont affaire à une IA, sauf si le fait est évident. Les fournisseurs de systèmes qui génèrent de l'audio, des images, de la vidéo ou du texte synthétiques doivent rendre les sorties couvertes lisibles par machine et détectables comme générées ou manipulées par IA, dans les limites et exceptions de la disposition.

Les déployeurs ont leurs propres obligations d'information. Ils doivent informer les personnes exposées à des systèmes de reconnaissance des émotions ou de catégorisation biométrique, et divulguer clairement les hypertrucages couverts et certains textes d'intérêt public générés par IA. Les orientations de la Commission sur l'article 50 indiquent aussi que le contenu créé avant le 2 août 2026 n'a pas à être étiqueté rétroactivement.

Pour un chatbot de support, la preuve peut être une mention affichée avant la première réponse, une exigence produit rattachée à la version déployée et un enregistrement de test prouvant l'affichage dans chaque interface prise en charge. Pour un générateur de médias, la preuve peut inclure une méthode de marquage lisible par machine, des tests de release, la gestion des exceptions et une responsabilité claire de correction. Un PDF de politique sans preuve d'implémentation est le maillon le plus faible de cette chaîne.

Ce que l'article 4 signifie pour la formation des équipes

L'article 4 impose aux fournisseurs et aux déployeurs de prendre des mesures favorisant la maîtrise de l'IA parmi le personnel et les autres personnes utilisant des systèmes d'IA pour leur compte. Après l'amendement Digital Omnibus, le texte ne prescrit aucun niveau particulier ni « suffisant ». Les questions-réponses actuelles de la Commission sur la maîtrise de l'IA indiquent qu'aucun certificat n'est exigé. Un registre interne des formations et autres initiatives d'orientation peut constituer une preuve appropriée.

Cela ne rend pas un module annuel générique suffisant pour chaque rôle. Une recruteuse qui utilise un système de classement a besoin d'une autre orientation qu'un ingénieur intégrant un modèle à usage général ou qu'un responsable marketing publiant des médias synthétiques. L'enregistrement utile relie la personne, le rôle, le système concerné, le matériel assigné, la date d'achèvement et la version actuelle de la politique. C'est pourquoi Trainual figure dans ce guide, et pourquoi il se classe derrière les produits capables de gouverner les systèmes eux-mêmes.

Les fournisseurs de GPAI supportent une charge de preuve distincte

Les fournisseurs de modèles d'IA à usage général doivent tenir une documentation technique, transmettre les informations pertinentes aux fournisseurs en aval, mettre en œuvre une politique de respect du droit d'auteur de l'UE et publier un résumé suffisamment détaillé du contenu d'entraînement. Les modèles présentant un risque systémique portent des obligations supplémentaires d'évaluation, d'atténuation des risques, de signalement d'incidents et de cybersécurité. La Commission a engagé la pleine exécution à l'égard des fournisseurs de GPAI, y compris la capacité d'infliger des amendes, le 2 août 2026. Les modèles mis sur le marché avant le 2 août 2025 disposent d'une échéance de conformité héritée au 2 août 2027, selon les orientations GPAI de la Commission.

La plupart des entreprises qui achètent les outils ci-dessous n'entraînent pas de modèle de frontière. Ce sont des déployeurs qui utilisent des modèles tiers dans des produits ou des processus métier. Leur travail reste conséquent : identifier le système, documenter sa finalité et ses responsables, déterminer le rôle de l'organisation, classer le risque, rattacher les bons contrôles, rassembler les preuves du fournisseur, former les équipes concernées, surveiller les changements et conserver une trace des décisions.

Le plafond des amendes est élevé, mais ce n'est pas le critère d'achat

Selon l'article 99, les pratiques interdites peuvent entraîner une amende administrative maximale de 35 millions EUR ou 7 % du chiffre d'affaires annuel mondial d'une entreprise, le montant le plus élevé étant retenu. Certaines obligations d'opérateurs et les violations de l'article 50 peuvent atteindre 15 millions EUR ou 3 %. Des informations inexactes, incomplètes ou trompeuses fournies à un organisme notifié ou à une autorité peuvent atteindre 7.5 millions EUR ou 1 %. Pour les PME et les start-up, c'est le montant fixe ou le pourcentage le plus faible qui s'applique.

Le plafond distinct de l'article 101 pour les infractions intentionnelles ou par négligence des fournisseurs de GPAI est de 15 millions EUR ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

Ce sont des maximums, pas des factures automatiques. Achetez en fonction de vos systèmes, rôles, volumes de preuve et cadence de revue. Une bibliothèque de contrôles gigantesque vaut peu si personne n'est propriétaire des enregistrements ou ne peut montrer quelle version déployée ils décrivent.

Les outils AI Act en un coup d'œil

Les prix et voies d'accès ci-dessous ont été vérifiés sur les pages actives des éditeurs le 3 août 2026. « Sur devis » signifie que l'éditeur n'a pas publié de montant d'abonnement, pas que le produit soit nécessairement cher.

Six des sept éditeurs commerciaux ne publient aucun montant d'abonnement de départ. IBM fait exception. Cette opacité change le processus d'achat raisonnable : constituez la liste courte d'abord sur l'adéquation des preuves, puis obligez chaque finaliste à chiffrer le même nombre de systèmes, d'utilisateurs, d'intégrations, de travaux de mise en œuvre, de niveau de support et de durée de contrat.

