AI Act : ce qui change vraiment pour les entreprises

L'AI Act est le premier cadre juridique complet au monde consacré à l'intelligence artificielle. Il ne concerne pas seulement les entreprises qui développent de l'IA : dès que vous utilisez un outil qui en contient, vous entrez dans son champ. Beaucoup de dirigeants découvrent tard qu'un logiciel de tri de CV ou de scoring est déjà encadré par ce texte.

Ce règlement européen, adopté en 2024, s'applique de façon progressive. Sa logique est graduée : plus un système d'IA peut affecter la sécurité ou les droits des personnes, plus les obligations sont lourdes. Cet article décrypte ce que l'AI Act change pour votre organisation : sa définition, la classification par niveaux de risque, les obligations, son lien avec le RGPD et les premières actions à mener.

Définition — L'AI Act (Règlement (UE) 2024/1689) est le texte européen qui encadre la conception, la mise sur le marché et l'usage des systèmes d'intelligence artificielle. Il repose sur une classification par niveau de risque et impose des obligations proportionnées à ce risque, avec une application progressive dans l'Union.

Points clés

• L'AI Act est le règlement européen qui encadre l'intelligence artificielle selon une approche par les risques.
• Il classe les systèmes en quatre niveaux : risque inacceptable, haut risque, risque limité et risque minimal.
• Il s'applique aussi bien aux fournisseurs de systèmes d'IA qu'aux entreprises qui les utilisent.
• Les systèmes à haut risque supportent les obligations les plus strictes : documentation, gestion des risques, supervision humaine.
• L'AI Act et le RGPD se combinent, car l'IA traite le plus souvent des données personnelles.

AI Act : définition et objectif du règlement IA

L'AI Act est le règlement européen qui fixe des règles communes pour les systèmes d'intelligence artificielle utilisés dans l'Union. Son nom officiel est Règlement (UE) 2024/1689. On parle aussi de règlement IA.

Son objectif est double. Encadrer les usages qui présentent un risque pour la sécurité, la santé ou les droits fondamentaux des personnes. Et donner un cadre stable aux entreprises qui conçoivent et déploient de l'IA en Europe. Le but n'est pas de freiner l'innovation, mais de poser des garde-fous ciblés.

En tant que règlement, il s'applique directement dans chaque pays de l'Union, sans loi de transposition, avec une mise en œuvre échelonnée selon les types de systèmes. C'est cette montée en charge que couvre notre accompagnement à la conformité AI Act.

Bon à savoir — L'AI Act distingue plusieurs rôles. Le fournisseur conçoit ou met sur le marché un système d'IA. Le déployeur l'utilise dans un cadre professionnel. Une même entreprise peut cumuler les deux, et vos obligations dépendent du rôle que vous tenez.

La classification de l'AI Act par niveaux de risque

L'AI Act répartit les systèmes d'IA en quatre catégories, et les obligations augmentent avec le niveau de risque. Cette classification est le cœur du règlement : elle détermine ce que vous devez mettre en place.

• Risque inacceptable : usages interdits car contraires aux valeurs de l'Union. On y trouve la notation sociale généralisée des individus par les autorités publiques ou certaines formes de manipulation exploitant les vulnérabilités des personnes.
• Haut risque : systèmes autorisés mais soumis aux obligations les plus strictes. Ils concernent des domaines sensibles comme le recrutement, l'accès au crédit, l'éducation ou certains dispositifs de sécurité.
• Risque limité : systèmes soumis à des obligations de transparence. L'utilisateur doit savoir qu'il interagit avec une IA, et les contenus générés artificiellement doivent pouvoir être identifiés.
• Risque minimal : la grande majorité des usages, comme les filtres anti-spam ou les moteurs de recommandation courants. Aucune obligation spécifique ne s'y applique.

Situer chacun de vos systèmes dans cette grille est la première étape concrète, un même outil pouvant changer de niveau selon le contexte d'utilisation.

