Pacte Numérique et IA + AI Act : 10 vérifications avant un marché public IA en AURA

Tu veux répondre à un marché public IA en AURA ? Oublie la promesse, prépare les preuves Depuis début septembre 2026, un signal très clair est parti de l’État : le Pacte Numérique et IA, piloté par la...

Jimmy Manin Publié le 14 septembre 2026 11 min de lecture

Pacte Numérique et IA + AI Act : 10 vérifications avant un marché public IA en AURA

Tu veux répondre à un marché public IA en AURA ? Oublie la promesse, prépare les preuves

Depuis début septembre 2026, un signal très clair est parti de l’État : le Pacte Numérique et IA, piloté par la DINUM, vise à faire passer la filière de la discussion au test, puis au déploiement, via des groupes de travail et des standards opérationnels sur trois ans, renouvelables. Source : communiqué DINUM sur numerique.gouv.fr.

Dans le même temps, l’AI Act est applicable depuis le 2 août 2026 avec un calendrier progressif. Les obligations de transparence, elles, sont déjà exécutoires à cette date (Service Desk UE). Traduction terrain : dans un appel d’offres, l’acheteur public peut te demander tout de suite ce que tu fais, où sont les données, qui sont tes sous-traitants, comment tu maîtrises le risque, et comment tu prouves que ça marche.

Cet article te donne un pré-audit simple et actionnable : 10 points de conformité à vérifier avant de répondre à un marché public IA en Auvergne-Rhône-Alpes, avec trois cas typiques : chatbot, assistance aux agents, analyse documentaire.

Ce que change vraiment le Pacte Numérique et IA côté fournisseurs

Le Pacte Numérique et IA n’est pas juste une annonce d’intention. Dans le communiqué de la DINUM, l’objectif est un cadre opérationnel : dialogue structuré État–industriels, groupes thématiques, séances plénières, et surtout accélération des tests puis des déploiements de solutions identifiées (IA, cyber, cloud). Source : numerique.gouv.fr.

Pour toi, fournisseur en AURA (Lyon, Grenoble, Saint-Étienne, Clermont, Annecy), ça change trois choses.

1) Le “time-to-proof” se réduit

Avant, on pouvait encore “promettre un plan de conformité”. Là, la logique test-déploiement pousse à exiger des éléments vérifiables dès la candidature : dossier de gouvernance, sécurité, sous-traitance, localisation, métriques de performance, modalités de réversibilité.

2) L’État industrialise ses briques, et tu dois t’aligner

La DINUM met en avant le Socle Interministériel d’IA Générative (SIIAG) : une infrastructure mutualisée, hébergée en France, sur des infrastructures certifiées SecNumCloud, pour accéder rapidement à des services d’IA générative. Source : ia.numerique.gouv.fr.

Ça ne veut pas dire que tout passe par le SIIAG. Mais ça veut dire que l’acheteur public a de plus en plus un référentiel implicite : hébergement France, exigences sécurité élevées, cadres contractuels plus carrés.

3) Les acheteurs publics se dotent d’outillage “clauses + conformité”

Fin novembre 2025, une fiche pratique sur l’achat responsable de solutions d’IA (DINUM, DAE, Ecolab) a été publiée, avec des exemples de clauses à intégrer dans les marchés publics. Source : economie.gouv.fr.

Donc oui, tu peux te retrouver face à des CCTP plus exigeants, même pour un usage qui n’est pas “haut risque” au sens AI Act.

AI Act : ce qui s’applique déjà, et ce qui va tomber ensuite

L’AI Act est applicable depuis le 2 août 2026 (Commission européenne). Les obligations n’arrivent pas toutes d’un bloc, mais tu dois arrêter de penser “on verra en 2027”.

Transparence : déjà exécutoire

Le Service Desk UE indique que les obligations de transparence sont en vigueur et exécutoires à partir du 2 août 2026. Et un délai transitoire existe jusqu’au 2 décembre 2026 pour certains systèmes déjà sur le marché avant le 2 août 2026, notamment sur l’article 50(2). Source : ai-act-service-desk.ec.europa.eu.

“Haut risque” : calendrier plus tardif, mais pression contractuelle immédiate

Le calendrier consolidé UE donne le 2 décembre 2027 pour des systèmes IA haut risque “stand-alone”, et le 2 août 2028 pour ceux intégrés dans des produits régulés. Source : consilium.europa.eu.

Mais attention : même si le texte reporte certaines obligations, un acheteur public peut exiger des pratiques de gouvernance et de preuve dès maintenant dans le DCE, parce que ça réduit son risque projet.

Pré-audit : 10 points de conformité à vérifier avant de répondre

Objectif : être capable de répondre avec des pièces, pas des intentions. Chaque point ci-dessous est pensé pour coller à ce que les acheteurs publics demandent déjà ou vont demander, dans l’esprit “Pacte Numérique et IA” + exigences AI Act.

1) Registre d’usages : où l’IA intervient, où elle n’intervient pas

À produire : un registre clair des usages IA, avec périmètre et limites.