Comment ces outils ont été sélectionnés

Il s'agit d'une liste comparée, pas d'un test terrain revendiqué. Chaque produit a été vérifié sur ses pages produit et tarifaire actuelles le 3 août 2026. Les dates et obligations juridiques ont été vérifiées auprès de sources actuelles de la Commission européenne, de l'AI Act Service Desk et d'EUR-Lex. Les produits ont ensuite été jugés sur sept questions d'acheteur :

1. Inventaire : peut-il tenir un registre exploitable des systèmes, modèles, agents, jeux de données, fournisseurs, responsables, finalités et versions ?
2. Classification : aide-t-il à identifier le rôle d'opérateur, la catégorie de risque, les règles applicables et le motif de chaque conclusion ?
3. Cartographie des contrôles et des preuves : peut-il relier obligations, politiques, contrôles, tests, approbations et preuves sources sans doublons ?
4. Assurance technique : peut-il évaluer le comportement du modèle ou relier des signaux d'exécution à des actions de gouvernance ?
5. Gestion du changement : conserve-t-il responsabilités, historique de revue, incidents, exceptions et preuves pendant qu'un système évolue ?
6. Adéquation de déploiement : prend-il en charge l'environnement cloud, modèle et GRC dans lequel l'acheteur travaille déjà ?
7. Clarté commerciale : les noms de paliers, les limites, les conditions d'essai et les prix sont-ils visibles avant un rendez-vous commercial ?

Le classement récompense l'étendue seulement quand le produit expose aussi un workflow opérationnel crédible. Un outil de cadrage gratuit peut battre une plateforme d'entreprise chez une société qui n'a classé aucun système. Une plateforme de formation peut être précieuse pour les registres de l'article 4 tout en restant le mauvais outil de gouvernance des systèmes. Des produits ont été écartés quand leur documentation publique actuelle ne soutenait pas de cas d'usage décisif au-delà du vocabulaire générique de la conformité.

1. Credo AI : le meilleur globalement pour les portefeuilles d'IA complexes

Credo AI est le choix global le plus solide quand une entreprise doit gouverner de nombreux systèmes d'IA, fournisseurs et équipes sous un seul modèle opérationnel.

Sa plateforme combine découverte et registre d'IA, gestion des risques, cartographie des politiques, workflows de preuve, reporting et surveillance en exécution. Le pack de politiques AI Act couvre la classification des risques, les évaluations de conformité, les workflows de gouvernance, les preuves automatisées et les pistes d'audit. Credo AI indique également que son écosystème réunit plus de 30 partenaires hyperscalers, intégrateurs et plateformes d'entreprise.

Le cas d'usage concret est une société avec des modèles de service client, des outils RH, des copilotes internes, des API fournisseurs et des agents expérimentaux détenus par des groupes différents. Credo donne à la gouvernance un lieu unique pour définir la politique et donne à chaque responsable un chemin délimité pour fournir des preuves. C'est plus utile que de demander à chaque équipe d'interpréter le règlement de son côté.

Son principal mur est la visibilité commerciale. Credo ne publie ni noms de paliers, ni montants d'abonnement, ni volume d'inventaire inclus, ni essai en libre-service. Une démonstration peut établir l'adéquation du produit, mais l'achat exige toujours un devis soigneusement normalisé. Les petites entreprises avec une douzaine de déploiements simples achètent peut-être plus de machinerie de gouvernance qu'elles ne peuvent en exploiter.

Idéal pour : grands groupes et scale-ups régulées avec une propriété de l'IA distribuée et un parc de modèles hétérogène
Point fort : un pack de politiques dédié à l'AI Act au sein d'un large système de gouvernance de la politique à la preuve
Tarifs : tarification sur devis ; aucun nom de palier ni montant public au 3 août 2026
Essai gratuit : aucun essai public en libre-service ; demandez une démonstration ou un premier échange

Un pilote Credo AI concret

Le premier du classement doit prouver une chaîne de preuve complète, pas seulement produire un joli tableau de bord.

1. 1

   Choisissez trois systèmes dissemblables

   Prenez une fonctionnalité générative côté client, un workflow interne d'aide à la décision et un outil d'IA tiers. Notez pour chacun la finalité, le responsable, le fournisseur, le modèle, les utilisateurs, la géographie, les classes de données et la version déployée.

2. 2

   Classez le rôle et le risque

   Exécutez le workflow AI Act sur les trois. Demandez à l'éditeur de montrer la source derrière chaque question, comment un relecteur remplace une réponse et comment la plateforme conserve le motif de la classification finale.

3. 3

   Rattachez les contrôles aux preuves existantes

   Reliez cinq obligations à des preuves que vous détenez déjà : évaluation fournisseur, fiche de modèle, contrôle de sécurité, enregistrement de formation ou test de release. Mesurez la part réutilisable sans copier de fichiers.

4. 4

   Modifiez un système

   Changez la version du modèle ou ajoutez un nouveau cas d'usage. Vérifiez quelles évaluations rouvrent, qui reçoit une tâche, quel historique reste visible et si les preuves périmées sont clairement signalées.

