L’AI Act européen adopte une approche fondée sur le niveau de risque. Une entreprise qui utilise un générateur de texte pour préparer des idées n’a pas les mêmes obligations qu’une organisation déployant un système dans le recrutement ou l’accès à un service essentiel. Il faut donc commencer par qualifier les usages plutôt que chercher une conformité unique pour « l’IA ».
Le règlement est entré en vigueur en août 2024 et s’applique selon un calendrier progressif. La plupart de ses dispositions sont devenues applicables le 2 août 2026, avec des exceptions et des échéances propres à certaines catégories. Une vérification juridique reste nécessaire pour les usages sensibles.
1. Tenir un inventaire des systèmes d’IA
Recensez les outils achetés par l’entreprise, les fonctions d’IA intégrées dans des logiciels existants et les systèmes développés en interne. Notez le fournisseur, le but, les utilisateurs, les données d’entrée, les personnes affectées et les décisions influencées.
Un outil peut changer de niveau de risque selon son usage. Résumer une offre d’emploi et classer automatiquement des candidats ne sont pas la même activité.
2. Déterminer le rôle de l’entreprise
L’organisation peut être simple utilisatrice, déployeur, fournisseur ou importateur selon ce qu’elle fait du système. Une personnalisation profonde, une commercialisation sous sa propre marque ou une modification de la finalité peut changer les responsabilités. Ce point doit être clarifié dans le contrat et avec le conseil juridique lorsque le projet est important.
3. Identifier les usages interdits ou à haut risque
Certains usages sont interdits et d’autres, notamment dans des domaines comme l’emploi, l’éducation, les infrastructures essentielles ou l’accès à certains services, peuvent relever du haut risque. Le simple fait qu’un fournisseur présente son outil comme « conforme » ne remplace pas l’analyse de la finalité et du contexte de déploiement.
4. Organiser la compétence des utilisateurs
L’obligation de culture ou de maîtrise de l’IA implique une formation adaptée aux personnes qui exploitent les systèmes. Elles doivent comprendre les limites, les erreurs possibles, les données autorisées et la manière d’exercer une supervision réelle. Une présentation commerciale de trente minutes ne suffit pas pour un usage sensible.
5. Vérifier la transparence
Selon l’usage, les personnes peuvent devoir être informées qu’elles interagissent avec une IA ou qu’un contenu a été généré ou manipulé artificiellement. Les exigences de transparence doivent être traduites dans l’interface, les procédures et la documentation, pas uniquement dans les conditions générales.
6. Conserver des preuves de gouvernance
- inventaire et responsable de chaque système ;
- analyse de l’usage et du niveau de risque ;
- documentation et engagements du fournisseur ;
- tests réalisés avant et après mise en production ;
- consignes et formations délivrées ;
- incidents, réclamations et mesures correctives ;
- règles de supervision et possibilité d’arrêt.
AI Act et RGPD ne se remplacent pas
Lorsqu’un système traite des données personnelles, le RGPD continue de s’appliquer : base légale, information, minimisation, droits des personnes, sécurité et encadrement des sous-traitants. Un projet peut être acceptable au regard de l’AI Act tout en restant mal cadré sur les données personnelles.
La démarche pragmatique
Commencez par les usages qui touchent des personnes ou influencent une décision importante. Demandez au fournisseur sa documentation, ses limites prévues et la répartition des responsabilités. Pour les usages à fort impact, associez direction métier, sécurité, protection des données et conseil juridique avant le déploiement.
La conformité ne se résume pas à une étiquette sur le logiciel. Elle repose sur la manière dont l’entreprise choisit, configure, explique, surveille et, si nécessaire, arrête le système.
Article informatif. Pour une décision juridique, réglementaire ou de sécurité à fort enjeu, faites valider votre situation par un professionnel compétent.
