AI Act : testez les obligations de votre entreprise

Suivez LEBIGDATA.FR

Un chatbot sur un site, un logiciel qui trie des CV et une IA qui résume des réunions peuvent utiliser les mêmes modèles. Pourtant, l’AI Act ne les regarde pas du tout de la même manière. Le règlement européen ne classe pas seulement une technologie. Il examine sa finalité, les personnes touchées, le rôle de l’entreprise et le pouvoir réellement accordé au système.

C’est précisément ce qui rend la conformité si pénible. Une PME peut utiliser ChatGPT sans devenir fournisseur d’un modèle d’IA à usage général. En revanche, elle peut endosser des responsabilités de déployeur dès qu’elle branche un outil d’IA sur son recrutement, ses clients ou ses salariés. Le diagnostic ci-dessous permet d’obtenir une première orientation et une liste d’actions à vérifier.

Ce questionnaire fournit une orientation générale à partir des réponses saisies. Il ne constitue pas un avis juridique et ne remplace pas le Compliance Checker officiel de la Commission européenne.

L’AI Act ne juge pas une marque, mais ce que vous lui faites faire

Demander à une IA de reformuler un email interne ne présente pas le même risque que lui confier le rejet automatique d’une candidature. Dans les deux cas, l’entreprise peut utiliser le même modèle de langage. La différence tient à la finalité prévue et aux conséquences pour les personnes.

C’est pourquoi un inventaire limité aux noms des logiciels ne suffit pas. Écrire « ChatGPT », « Gemini » ou « Copilot » dans un tableur ne révèle ni les données envoyées, ni les décisions influencées, ni les personnes exposées. Pour chaque usage, il faut au minimum identifier :

la fonction réellement utilisée ;
le service qui l’utilise et les personnes concernées ;
les données saisies, générées et conservées ;
le rôle de l’entreprise dans la chaîne ;
le niveau d’autonomie laissé au système ;
la présence ou non d’un contrôle humain réel.

Le mot « réel » compte. Un salarié chargé d’approuver machinalement toutes les recommandations n’est pas une supervision humaine très convaincante. L’humain décoratif posé à côté de l’algorithme ne transforme pas automatiquement une décision automatisée en décision humaine.

Le couperet commence avec les pratiques interdites

Le premier filtre n’est pas de savoir si le système est risqué, mais s’il est tout simplement interdit. L’article 5 vise notamment certaines manipulations causant un préjudice, l’exploitation de vulnérabilités, la notation sociale, certaines formes de prédiction criminelle, la constitution de bases faciales par collecte non ciblée et plusieurs usages biométriques.

La reconnaissance des émotions au travail et dans les établissements scolaires figure également dans la zone rouge, sauf exceptions médicales ou liées à la sécurité. Une entreprise qui prétend mesurer l’enthousiasme d’un candidat à partir de son visage n’a donc pas seulement inventé un entretien particulièrement sinistre. Elle peut se rapprocher d’une pratique interdite.

L’interdiction de certains usages de l’IA s’applique depuis le 2 février 2025. L’AI Omnibus entré en vigueur le 27 juillet 2026 a également ajouté une neuvième interdiction visant certains contenus intimes synthétiques créés sans consentement. Selon le calendrier publié par la Commission, cette nouvelle interdiction doit s’appliquer à partir de décembre 2026.

Une pratique interdite ne se répare pas avec une bannière d’information ou une case à cocher. Le premier réflexe doit être de suspendre la fonction concernée, de fixer précisément sa finalité et de faire examiner les éventuelles exceptions par un spécialiste.

Haut risque ne signifie pas automatiquement interdit

Les systèmes à haut risque restent autorisés, mais leur développement et leur déploiement sont soumis à une discipline nettement plus lourde. L’AI Act distingue deux grandes familles.

La première concerne les systèmes intégrés à certains produits réglementés, par exemple des machines, dispositifs médicaux, jouets, véhicules ou équipements de sécurité. La seconde, détaillée dans l’annexe III, vise plusieurs domaines capables de changer concrètement la vie d’une personne :

biométrie et reconnaissance de personnes ;
infrastructures critiques ;
éducation et formation professionnelle ;
recrutement et gestion des travailleurs ;
crédit, assurance, santé et accès à certains services essentiels ;
police et évaluation de preuves ;
migration, asile et contrôle des frontières ;
justice et processus démocratiques.