5. 5

   Exportez la trace des décisions

   Produisez l'enregistrement qu'un juriste, un auditeur ou une autorité recevrait. Il doit montrer responsables, sources, dates, approbations, exceptions, preuves et historique de versions sans nécessiter une visite guidée du produit.

Verdict : Credo AI l'emporte quand le problème est la complexité de la gouvernance. Passez votre chemin si vous devez seulement cadrer quelques systèmes ou conserver un simple registre de formation.

2. Vanta : le meilleur pour réutiliser les preuves côté sécurité

Vanta est le choix le plus net pour une entreprise pilotée par la sécurité qui gère déjà politiques, contrôles, fournisseurs et preuves d'audit dans Vanta.

Le produit AI Act de Vanta comprend plus de 150 contrôles et 16 politiques, ainsi que des workflows guidés, des modèles alignés sur le risque, un cadrage adaptatif, la correspondance entre référentiels, des tâches automatisées, la collecte de preuves et la surveillance des incidents ou des modèles. L'atout central est qu'un contrôle d'identité, une revue fournisseur, une politique ou un journal d'accès existe peut-être déjà pour un autre référentiel et peut être relié au lieu d'être reconstruit.

Imaginez une entreprise SaaS qui a mené ses travaux SOC 2 et ISO dans Vanta, puis ajouté des fonctionnalités d'IA via des fournisseurs de modèles tiers. La sécurité détient déjà les preuves fournisseurs et les contrôles techniques. Vanta permet à ce groupe d'étendre un rythme opérationnel familier à la gouvernance de l'IA sans introduire un système de contrôle séparé dès le premier jour.

Cette même force définit la limite. Vanta n'est pas d'abord un laboratoire de test de modèles approfondi. Une entreprise ayant besoin de tests spécialisés de biais, de robustesse, adversariaux ou de dérive doit confirmer les intégrations exactes et le parcours de preuve, puis comparer Holistic AI ou IBM. Vanta publie par ailleurs quatre noms d'offres, mais aucun montant.

Idéal pour : les entreprises qui exploitent déjà des référentiels de sécurité et de conformité dans Vanta
Point fort : plus de 150 contrôles AI Act et 16 politiques avec réutilisation des preuves entre référentiels
Tarifs : Essentials, Plus, Professional et Enterprise ; tous en tarification personnalisée sans montant public
Essai gratuit : aucun essai public en libre-service ; une démonstration gratuite est disponible

Verdict : Vanta bat un achat séparé de gouvernance de l'IA quand votre programme Vanta existant contient déjà l'essentiel des personnes et des preuves. Le choix bascule vers Credo AI ou Saidot quand ce sont les relations entre objets d'IA et les décisions de politique, et non la réutilisation des contrôles de sécurité, qui dominent le travail.

3. Saidot : la meilleure gouvernance collaborative native de l'UE

Saidot convient le mieux à une organisation basée ou centrée sur l'UE qui veut un graphe de gouvernance connecté et un parcours collaboratif du contexte du système jusqu'au travail sur les politiques et les contrôles.

La plateforme Saidot relie systèmes, modèles, agents, jeux de données, risques, contrôles et politiques par un graphe de connaissances, de sorte que les faits partagés s'héritent entre enregistrements. Sa bibliothèque recense aujourd'hui plus de 260 risques, 620 contrôles, 110 politiques et 100 modèles et produits d'IA largement utilisés. Les connecteurs intégrés couvrent Azure AI Foundry et Amazon Bedrock, avec une API REST, des webhooks et des serveurs MCP pour les autres environnements.

Un scénario utile est un groupe de services financiers utilisant le même fournisseur de modèles dans plusieurs applications. Un fait relatif au fournisseur ou au modèle doit se propager aux systèmes concernés, tandis que finalité locale, utilisateurs, données et contrôles restent distincts. L'approche par graphe est conçue pour cette relation, là où un tableur produit des enregistrements en double et des réponses contradictoires.

Le System Classification Assistant AI Act de Saidot est prometteur, mais il faut l'étiqueter correctement : il est en Preview dans la version 8.14.0 datée du 9 juillet 2026. Il guide un questionnaire structuré, préremplit les informations connues du système et sépare les obligations au niveau de l'organisation de celles au niveau du système. Un acheteur doit tester l'effet du statut preview sur le support, la stabilité des exports et les engagements contractuels avant d'en faire la colonne vertébrale de la classification.

Idéal pour : les organisations centrées sur l'UE qui ont besoin d'un contexte de gouvernance partagé entre actifs d'IA connectés
Point fort : héritage par graphe de connaissances adossé à plus de 260 risques, 620 contrôles et 110 politiques
Tarifs : le tarif d'abonnement n'est pas public ; contactez Saidot pour le devis en vigueur
Essai gratuit : oui ; onboarding en libre-service ou pilote accompagné

L'essai est l'occasion de tester l'héritage. Créez deux systèmes utilisant le même modèle, modifiez un fait partagé du fournisseur et observez ce qui se met à jour automatiquement, ce qui exige une revue et ce qui reste isolé. Si les relecteurs ne comprennent pas pourquoi une obligation est apparue, le graphe ajoute de la complexité au lieu d'en retirer.