Cas d’usage (ex : chatbot usagers, agent interne, tri documentaire).
Utilisateurs (agents publics, usagers, prestataires).
Entrées et sorties (inputs, outputs), données manipulées, logs générés.
Décisions impactées : l’IA conseille ou décide ? Qui tranche ?
Limites explicites : ce que le système ne doit pas faire.

Pourquoi ça compte : si tu ne sais pas décrire ton usage, tu ne peux pas qualifier AI Act, ni cadrer RGPD, ni écrire des clauses propres.

Pour aller plus vite sur la structure : https://lyon-ia.com/blog/ai-act-documenter-vos-usages-dia-en-entreprise-registre-pret-a-copier-exemple-pme-lyon

2) Qualification AI Act : quel rôle, quel risque, quelles obligations

À trancher : tu es fournisseur (provider) ou déployeur (deployer) ? Et dans quelle catégorie de risque tu tombes ?

Cartographie rapide des obligations activées maintenant (ex : transparence).
Trajectoire “haut risque” possible (Annexe III) même si l’échéance est plus tardive.
Cas d’interdictions : vérifier que l’usage ne tombe pas dans des pratiques prohibées.

Ce point est souvent bâclé. C’est pourtant celui qui te permet de rédiger une réponse propre dans le mémoire technique, sans te contredire ensuite en phase d’exécution.

3) Transparence utilisateur : informer sans noyer, tracer sans espionner

À produire : tes mécanismes de transparence, prêts à être montrés.

Quand un usager échange avec un chatbot, il doit le savoir.
Quand un contenu est généré ou transformé, il faut l’indiquer selon les cas.
Interface : bandeau, mention, message d’ouverture, lien vers une notice.
Back-office : journal des interactions et des versions du modèle utilisé.

Pour cadrer l’article 50 et éviter le flou : https://lyon-ia.com/blog/article-50-de-lia-act-la-checklist-transparence-pour-votre-pme

4) Gestion des risques : un vrai plan, avec arbitrages et preuves

À produire : une analyse de risques orientée usage, pas un PDF générique.

Risques fonctionnels : erreurs, hallucinations, mauvaise orientation, refus injustifiés.
Risques humains : surconfiance, contournement, perte de compétences.
Risques data : fuite, ré-identification, contamination des bases internes.
Risques sécurité : injection de prompt, exfiltration via outils connectés.
Mesures : contrôles, seuils, garde-fous, supervision humaine, blocages.

Si tu proposes un agent connecté à des outils, c’est encore plus critique : https://lyon-ia.com/blog/agents-ia-en-production-garde-fous

5) Données : localisation, flux, et règles de conservation

À produire : une fiche “data” utilisable par un acheteur public et par un DPO.

Où sont les données en transit et au repos ? France, UE, hors UE ?
Quels flux : API LLM, stockage, logs, monitoring, sauvegardes ?
Durées de conservation : prompts, réponses, pièces jointes, métadonnées.
Option de désactivation : “no training”, non-rétention quand c’est possible.

Sur la conservation : https://lyon-ia.com/blog/politique-conservation-donnees-ia

Sur l’hébergement en France, concret : https://lyon-ia.com/blog/heberger-son-ia-en-france

6) Sous-traitants et chaîne de responsabilité : qui fait quoi, qui répond de quoi

À produire : une cartographie de sous-traitance, et une position contractuelle claire.

Modèle de base : éditeur, hébergeur, infogérant, fournisseur de modèle, outils tiers.
Lieu d’exécution et de support (important pour l’État).
Clauses : auditabilité, notification d’incident, changements de sous-traitant.
Régime de responsabilité : limites, exclusions, pénalités, assurances.

Beaucoup de réponses à AO tombent là-dessus : l’acheteur détecte vite quand le fournisseur “ne maîtrise pas sa supply chain”.

À relire avant signature : https://lyon-ia.com/blog/contrat-fournisseur-ia-clauses

7) Sécurité : posture, tests, et protections spécifiques aux LLM

À produire : un dossier sécurité court, lisible, orienté exploitation.

Contrôles d’accès : MFA, RBAC, séparation des environnements.
Chiffrement : transit, repos, clés, rotation.
Journalisation : qui a fait quoi, quand, sur quelles données.
Protection LLM : filtrage, règles anti-exfiltration, garde-fous outils.
Plan de réponse incident : détection, containment, communication.

Deux briques utiles pour ne pas raconter n’importe quoi :

8) Preuve de performances : métriques, jeux de tests, et limites connues

À produire : un protocole de test et des résultats, même simples.

Jeu de tests représentatif : documents types, questions usuelles, cas limites.
Métriques adaptées : taux de bonne réponse, exactitude des citations, taux de refus, latence, coût.
Comparaison : baseline sans IA, ou modèle alternatif.
Limites connues et plans de correction : c’est mieux que prétendre “100%”.

