AI Act : ce qui s'applique vraiment aux entreprises qui utilisent l'IA

Un règlement qui vise les usages, pas seulement la technologie

Le règlement européen sur l'intelligence artificielle, communément appelé AI Act, est entré en vigueur en août 2024 et s'applique par étapes. Contrairement à une idée répandue, il ne concerne pas uniquement les éditeurs de modèles : il s'adresse aussi, et surtout, aux organisations qui déploient des systèmes d'IA dans leurs processus. Une collectivité qui utilise un outil de tri de candidatures, un cabinet qui automatise l'analyse de dossiers ou une PME qui branche un assistant conversationnel sur ses données clients entrent dans le champ du texte.

La logique du règlement est celle du risque. Plus l'usage est susceptible d'affecter les droits, la sécurité ou les opportunités des personnes, plus les obligations sont lourdes. À l'inverse, un usage bureautique interne sans données sensibles reste très peu contraint. Cette gradation est une bonne nouvelle pour les structures modestes : la conformité n'a pas le même coût selon ce que l'on fait de l'IA.

Le texte introduit aussi une notion nouvelle pour beaucoup d'organisations : la responsabilité de ce que produit un système que l'on n'a pas conçu. Utiliser un outil du marché ne dispense pas de vérifier qu'il est adapté à l'usage, de superviser ses résultats et d'informer les personnes concernées.

Fournisseur ou déployeur : la question qui change tout

Le règlement distingue plusieurs rôles. Le fournisseur développe un système d'IA ou le met sur le marché sous son nom. Le déployeur l'utilise sous sa propre autorité dans le cadre de son activité professionnelle. La grande majorité des entreprises et des collectivités sont des déployeurs, ce qui allège considérablement leurs obligations.

Attention toutefois : ce statut peut basculer. Une organisation qui rebaptise un système sous sa marque, qui en modifie substantiellement la finalité ou qui l'intègre dans un produit vendu à des tiers devient fournisseur au sens du règlement, avec les obligations documentaires correspondantes. C'est un point à vérifier avant de construire un service autour d'un modèle du marché.

Les obligations du déployeur restent réelles mais praticables : utiliser le système conformément à la notice, assurer une supervision humaine par des personnes compétentes, veiller à la pertinence des données d'entrée qu'il contrôle, conserver les journaux lorsqu'ils sont disponibles, informer les personnes concernées et signaler les incidents graves au fournisseur et à l'autorité.

Les quatre niveaux de risque en pratique

Certaines pratiques sont purement interdites depuis février 2025 : notation sociale, exploitation des vulnérabilités des personnes, reconnaissance des émotions sur le lieu de travail ou dans l'enseignement, catégorisation biométrique fondée sur des données sensibles. Ces interdictions concernent peu d'organisations, mais leur violation est sanctionnée au niveau le plus élevé.

Les systèmes à haut risque forment le cœur du dispositif. Ils couvrent notamment le recrutement et la gestion des ressources humaines, l'accès à l'éducation, l'évaluation de la solvabilité, certains services publics essentiels, la sécurité des infrastructures critiques et plusieurs usages en matière de justice ou de migration. Pour ces systèmes, le déployeur doit garantir une supervision humaine effective, tenir des journaux, informer les personnes concernées et, pour les organismes publics, conduire une analyse d'impact sur les droits fondamentaux.

Viennent ensuite les systèmes à risque limité, soumis à des obligations de transparence : indiquer qu'un utilisateur interagit avec une IA, signaler les contenus générés ou manipulés, notamment les images et vidéos synthétiques. C'est la catégorie qui concerne le plus grand nombre d'organisations aujourd'hui, à travers les agents conversationnels et la génération de contenus.

Enfin, la grande majorité des usages courants relève du risque minimal : rédaction, synthèse, traduction, aide au code. Aucune obligation spécifique ne s'y applique, ce qui ne dispense pas des règles générales de protection des données et de sécurité de l'information.

Le calendrier et l'obligation de formation

Les interdictions et l'obligation de maîtrise de l'IA s'appliquent depuis février 2025. Les règles relatives aux modèles d'usage général sont entrées en vigueur en août 2025. L'essentiel des obligations liées aux systèmes à haut risque s'applique à partir d'août 2026, avec un délai supplémentaire jusqu'en 2027 pour les systèmes intégrés à des produits déjà réglementés.

Une disposition passe souvent inaperçue alors qu'elle s'applique déjà à tout le monde : l'article consacré à la maîtrise de l'IA impose aux fournisseurs comme aux déployeurs de veiller à ce que les personnes qui utilisent ces systèmes disposent d'un niveau de connaissance suffisant, au regard de leurs fonctions et du contexte d'usage. Concrètement, une organisation doit pouvoir montrer qu'elle a informé et formé ses équipes, et non simplement diffusé un outil.

Cette exigence est aussi la plus simple à traiter rapidement. Une session de sensibilisation, une charte d'usage claire et une trace des personnes formées suffisent à constituer un début de preuve solide.

Une mise en conformité qui s'appuie sur l'existant

Les systèmes d'intelligence artificielle mobilisent des technologies et des composants diversifiés, ce qui appelle une approche globale : sécurité de l'information, protection des données personnelles, sûreté, qualité et impact environnemental doivent être traités ensemble et intégrés aux dispositifs de management déjà en place plutôt que gérés en silos.

En pratique, la démarche tient en quatre mouvements. Recenser les systèmes d'IA réellement utilisés, y compris ceux introduits par les équipes sans validation. Qualifier le rôle de l'organisation, fournisseur ou déployeur, pour chacun d'eux. Classer les usages selon les niveaux de risque du règlement. Puis traiter en priorité les cas à haut risque et les obligations de transparence, en réutilisant le registre des traitements RGPD, les analyses d'impact et les procédures de gestion des incidents existantes.

Une organisation déjà structurée par une démarche RGPD ou par ISO 27001 dispose de la moitié des briques nécessaires. Pour les autres, l'inventaire des usages et la charte constituent le point d'entrée le plus rentable : ils rendent visible ce qui se passe réellement et permettent de décider en connaissance de cause avant l'échéance d'août 2026.