Verdict : Saidot est l'option native de l'UE la plus fine pour des enregistrements connectés et un travail de contrôle collaboratif. Passez votre chemin si vous voulez des prix publics, un assistant de classification pleinement disponible ou la suite de tests en exécution la plus profonde.

4. OneTrust : le meilleur pour les dispositifs existants de privacy et de GRC

OneTrust est le choix raisonnable quand la gouvernance de l'IA doit devenir un domaine gouverné de plus au sein d'un programme OneTrust établi de protection des données, de données ou de risque.

La solution AI Act de OneTrust enregistre les systèmes d'IA, tient l'inventaire et la propriété, relie les risques aux systèmes, automatise workflows et preuves, et connecte les événements d'exécution aux actions de gouvernance et à la surveillance après commercialisation. Son offre AI Governance prend aussi en charge le classement par paliers, les approbations, les attestations, les portes d'évaluation, la documentation, le reporting et la surveillance continue pour l'AI Act, NIST et ISO/IEC 42001.

Le meilleur cas est une multinationale dont les analyses d'impact relatives à la protection des données, les enregistrements fournisseurs, les politiques et les responsables du risque sont déjà dans OneTrust. Un cas d'usage d'IA touche souvent les mêmes données personnelles, sous-traitants, transferts et responsables métier. Garder ces enregistrements connectés peut réduire les questionnaires parallèles et préserver une cartographie de responsabilités plus claire.

Le mauvais cas est une petite société produit qui achète OneTrust uniquement pour l'IA. La valeur de la plateforme vient de son environnement. Sa page tarifaire publique indique qu'AI Governance est facturé selon les utilisateurs administrateurs et l'inventaire d'IA, mais elle ne publie ni montant ni essai en libre-service. Les acheteurs doivent aussi demander quelles évaluations techniques sont natives et lesquelles arrivent par intégration ou preuve téléversée.

Idéal pour : les organisations utilisant déjà OneTrust pour la protection des données, la gouvernance des données, le risque tiers ou la GRC
Point fort : les enregistrements d'IA peuvent côtoyer les workflows existants de privacy, de risque, de propriété et de preuve
Tarifs : sur devis, selon les utilisateurs administrateurs et l'inventaire d'IA ; aucun montant d'abonnement public
Essai gratuit : aucun essai public en libre-service ; demandez un tarif ou une démonstration

Verdict : choisissez OneTrust quand l'enregistrement d'IA doit hériter des responsables et des preuves d'un programme OneTrust existant. Choisissez une plateforme dédiée de gouvernance de l'IA quand l'ingénierie IA, les relations entre modèles et l'évaluation technique doivent piloter le modèle opérationnel.

5. IBM watsonx.governance : le meilleur pour les stacks hybrides et une facturation lisible

IBM watsonx.governance est ici l'option la plus forte pour un grand environnement hybride qui a besoin d'évaluation de modèles, d'enregistrements de gouvernance et d'une porte d'entrée publique dans le produit.

IBM positionne watsonx.governance comme une couche de gouvernance multifournisseur avec un Governance Graph connecté, la cartographie des politiques et des contrôles, un reporting d'audit continu, un inventaire et un contexte de risque. Son écosystème de conformité intégré couvre plus de 200 référentiels. Le module Compliance Accelerators inclut les Credo AI Policy Packs alignés sur l'AI Act, ISO/IEC 42001 et NIST AI RMF.

L'adéquation pratique est un grand groupe exécutant des modèles sur plusieurs clouds et une infrastructure interne, avec des équipes risque qui veulent des enregistrements traçables et des ingénieurs qui veulent une évaluation mesurable. IBM publie à la fois une capacité gratuite limitée et des unités d'usage, ce qui rend un proof of concept plus facile à chiffrer que chez les six alternatives sur devis.

Le produit n'est pas simple commercialement. La page tarifaire en ligne mêle usage de gestion des modèles, composants GRC, exemples d'observabilité, AWS SaaS et déploiement logiciel. L'acheteur doit identifier quels composants résolvent la tâche visée avant de traiter un chiffre comme le prix de la plateforme.

Idéal pour : les grands groupes hybrides et multifournisseurs qui veulent gouvernance et évaluation de modèles mesurable
Point fort : tarifs publics Lite, usage, GRC et observabilité, avec la prise en charge de plus de 200 référentiels
Tarifs : Lite est gratuit ; les unités d'évaluation Essentials démarrent à USD 0.64 ; les composants GRC et de déploiement sont séparés
Essai gratuit : oui ; un palier Lite et une voie d'essai gratuit sont disponibles

Les tarifs IBM traduits en unités d'achat

Le palier Lite d'IBM comprend environ 100 évaluations de modèles, 100 explications globales, 50,000 explications locales, un inventaire, trois cas d'usage et trois attributs personnalisés par cas d'usage. De quoi inspecter le workflow, pas de quoi représenter un programme de gouvernance à l'échelle.

Sous Essentials model management, IBM affiche USD 0.64 par évaluation de modèle ou de template, USD 0.64 par explication globale, USD 0.64 par tranche de 500 explications locales, ou USD 0.64 par tranche de 200 évaluations de messages d'agent. Les exemples d'observabilité de la page vont de USD 1.28 par mois pour un modèle évalué mensuellement à USD 161.28 par mois pour quatre modèles évalués 30 fois par mois, et USD 5,529.60 par mois pour huit modèles évalués 360 fois par mois. C'est la fréquence d'évaluation, et non le seul nombre de modèles, qui provoque le saut.