Le classement des IA à haut risque dépend toutefois de l’usage précis. Dans certaines situations, une tâche étroite, préparatoire ou procédurale peut ne pas présenter de risque important pour les droits fondamentaux. Cette exception doit être justifiée. Dès qu’un système effectue du profilage de personnes, la porte de sortie devient beaucoup plus étroite.

Intelligence artificielle traversant les quatre niveaux de risque définis par l’AI Act — L’AI Act distingue les pratiques interdites, les systèmes à haut risque, les obligations de transparence et les usages à risque minimal.

L’AI Omnibus a repoussé des échéances, pas supprimé les obligations

Une partie des anciens calendriers publiés en ligne est déjà périmée. L’AI Omnibus, entré en vigueur le 27 juillet 2026, a prolongé la période de préparation pour les systèmes à haut risque. Les règles de l’annexe III doivent désormais s’appliquer à partir du 2 décembre 2027. Pour les systèmes intégrés aux produits relevant de l’annexe I, l’échéance est fixée au 2 août 2028.

Ce report ne met pas tout l’AI Act en sommeil. Les interdictions sont déjà applicables depuis février 2025. Le régime des modèles d’IA à usage général s’applique depuis août 2025. Les pouvoirs de contrôle et plusieurs obligations générales ou de transparence sont entrés en application le 2 août 2026.

Autrement dit, les entreprises ont obtenu du temps pour préparer les dossiers les plus lourds, pas une permission de tout brancher en attendant 2027. La Commission européenne détaille le calendrier actualisé et précise les effets de la réforme.

Les chatbots et contenus synthétiques doivent déjà jouer cartes sur table

L’article 50 impose des obligations de transparence à certains fournisseurs et déployeurs. Une personne doit notamment être informée lorsqu’elle interagit avec une IA, sauf si cela apparaît déjà évident dans le contexte. Un faux conseiller humain caché derrière une photo de banque d’images n’est donc pas exactement le sommet de la subtilité réglementaire.

Les fournisseurs de systèmes générant du texte, des images, de l’audio ou de la vidéo doivent aussi prévoir un marquage lisible par machine lorsque les conditions de l’article sont réunies. Les déployeurs doivent signaler les deepfakes et certains textes générés diffusés pour informer le public sur des sujets d’intérêt général.

Des exceptions existent, notamment pour certains contenus soumis à un véritable contrôle éditorial et placés sous la responsabilité d’une personne physique ou morale. Là encore, il ne suffit pas d’écrire « relu par un humain » dans une politique interne. Il faut pouvoir décrire le processus, la responsabilité et le contrôle effectivement exercé.

Ces obligations de transparence sur les contenus générés sont applicables depuis le 2 août 2026. Le code de bonnes pratiques proposé au niveau européen reste volontaire, mais les obligations prévues par le règlement ne le sont pas.

Fournisseur ou déployeur : le même outil, deux dossiers différents

Une entreprise qui utilise un logiciel d’IA acheté à un éditeur agit généralement comme déployeur. Celle qui développe un système ou le fait développer pour le commercialiser sous son nom peut devenir fournisseur. Un importateur, un distributeur et un fabricant intégrant l’IA dans son produit disposent encore d’autres responsabilités.

Le changement de rôle peut survenir plus vite qu’on ne le pense. Modifier substantiellement un système, détourner sa finalité ou apposer sa propre marque peut déplacer les obligations. Une agence ne devient pas automatiquement fournisseur de modèle général parce qu’elle utilise une API, mais elle peut devenir fournisseur du système qu’elle construit autour de cette API.

Pour un système à haut risque, le fournisseur doit notamment traiter la gestion des risques, la gouvernance des données, la documentation technique, la journalisation, la supervision humaine, la robustesse et la cybersécurité. Le déployeur doit respecter les instructions, organiser la surveillance humaine, suivre le fonctionnement et conserver certains journaux lorsqu’ils sont sous son contrôle.

Les contrats doivent donc préciser qui fournit quoi, qui conserve les logs, qui surveille les incidents et qui informe les personnes. Sans cette répartition, chacun risque de découvrir ses responsabilités au moment le moins divertissant : pendant un contrôle.

Cette gouvernance ne peut pas rester coincée dans le service juridique. Le retour d’expérience présenté dans notre article sur la gouvernance des IA RH montre pourquoi l’inventaire, les rôles et les preuves doivent être reliés aux usages de terrain.

