AI Act : anticiper les obligations pour faire de la conformité un atout

L’intelligence artificielle est désormais encadrée par un texte commun dans l’Union européenne. Publié au Journal officiel le 12 juillet 2024 et entré en vigueur le 1er août 2024, le règlement européen sur l’intelligence artificielle, plus souvent appelé AI Act, fixe des règles qui concernent autant les grands fournisseurs de modèles que les organisations qui déploient des outils d’IA dans leur activité.

Le changement n’est pas seulement juridique. Pour une entreprise, une collectivité ou une start-up, l’AI Act oblige à se demander quel système est utilisé, dans quel but, avec quelles données et sous quelle responsabilité humaine. Cette démarche peut sembler lourde, mais elle peut aussi devenir un avantage : un produit dont le fonctionnement, les limites et les garanties sont clairs inspire davantage confiance à un client, un investisseur ou un partenaire.

Un règlement européen fondé sur le niveau de risque

L’AI Act n’interdit pas l’intelligence artificielle en Europe. Son principe central consiste à adapter les obligations au niveau de risque que présente un système pour la santé, la sécurité et les droits fondamentaux des personnes. Plus un usage est susceptible d’avoir des conséquences graves, plus les garanties attendues sont importantes.

Le règlement vise notamment les fournisseurs qui mettent des systèmes d’IA sur le marché européen, les organisations qui les utilisent dans l’Union européenne, ainsi que certains acteurs établis hors de l’UE lorsque les résultats de leur système sont utilisés sur le territoire européen. En pratique, une entreprise française utilisant un outil de recrutement automatisé, une société éditant un logiciel de notation de crédit ou un fournisseur de modèle généraliste peuvent tous être concernés, à des degrés différents.

Le texte distingue quatre grandes situations :

• les pratiques à risque inacceptable, qui seront interdites ;
• les systèmes à haut risque, soumis à des exigences strictes ;
• certains systèmes soumis à des obligations de transparence ;
• les usages à risque faible ou minimal, qui restent largement libres, sous réserve des autres lois applicables, comme le RGPD ou le droit de la consommation.

Quel est le calendrier d’application de l’AI Act ?

Une confusion revient souvent : le règlement n’est pas entré en vigueur le 21 mai 2024. Il est entré en vigueur le 1er août 2024, puis ses dispositions sont appelées à s’appliquer par étapes. Cette progressivité laisse du temps aux organisations pour se préparer, sans leur permettre d’attendre passivement la dernière échéance.

Dès le 2 février 2025, certaines pratiques seront donc prohibées. Il s’agit notamment de plusieurs formes de manipulation ou d’exploitation de vulnérabilités, de la notation sociale, de la collecte non ciblée d’images faciales sur internet ou par vidéosurveillance pour alimenter des bases de données de reconnaissance faciale, ainsi que de certains usages de la reconnaissance des émotions au travail et dans l’éducation.

Les règles ne se limitent pas à des interdictions. L’article consacré à la culture de l’IA, aussi appelée AI literacy, demande aux fournisseurs et aux utilisateurs de systèmes d’IA de prendre des mesures pour que les personnes qui les utilisent ou les supervisent possèdent un niveau suffisant de connaissances. Il ne s’agit pas forcément d’une formation identique pour tous : une équipe technique, un recruteur utilisant un logiciel de tri de candidatures et un service client utilisant un assistant conversationnel n’ont pas les mêmes besoins.

Pourquoi certains systèmes sont-ils considérés comme à haut risque ?

Les systèmes à haut risque ne sont pas nécessairement les plus spectaculaires. Ce sont surtout ceux dont les décisions ou recommandations peuvent peser concrètement sur la vie d’une personne. Le règlement cite, par exemple, certains outils employés dans l’éducation, le recrutement, l’accès à l’emploi, l’évaluation de solvabilité, les services publics essentiels, les infrastructures critiques, l’application de la loi ou la justice.

Un logiciel qui aide à sélectionner des candidats à l’embauche peut ainsi être à haut risque, car un mauvais fonctionnement ou un biais peut priver quelqu’un d’une opportunité professionnelle. De même, un système intervenant dans l’évaluation de la sécurité d’un produit ou dans l’accès à certains services peut nécessiter des protections renforcées.