Attention — Un outil du commerce peut vous placer dans la catégorie haut risque sans que vous l'ayez conçu. Utiliser un logiciel d'IA pour trier des candidatures ou évaluer des salariés relève de ce niveau. La responsabilité ne pèse pas que sur l'éditeur : en tant que déployeur, vous portez vos propres obligations.

Systèmes d'IA à haut risque : les obligations concrètes

Un système d'IA à haut risque est soumis à des obligations que le fournisseur et le déployeur doivent respecter avant et pendant son exploitation. Elles visent à garantir qu'il reste sûr, contrôlé et documenté tout au long de sa vie. Cela suppose de mettre en place :

• Un système de gestion des risques, tenu à jour pendant toute la durée de vie du système.
• Une gouvernance des données utilisées pour l'entraînement et le fonctionnement, afin de limiter les biais.
• Une documentation technique et une traçabilité permettant de comprendre et de contrôler le système.
• Une supervision humaine effective, pour que des personnes puissent intervenir et reprendre la main.
• Un niveau approprié d'exactitude et de sécurité, notamment face aux erreurs et aux tentatives de détournement.

Ces exigences ne se construisent pas en quelques jours : elles demandent des process, des preuves conservées et des responsabilités claires.

Conseil — Ne partez pas des obligations, partez de vos systèmes. Cartographiez d'abord les outils d'IA réellement utilisés dans l'entreprise, puis classez-les par niveau de risque. C'est le moyen de concentrer l'effort là où il compte. Pour cadrer cette étape, demandez un devis : un premier échange suffit souvent à identifier vos systèmes sensibles.

AI Act et RGPD : deux cadres qui se combinent

L'AI Act et le RGPD s'appliquent en parallèle, car la plupart des systèmes d'IA traitent des données personnelles. L'un encadre le système d'IA lui-même, l'autre les données qu'il utilise. Les traiter séparément revient à faire deux fois le même travail de gouvernance.

Un exemple : un outil de scoring de prospects apprend sur des données clients. Le RGPD impose une base légale, une finalité et de la transparence. L'AI Act ajoute, si l'usage est sensible, des exigences de supervision et de gestion des risques. Les deux se rejoignent sur la capacité à rendre des comptes.

Une organisation déjà avancée en RGPD part avec un avantage réel. Le registre des traitements et les réflexes de gouvernance servent de socle. Notre article RGPD, c'est quoi revient sur ces fondamentaux, et l'analyse d'impact sur la protection des données recoupe la logique de gestion des risques attendue par l'AI Act.

Bon à savoir — La mise en conformité RGPD et la conformité à l'AI Act gagnent à être menées ensemble. Intégrer le privacy by design dès la conception de vos projets d'IA évite de corriger après coup, quand les choix techniques sont figés.

Sanctions et calendrier : ce que risque une entreprise

Le non-respect de l'AI Act expose à des sanctions financières calquées sur le modèle du RGPD. Pour les usages interdits, l'amende peut aller jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. D'autres manquements relèvent de plafonds inférieurs, mais restent lourds pour une PME.

Le calendrier est progressif. Les interdictions visant les usages à risque inacceptable s'appliquent en premier, tandis que les obligations pesant sur les systèmes à haut risque entrent en vigueur par étapes. Cette montée en charge laisse du temps, à condition de ne pas attendre pour identifier vos systèmes concernés.

Au-delà de l'amende, le vrai enjeu est opérationnel : un système jugé non conforme peut devoir être suspendu, ce qui pousse à anticiper plutôt qu'à subir l'arrêt d'un outil utile.

Ce que les entreprises doivent faire maintenant

La première action utile est de cartographier vos usages d'IA, puis de les classer par niveau de risque. Sans cette photographie, vous ne savez pas quelles obligations vous concernent. Voici les étapes que nous recommandons :

1. Recenser tous les systèmes d'IA utilisés, y compris les outils intégrés à des logiciels existants.
2. Classer chaque système dans l'un des quatre niveaux de risque.
3. Vérifier votre rôle pour chacun : fournisseur, déployeur, ou les deux.
4. Documenter les systèmes sensibles et organiser la supervision humaine.
5. Piloter cette conformité dans la durée, en l'ancrant dans vos process.