Pour la GRC, Essentials affiche USD 795 par instance, USD 2,650 par solution avec un maximum d'une, et USD 53 par utilisateur simultané avec un maximum de 25. Standard affiche USD 3,710 par instance, USD 2,650 par solution avec un maximum de cinq, et USD 53 par utilisateur simultané avec un maximum de 200. IBM indique aussi un montant AWS SaaS de USD 38,160 incluant une instance Governance Console ou Model Risk Governance, 12,000 évaluations de modèles par an, cinq cas d'usage d'IA et 25 utilisateurs simultanés, sans que la page précise la périodicité de facturation associée. Le déploiement logiciel est facturé au cœur de processeur virtuel, sans montant VPC public.

Verdict : IBM l'emporte sur l'étendue hybride et des prix d'entrée inspectables. Choisissez Holistic AI quand les tests en exécution et l'application des règles doivent être le centre de l'achat, ou une plateforme plus légère quand le modèle de composants d'IBM dépasse le problème.

6. Holistic AI : le meilleur pour les tests techniques et l'application en exécution

Holistic AI convient le mieux quand le programme de conformité a besoin de tests techniques et d'application des règles en exécution, et pas seulement d'inventaires et de questionnaires.

La plateforme Holistic AI couvre découverte automatisée, inventaire en direct, tests de risque, surveillance, application des politiques et preuves d'audit. Elle publie plus de 40 tests spécialisés en biais, sûreté, sécurité, performance, dérive, dégradation et menaces adversariales. Ses scores de risque et modèles réglementaires correspondent à l'AI Act, au NIST AI RMF et à l'ISO 42001.

Le cas d'usage tranchant est une entreprise qui expose une décision d'IA ou une sortie générée directement aux clients. La gouvernance doit savoir non seulement qu'une politique existe, mais si le système a franchi un seuil en production. La couche d'application de Holistic AI journalise la politique, le contexte d'entrée et de sortie, l'action et le résultat, ce qui permet de relier une intervention technique à l'enregistrement d'audit ultérieur.

Le mur d'achat est connu : Holistic AI ne publie ni noms de paliers, ni montants d'abonnement, ni volume de tests inclus, ni essai en libre-service. Plus de 40 tests est une couverture utile, mais la démonstration doit montrer quels tests fonctionnent pour votre modalité et votre architecture, comment les seuils sont validés et ce qui se passe quand une règle bloque ou modifie une sortie. Un contrôle en exécution mal conçu côté repli peut devenir un problème de disponibilité produit.

Idéal pour : les systèmes d'IA exposés aux clients ou régulés qui exigent des tests spécialisés et l'application des règles en exécution
Point fort : plus de 40 tests et des actions d'exécution journalisées reliées aux preuves de gouvernance
Tarifs : sur devis ; aucun nom de palier ni montant d'abonnement public
Essai gratuit : aucun essai public en libre-service ; demandez une démonstration

Verdict : Holistic AI mérite la liste courte quand l'assurance technique est le goulet d'étranglement de la preuve. Il est plus difficile à justifier quand l'écart principal porte sur la propriété, la classification de base, l'accusé de réception des politiques ou la réutilisation de contrôles de sécurité classiques.

7. EU AI Act Compliance Checker : la meilleure première étape gratuite

Le EU AI Act Compliance Checker est le bon point de départ pour un acheteur incapable d'énoncer encore le rôle de son organisation, la catégorie du système ou les obligations probables.

Le vérificateur de la Commission européenne et de l'AI Act Service Desk pose des questions structurées pour aider fournisseurs, déployeurs et autres opérateurs à identifier les règles susceptibles de s'appliquer. Il est gratuit et disponible avant tout processus d'achat, ce qui lui donne une valeur inhabituelle sur un marché où six éditeurs commerciaux masquent leur prix de départ.

Utilisez-le pour un premier enregistrement de chaque système matériellement différent. Une société qui fournit une fonctionnalité d'IA, déploie un outil de recrutement tiers et utilise un copilote interne peut occuper des rôles différents dans des contextes différents. Une étiquette unique au niveau de l'entreprise est trop grossière.

Le vérificateur est explicitement en bêta et purement informatif. Son résultat n'est pas un conseil juridique et ne représente pas l'appréciation de la Commission sur votre situation ou vos obligations. Il n'exploite pas d'inventaire de systèmes, ne collecte pas de preuves continues, ne teste pas de modèle, n'attribue pas de contrôles et ne surveille pas les changements. Conservez les questions et les réponses qui ont produit le résultat, puis renvoyez l'incertitude à un conseil qualifié.

Idéal pour : un cadrage initial gratuit avant de choisir conseil, contrôles ou logiciel
Point fort : un parcours de questions officiel rattaché aux rôles de fournisseur, déployeur et autres opérateurs
Tarifs : gratuit
Essai gratuit : sans objet ; le vérificateur en bêta est disponible sans palier payant

Verdict : tout acheteur incertain devrait utiliser le vérificateur officiel avant de payer un logiciel. Aucun programme d'IA mature ne devrait confondre sa réponse avec le système de gouvernance qui vient ensuite.