Sur la méthode de jeu de tests : https://lyon-ia.com/blog/evaluer-reponses-ia-jeu-de-tests

Sur la lecture des benchmarks sans se faire piéger : https://lyon-ia.com/blog/les-benchmarks-ia-sont-ils-fiables-guide-pour-choisir-un-modele-sans-se-faire-pieger

9) Traçabilité et gouvernance : qui valide, qui surveille, qui arrête

À produire : une gouvernance minimale, avec des rôles et des rituels.

Responsable produit IA : owner des règles et des évolutions.
Référent sécurité : validation des connecteurs et des droits.
Référent juridique/DPO : cadrage données, information, droits.
Comité de suivi : incidents, dérives, retours utilisateurs, KPI.
Kill switch : procédure d’arrêt, mode dégradé, rollback.

Sur “qui décide quoi” quand tu n’es pas un grand groupe : https://lyon-ia.com/blog/gouvernance-ia-entreprise

Sur la traçabilité des décisions aidées par IA : https://lyon-ia.com/blog/tracabilite-decisions-ia

10) Clauses contractuelles et réversibilité : tu dois pouvoir sortir proprement

À produire : des engagements contractuels réalistes et vérifiables.

Réversibilité : export des données, formats, délais, coûts, assistance.
Évolutions modèles : gestion des mises à jour, information, validation.
SLA et support : horaires, délais, escalade, pénalités.
Audit et conformité : accès aux preuves, rapports, attestations.
Protection données : sous-traitance RGPD, incidents, confidentialité.

Si tu veux éviter le piège “contrat SaaS standard qui ne colle pas au public”, commence par relire les clauses sensibles : https://lyon-ia.com/blog/contrat-fournisseur-ia-clauses

Trois cas typiques en AURA : ce que l’acheteur va vraiment te demander

Cas 1 : Chatbot usagers (collectivité, guichet, démarches)

Transparence : mention visible “vous échangez avec un système automatisé”.
Gestion des erreurs : fallback vers un humain, refus sur sujets sensibles.
Données : attention aux données personnelles dans les messages.
Preuves : taux de bonne orientation, taux de satisfaction, logs.

Cas 2 : Assistance aux agents (copilote interne sur procédures)

Traçabilité : conserver ce qui a été proposé, accepté, modifié.
Sécurité : droits fins, cloisonnement, prévention exfiltration.
Qualité : réponse sourcée, citations, date de mise à jour des docs.
Réversibilité : sortir les bases, les prompts, la configuration.

Sur la construction d’un assistant interne sur docs : https://lyon-ia.com/blog/creer-un-assistant-interne-documentation-entreprise

Cas 3 : Analyse documentaire (tri, extraction, résumé, classement)

Registre d’usages : quels documents, quels champs extraits, quels seuils.
Preuves : précision extraction, taux d’erreur, cas limites.
Données : conservation, anonymisation si nécessaire.
Sécurité : contrôle des pièces jointes et des accès.

Sur la structuration documentaire : https://lyon-ia.com/blog/automatiser-gestion-documentaire

DINUM IA et commande publique : à quoi t’attendre dans les DCE

Trois éléments reviennent, et vont probablement se renforcer avec le Pacte Numérique et IA.

Alignement sur des briques mutualisées ou sur des exigences proches (hébergement France, sécurité élevée). Référence : SIIAG sur ia.numerique.gouv.fr.
Clauses types et attentes documentaires, soutenues par la fiche achats responsables IA (DINUM, DAE, Ecolab). Référence : economie.gouv.fr.
Interlocuteurs conformité : la DINUM met en avant une cellule conformité IA, qui aide à identifier les obligations applicables (AI Act, RGPD, CRPA selon les cas) et peut émettre un avis. Référence : ia.numerique.gouv.fr.

Ça veut dire une chose : si tu arrives avec un dossier propre, tu gagnes du temps et tu réduis le risque de te faire sortir pour “insuffisance de garanties”.

Plan d’action en 7 jours pour être prêt sur un AO IA en AURA

Jour 1 : fais ton registre d’usages (point 1). Une page suffit si elle est claire.
Jour 2 : qualification AI Act et transparence (points 2 et 3). Écris les mentions UI.
Jour 3 : analyse de risques et garde-fous (point 4). Décide qui valide quoi.
Jour 4 : fiche data (point 5). Localisation, flux, conservation, options.
Jour 5 : cartographie sous-traitants (point 6) + annexes contractuelles.
Jour 6 : dossier sécurité (point 7) + plan incident.
Jour 7 : protocole de tests et premières mesures (point 8) + gouvernance (point 9) + réversibilité (point 10).

Ce que tu gagnes si tu fais ce pré-audit avant d’écrire ton mémoire technique

Tu gagnes trois choses, très concrètes :

Tu réduis les allers-retours en phase questions-réponses : tu as déjà les pièces.
Tu sécurises l’exécution : ce que tu promets dans l’AO est aligné avec ce que tu peux livrer.
Tu te différencies : beaucoup de candidats parlent “IA responsable”. Peu savent prouver.

Le Pacte accélère les tests et déploiements. L’AI Act impose la transparence et pousse la gouvernance. La combinaison donne une règle simple : avant de répondre à un marché public IA, prépare ton dossier comme si tu étais déjà en mise en prod.