Selon votre taille, s'appuyer sur un DPO externe permet de tenir cet effort sans mobiliser une ressource interne à plein temps, d'autant que le sujet croise la protection des données. La démarche complète est détaillée sur notre page dédiée à la conformité AI Act.

Conseil — Une conformité réaliste, priorisée par les risques, vaut mieux qu'un projet parfait jamais terminé. C'est l'approche que nous appliquons chez le cabinet mydari, avec plus de dix clients accompagnés, de la start-up au grand groupe. Chez notre client Sonergia, elle a permis de diviser par trois le budget RGPD et d'économiser 45 jours-homme. Prendre contact pour en discuter.

FAQ

Qu'est-ce que l'AI Act ?

L'AI Act est le règlement européen (Règlement (UE) 2024/1689) qui encadre les systèmes d'intelligence artificielle. C'est le premier cadre juridique complet au monde sur le sujet. Il repose sur une approche par les risques et s'applique de façon progressive dans tous les pays de l'Union européenne.

Qui est concerné par l'AI Act ?

Toute organisation qui conçoit, met sur le marché ou utilise un système d'IA dans un cadre professionnel est concernée. Cela vise autant les éditeurs de solutions que les entreprises qui déploient un outil du commerce. La taille et le secteur n'exonèrent de rien : c'est l'usage réel qui compte.

Quels systèmes d'IA sont considérés à haut risque ?

Les systèmes utilisés dans des domaines sensibles relèvent du haut risque, par exemple le recrutement, l'évaluation des salariés, l'accès au crédit ou l'éducation. Ils sont autorisés, mais soumis à des obligations strictes de documentation, de gestion des risques et de supervision humaine.

Quelle est la différence entre l'AI Act et le RGPD ?

Le RGPD encadre le traitement des données personnelles, l'AI Act encadre les systèmes d'intelligence artificielle. Les deux se combinent, car l'IA traite le plus souvent des données personnelles. Une organisation déjà avancée en RGPD dispose d'un socle utile pour aborder l'AI Act.

Quelles sanctions en cas de non-respect de l'AI Act ?

Les sanctions sont calquées sur le modèle du RGPD. Pour les usages interdits, l'amende peut atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. D'autres manquements relèvent de plafonds inférieurs, et un système non conforme peut devoir être suspendu.

Mon entreprise utilise ChatGPT, suis-je concerné ?

Oui, en tant que déployeur. Utiliser un outil d'IA générative dans un cadre professionnel vous soumet à des obligations, notamment de transparence lorsque des contenus sont générés ou que des personnes interagissent avec l'IA. Le niveau d'exigence dépend ensuite de l'usage concret.

Par où commencer sa mise en conformité à l'AI Act ?

Commencez par recenser tous les outils d'IA utilisés dans l'entreprise, puis classez-les par niveau de risque. Cette cartographie révèle vos systèmes sensibles et les obligations réelles, avant de documenter les usages à haut risque et d'organiser la supervision humaine.

Conclusion

L'AI Act ne vise pas que les entreprises de la tech. Il concerne toute organisation qui déploie de l'intelligence artificielle, avec une logique lisible : quatre niveaux de risque, des obligations proportionnées et une application progressive. Le comprendre, c'est déjà savoir où porter votre attention.

Si vous voulez transformer ce décryptage en une démarche concrète et priorisée, prenez contact avec nos équipes : nous cadrons ensemble vos premières étapes. Pour approfondir la protection des données qui va de pair, parcourez le blog.

Pour aller plus loin, consultez le texte du règlement IA sur EUR-Lex et les ressources officielles de la CNIL.

L'équipe mydari

Tous les articles