8. Trainual : la meilleure couche d'appui pour la preuve de maîtrise de l'IA

Trainual est une plateforme de documentation et de formation capable de conserver l'orientation assignée, l'achèvement, l'accusé de réception et le reporting au titre de l'article 4, mais ce n'est pas un logiciel de gouvernance AI Act.

L'adéquation utile est étroite et concrète. L'article 4 demande aux fournisseurs et aux déployeurs de soutenir la maîtrise de l'IA parmi le personnel et les autres personnes qui exploitent l'IA pour leur compte. La Commission indique qu'aucun certificat n'est exigé et qu'un registre interne de formation ou d'orientation peut convenir. Les offres actuelles de Trainual fournissent documentation, affectations par groupe, échéances, tests, suivi, reporting, historique des versions, accusés de réception et rapports exportables en CSV ou PDF.

Par exemple, une équipe marketing utilisant des médias génératifs peut recevoir une consigne de divulgation propre au système, passer une évaluation courte, accuser réception de la politique en vigueur et laisser un enregistrement daté. Une équipe recrutement peut recevoir un autre matériel rattaché aux systèmes et décisions qu'elle touche. La preuve utile n'est pas un badge générique. C'est le lien entre rôle, matériel, version, achèvement et suivi.

Trainual ne publie aucune capacité d'inventaire de systèmes d'IA, de classification de rôle ou de risque, d'évaluation de conformité, d'évaluation de modèles ou de surveillance en exécution. Sa place est à côté de Credo AI, Vanta, Saidot, OneTrust, IBM ou Holistic AI quand la preuve de formation est faible. Il ne doit pas les remplacer.

Idéal pour : les organisations qui ont besoin d'enregistrements d'orientation IA assignés, versionnés et exportables
Point fort : des opérations de formation par rôle et des preuves d'accusé de réception dans un système documentaire dédié
Tarifs : Core, Pro, Premium et Enterprise utilisent une tarification d'abonnement sur devis ; des frais uniques de mise en œuvre de USD 1,000 sont annoncés
Essai gratuit : aucun essai public en libre-service sur la page tarifaire actuelle ; demandez une démonstration

Les paliers Trainual sans le brouillard commercial

Core comprend une documentation assistée par IA, la formation par groupe, des échéances, des tests, le suivi, le reporting, 2 GB de stockage vidéo et 30 jours d'historique des versions. Pro ajoute des parcours individuels, des contrôles de visionnage obligatoire, des relances d'achèvement, 300 signatures électroniques par an, 15 GB de stockage vidéo et 90 jours d'historique.

Premium ajoute des signatures électroniques illimitées, un stockage vidéo et un historique des versions illimités, le SSO, une marque et un domaine personnalisés, 15 GB de stockage SCORM et des modèles de parcours de formation. Enterprise ajoute le support d'API et d'intégrations sur mesure, l'accès à la documentation SOC 2, une aide étendue à la migration et au déploiement, un customer success dédié, des revues trimestrielles et un support prioritaire.

Le passage de palier pour la preuve AI Act tient au contrôle, pas au prestige. Core peut couvrir l'affectation par groupe et le reporting. Pro devient pertinent quand comptent les parcours individuels, la preuve de visionnage obligatoire, les relances ou les signatures électroniques. Premium est l'étape du SSO et des accusés ou historiques illimités. Enterprise vise l'intégration, le déploiement et les besoins d'assurance. Comme le montant d'abonnement n'est pas public, exigez que le devis sépare abonnement, USD 1,000 de mise en œuvre, migration de contenu et travail de rédaction éventuel.

Verdict : Trainual mérite cette dernière place parce que la preuve de l'article 4 est une obligation vivante et que ses mécaniques de formation sont pertinentes. Il reste une couche d'appui. Le classer à côté de plateformes complètes de gouvernance de l'IA sans cet avertissement induirait l'acheteur en erreur.

Qui doit choisir quoi

La décision la plus rapide part de la couche de preuve manquante, pas de l'amende la plus lourde ni de la liste de fonctionnalités la plus longue.

Si vous n'avez pas de liste de systèmes défendable, commencez par le périmètre. Passez les systèmes matériellement différents dans le vérificateur officiel, puis créez un enregistrement minimal avec responsable, finalité, rôle, utilisateurs, géographie, données, fournisseur, modèle, version et premier raisonnement de risque. Ne signez pas un contrat d'entreprise pour éviter ce travail d'inventaire de base.

Si l'inventaire existe mais que la gouvernance est fragmentée, choisissez une couche de programme. Credo AI est le choix par défaut pour un parc complexe et distribué. Saidot est l'alternative plus forte quand relations de graphe, contexte européen et héritage collaboratif correspondent au modèle opérationnel. Vanta l'emporte quand contrôles de sécurité et preuves vivent déjà dans Vanta. OneTrust l'emporte quand relations de privacy, données, fournisseurs et GRC vivent déjà dans OneTrust.