Les modèles à usage général suivent leur propre régime

Les obligations visant les modèles d’IA à usage général concernent principalement leurs fournisseurs. Développer et mettre sur le marché un modèle capable d’accomplir une grande variété de tâches n’est pas la même chose qu’utiliser ChatGPT ou Claude dans un service marketing.

Les fournisseurs concernés doivent notamment préparer une documentation technique, transmettre des informations aux acteurs intégrant le modèle, appliquer une politique relative au droit d’auteur et publier un résumé suffisamment détaillé des contenus utilisés pour l’entraînement. Les modèles présentant un risque systémique sont soumis à des exigences supplémentaires concernant l’évaluation, les risques, les incidents et la cybersécurité.

Le diagnostic distingue donc le fournisseur de modèle général du simple utilisateur d’un service. Cette différence évite de remettre à une PME utilisant un chatbot la liste de courses réglementaire d’un laboratoire entraînant son propre grand modèle.

Le RGPD ne disparaît pas derrière le nouveau règlement

L’AI Act encadre les systèmes et leurs risques. Le RGPD encadre les traitements de données personnelles. Lorsqu’une IA analyse des CV, enregistre des conversations, surveille des salariés ou personnalise des décisions, les deux textes peuvent s’appliquer en même temps.

Une classification en risque limité au titre de l’AI Act ne rend pas automatiquement licite la collecte de données. L’entreprise doit toujours examiner la base légale, l’information des personnes, la minimisation, la durée de conservation, la sécurité et l’exercice des droits. La CNIL rappelle que le RGPD et le règlement IA se complètent.

Cette articulation est particulièrement importante dans les ressources humaines. Le recrutement, l’évaluation des performances et certaines décisions touchant les salariés apparaissent dans l’annexe III. LeBigData a également détaillé les règles européennes entourant l’IA dans les RH.

Que faire après le résultat du diagnostic ?

Le résultat n’est pas un certificat de conformité. Il sert à décider où commencer. Une organisation classée en risque limité doit tout de même connaître ses outils, ses fournisseurs et les données utilisées. Une organisation relevant de la transparence doit vérifier ses messages, son marquage et ses procédures éditoriales. Un cas à haut risque demande une analyse juridique et technique beaucoup plus structurée.

Le plan de travail le plus raisonnable tient en cinq étapes :

Inventorier chaque cas d’usage, pas seulement chaque logiciel.
Attribuer les rôles de fournisseur, déployeur, importateur ou distributeur.
Vérifier les interdictions avant de calculer le reste.
Documenter la classification, y compris lorsqu’une exception au haut risque est retenue.
Transformer les obligations en responsables et échéances plutôt qu’en présentation PowerPoint oubliée dans un dossier partagé.

Une entreprise peut ensuite comparer cette première orientation avec le questionnaire officiel de l’AI Act Service Desk. Les cas impliquant le recrutement, la biométrie, les services essentiels, des personnes vulnérables ou une pratique potentiellement interdite méritent une validation spécialisée.

FAQ sur le diagnostic AI Act

Toutes les entreprises utilisant ChatGPT sont-elles soumises aux obligations des fournisseurs de modèles ?

Non. Une entreprise utilisant un service tiers agit généralement comme déployeur, pas comme fournisseur du modèle général. Son rôle peut toutefois changer si elle développe, modifie substantiellement ou commercialise un système sous son propre nom.

Une IA utilisée pour recruter est-elle toujours à haut risque ?

Les systèmes destinés à filtrer des candidatures, évaluer des candidats ou prendre certaines décisions liées à l’emploi figurent dans l’annexe III. La qualification exacte dépend de la fonction réellement utilisée et des règles de l’article 6, mais il faut partir du principe qu’une analyse approfondie est nécessaire.

Un chatbot doit-il annoncer qu’il est une IA ?

Lorsqu’un système interagit directement avec une personne, celle-ci doit en principe être informée, sauf si la nature artificielle de l’interaction est déjà évidente pour une personne raisonnablement attentive.

Le report à 2027 signifie-t-il que les entreprises peuvent attendre ?

Non. Le report concerne principalement les règles applicables aux systèmes à haut risque de l’annexe III. Les interdictions, les obligations GPAI, la transparence et les pouvoirs de contrôle suivent d’autres échéances, dont plusieurs sont déjà passées.

Le diagnostic suffit-il pour prouver la conformité ?

Non. Il fournit une orientation éditoriale et pédagogique. Une preuve de conformité repose sur la qualification documentée, les procédures, les contrôles, les contrats, les journaux, les évaluations et les mesures réellement appliquées.