Si les documents existent mais que l'incertitude porte sur le comportement déployé, choisissez une couche technique. IBM convient à une entreprise hybride et multifournisseur qui veut des unités d'entrée publiques et un large contexte de gouvernance. Holistic AI convient à une équipe qui priorise les tests techniques spécialisés et l'application en exécution. Demandez aux deux de suivre une évaluation en échec jusqu'au tri, à l'exception, à la remédiation, à la décision de release et à la preuve exportable.

Si les systèmes sont gouvernés mais que l'orientation des équipes n'est pas démontrable, ajoutez Trainual. La plateforme doit porter des matériels propres à chaque rôle et des preuves d'achèvement, tandis que le système de gouvernance reste la source du périmètre des systèmes et du contexte des obligations.

Pour une petite entreprise, le stack pratique peut être le vérificateur officiel, un inventaire discipliné, un conseil pour les classifications incertaines, des contrôles choisis dans le système de sécurité existant et Trainual seulement si les enregistrements de formation sont dispersés. Pour une société produit en croissance, Credo AI ou Saidot peuvent devenir le centre, avec tests techniques et preuves de formation connectés autour. Pour un grand groupe hybride, IBM ou Holistic AI peuvent fournir la couche technique tandis que OneTrust ou une GRC existante conserve la preuve organisationnelle plus large.

Si vous concevez encore le système au lieu d'acheter un logiciel de gouvernance, le guide des garde-fous et du rayon d'impact pour les agents d'IA en production explique comment limiter les permissions et l'effet des pannes. Si l'inventaire comprend des agents, la comparaison des plateformes d'agents d'IA offre un parcours distinct pour la couche de déploiement. Aucun des deux ne remplace le travail juridique et de gouvernance décrit ici.

Ceux qu'il vaut mieux éviter

Éviter la mauvaise adéquation compte plus que trouver un vainqueur universel. Ces produits sont crédibles dans leur couloir, mais chacun devient un mauvais achat dès qu'on l'étire au-delà.

Évitez le vérificateur officiel comme système de conformité

Le EU AI Act Compliance Checker est gratuit, officiel et utile pour le cadrage initial. C'est aussi une bêta dont le résultat est informatif et non une appréciation de la Commission. Il ne peut ni porter des contrôles, ni collecter des preuves, ni surveiller un déploiement, ni maintenir l'inventaire à jour. Utilisez-le au début, pas comme le dossier que vous présentez comme un programme complet.

Évitez Trainual comme plateforme de gouvernance de l'IA

Trainual peut documenter des politiques et prouver que des personnes nommées ont terminé le matériel assigné. Il ne peut pas classer le système gouverné, mener une évaluation de conformité, évaluer le comportement du modèle ni surveiller les événements d'exécution. Achetez-le pour l'écart de preuve de maîtrise, jamais parce qu'un registre de formation ressemble à une couverture AI Act complète.

Évitez Vanta quand le besoin principal est le test de modèles spécialisé

L'atout de Vanta est la réutilisation des contrôles et des preuves, en particulier pour un client Vanta existant. Si la question ouverte porte sur le biais, la résilience adversariale, la dérive ou une intervention en exécution, testez le workflow exact avant d'acheter. Holistic AI ou IBM peuvent mieux correspondre à ce centre de gravité.

Évitez IBM quand vous voulez une unité commerciale simple

IBM publie plus d'informations tarifaires que les autres produits d'entreprise, ce qui est bienvenu. Mais il sépare aussi capacité Lite, évaluation à l'usage, GRC, observabilité, AWS SaaS et déploiement logiciel. Un acheteur qui veut une offre unique et prévisible pour un petit inventaire risque de dépenser trop d'énergie à assembler les bons composants.

Évitez Credo AI, Saidot ou OneTrust pour un projet de simple case à cocher

Ces systèmes créent de la valeur par les relations, la propriété, le workflow et la preuve répétée. Si la direction veut un questionnaire rempli une seule fois, la mise en œuvre exposera ce décalage. Réglez d'abord le mandat. Un logiciel de gouvernance ne fournit ni l'autorité, ni le temps des équipes, ni le processus d'évolution produit que l'organisation a refusé de financer.

Évitez aussi tout éditeur ou guide qui présente encore le 2 août 2026 comme le départ général des obligations à haut risque de l'annexe III sans refléter le règlement (UE) 2026/1744. Les dates en vigueur sont le 2 décembre 2027 pour l'annexe III et le 2 août 2028 pour les systèmes à haut risque intégrés dans des produits régulés de l'annexe I.

Un processus d'achat de 30 jours qui produit des preuves

Le processus d'achat devrait vous laisser de meilleurs enregistrements même si vous n'achetez rien.

Jours 1 à 5 : constituer l'échantillon

Choisissez cinq systèmes matériellement différents, pas cinq copies du même chatbot. Incluez un système exposé aux clients, un workflow interne à conséquences, un outil tiers, un cas de contenu génératif et un agent ou une automatisation s'il en existe. Notez les faits minimaux et passez chacun par une première analyse de rôle et de périmètre.

Jours 6 à 10 : définir la chaîne de preuve

Pour chaque système de l'échantillon, choisissez deux obligations applicables ou plausiblement applicables. Nommez la source, le responsable, le contrôle, la preuve d'implémentation, l'approbation, la version actuelle, la cadence de revue et le signal d'exécution. Marquez les conclusions juridiques incertaines pour le conseil. Cela devient le script de démonstration commun.

Jours 11 à 20 : faire travailler les finalistes dans votre scénario

N'acceptez pas une démonstration préfabriquée d'état idéal. Demandez à l'éditeur d'importer ou de créer les cinq enregistrements, de réutiliser un contrôle existant, d'acheminer une classification contestée, de faire expirer une preuve périmée, d'enregistrer une exception, de réagir à un changement de version de modèle et d'exporter l'historique. Associez juridique, sécurité, produit, ingénierie, achats et un responsable métier à la partie pertinente, pas à chaque réunion.

Jours 21 à 25 : chiffrer la même unité

Demandez à chaque finaliste la même taille d'inventaire, le même nombre de relecteurs et de contributeurs, les mêmes référentiels, environnements, intégrations, historique de preuves, support, mise en œuvre et durée de contrat. Demandez quelles limites déclenchent le palier tarifaire suivant. Pour une évaluation facturée à l'usage, modélisez le nombre attendu de systèmes, de tests et la fréquence d'évaluation au lieu d'accepter un exemple à faible volume.

Jours 26 à 30 : trancher la propriété avant la signature

Nommez le sponsor exécutif, le responsable de l'enregistrement des systèmes, le relecteur juridique, les responsables de contrôles, le responsable des tests techniques, la voie d'escalade des incidents et le processus de revue trimestrielle. Définissez quelle plateforme est la source pour les systèmes, les politiques, la formation et les preuves d'exécution. Un produit qui devient une base de données déconnectée de plus a échoué avant son lancement.

Les questions sur l'AI Act que les acheteurs répètent

Qu'est-ce que l'AI Act de l'UE ?

L'AI Act de l'UE est un cadre réglementaire de l'IA fondé sur le risque. Les obligations dépendent du rôle de l'acteur, du système ou du modèle, de son usage et de sa catégorie de risque, et du lieu où il est mis sur le marché, mis en service ou utilisé. Il couvre les acteurs publics et privés à l'intérieur comme à l'extérieur de l'UE dès lors que ces conditions de marché ou d'usage les rattachent à l'UE.

Qu'est-ce qui a changé dans l'AI Act en 2026 ?

Les règles de transparence de l'article 50 et l'exécution des dispositions déjà applicables ont démarré le 2 août 2026. Le règlement (UE) 2026/1744 a par ailleurs reporté les obligations à haut risque de l'annexe III au 2 décembre 2027 et celles des systèmes intégrés à des produits de l'annexe I au 2 août 2028. Les pages anciennes affichant une échéance générale haut risque en août 2026 sont dépassées.

L'AI Act s'applique-t-il aux entreprises américaines ?

Il peut s'appliquer. Le cadre couvre les acteurs qui mettent un système d'IA ou un modèle à usage général sur le marché de l'UE, mettent un système d'IA en service dans l'UE ou en utilisent un dans l'UE. Un siège aux États-Unis ne supprime pas à lui seul le rattachement européen. Déterminez le rôle et le contexte du système, puis obtenez un conseil juridique pour les cas incertains.

Quel est l'objectif principal de l'AI Act ?

Le cadre vise à protéger la santé, la sécurité et les droits fondamentaux tout en créant des règles harmonisées pour la mise sur le marché et l'utilisation de l'IA dans l'UE. Il applique des obligations différentes aux pratiques interdites, aux systèmes à haut risque, aux cas de transparence et à l'IA à usage général, plutôt que de réguler tous les usages de la même façon.

Quelles sont les amendes maximales de l'AI Act ?

L'article 99 fixe des plafonds de 35 millions EUR ou 7 % pour les pratiques interdites, 15 millions EUR ou 3 % pour certaines obligations d'opérateurs et les violations de l'article 50, et 7.5 millions EUR ou 1 % pour des informations inexactes, incomplètes ou trompeuses, selon la règle de chiffre d'affaires décrite par le texte. Les PME et les start-up se voient appliquer le montant fixe ou le pourcentage le plus faible. L'article 101 plafonne séparément certaines amendes aux fournisseurs de GPAI à 15 millions EUR ou 3 %.

Existe-t-il un outil officiel de conformité AI Act ?

Oui. L'AI Act Service Desk propose un Compliance Checker gratuit. C'est une bêta continue à visée informative, ni conseil juridique ni appréciation officielle de la Commission, et elle ne remplace ni inventaire, ni workflow de preuve, ni test technique, ni plateforme de surveillance.

Quel outil de conformité AI Act est le meilleur ?

Credo AI est le choix global le plus solide pour une gouvernance de l'IA complexe et distribuée. Vanta convient mieux à un programme de sécurité déjà installé dans Vanta, Saidot à une gouvernance connectée native de l'UE, OneTrust à un dispositif privacy ou GRC existant, IBM à une gouvernance hybride avec facturation publique, et Holistic AI aux tests techniques et à l'application en exécution. Commencez par le vérificateur officiel si le périmètre est flou, et n'utilisez Trainual que pour la couche d'appui de preuve de maîtrise.

Récupérez la carte des outils d'IA pour dirigeants et transformez une longue liste courte en un stack concret pour votre entreprise.