Avant leur mise sur le marché ou leur mise en service, ces systèmes devront notamment reposer sur :

• une démarche documentée de gestion des risques ;
• des données d’entraînement, de validation et de test suffisamment pertinentes au regard de l’objectif poursuivi ;
• une documentation technique et des journaux d’événements permettant de comprendre et de suivre le système ;
• des mesures de précision, de robustesse et de cybersécurité ;
• une supervision humaine effective ;
• des informations claires destinées aux organisations qui utiliseront le système.

Les fournisseurs devront, selon les cas, effectuer une évaluation de conformité et apposer le marquage requis avant de commercialiser un système à haut risque. Les organisations qui le déploient ne sont pas dispensées pour autant : elles doivent l’utiliser conformément aux instructions, surveiller son fonctionnement et veiller à la qualité des données qu’elles introduisent lorsque cela relève de leur responsabilité.

Fournisseur ou utilisateur : des responsabilités qui ne se confondent pas

L’une des premières erreurs serait de penser qu’acheter un outil externe transfère toute la conformité à son éditeur. L’AI Act répartit les responsabilités selon le rôle réel de chaque acteur. Une même entreprise peut d’ailleurs être utilisatrice pour un outil et fournisseur pour un autre.

Un fournisseur commercialise un système sous son nom ou sa marque, ou le met en service. Un déployeur, parfois qualifié d’utilisateur professionnel, exploite ce système sous son autorité, hors d’un usage purement personnel. Une entreprise qui modifie substantiellement un outil ou le commercialise sous son propre nom peut voir ses responsabilités évoluer.

Cette distinction est particulièrement importante pour les PME. Une petite structure qui utilise une interface d’IA générative pour résumer des documents n’a pas les mêmes devoirs qu’une entreprise qui conçoit un algorithme destiné à classer des candidats. Dans les deux cas, elle doit néanmoins vérifier ce qu’elle achète, les données qu’elle expose à l’outil et les conséquences de l’usage envisagé.

Les modèles d’IA à usage général ont leur propre régime

L’essor des modèles capables de produire ou d’analyser du texte, des images, du son ou du code a conduit l’Union européenne à prévoir des règles spécifiques pour les modèles d’IA à usage général. Ces modèles, qui peuvent être intégrés dans de nombreux produits, ne se confondent pas automatiquement avec les applications bâties sur eux.

À partir du 2 août 2025, les fournisseurs de ces modèles devront notamment préparer une documentation technique, transmettre certaines informations aux entreprises qui intègrent le modèle dans leurs systèmes, mettre en place une politique de respect du droit d’auteur européen et publier un résumé suffisamment détaillé du contenu utilisé pour l’entraînement.

Les modèles présentant un risque systémique auront des obligations supplémentaires. Le règlement prévoit une présomption de risque systémique lorsque la quantité de calcul utilisée pour l’entraînement dépasse 10 puissance 25 opérations en virgule flottante. Ces fournisseurs devront notamment évaluer leurs modèles, analyser et réduire les risques systémiques, puis signaler les incidents graves.

Pour une entreprise qui se contente d’utiliser une solution proposée par un fournisseur, la priorité reste de comprendre le contrat, les conditions d’utilisation et les garanties fournies. Pour celle qui développe, entraîne ou diffuse un modèle, l’anticipation documentaire et juridique devient une composante directe du produit.

Comment transformer la conformité en avantage concurrentiel ?

La conformité est souvent perçue comme un coût ou un frein. Pourtant, dans un marché où de nombreux outils promettent des gains de productivité sans toujours expliquer leurs limites, démontrer une approche sérieuse peut faire la différence. Un client professionnel veut savoir si ses données seront protégées, qui répondra d’une erreur, si une décision peut être contestée et si un humain peut intervenir.

Pour les entreprises européennes, l’AI Act peut ainsi fournir un langage commun dans les appels d’offres, les échanges avec les assureurs, les discussions avec les investisseurs et les relations avec les partenaires. Documenter le fonctionnement d’un système, ses limites connues et les contrôles prévus ne garantit pas l’absence de problème. Cela permet en revanche de mieux détecter les risques et d’apporter des réponses plus crédibles lorsqu’un incident survient.

Les sanctions expliquent aussi pourquoi l’anticipation est rationnelle. Les infractions aux interdictions les plus graves peuvent entraîner des amendes allant jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Pour les autres manquements, les plafonds prévus peuvent atteindre 15 millions d’euros ou 3 % du chiffre d’affaires mondial. Le règlement prévoit une approche tenant compte des PME et des start-up, mais leur taille ne les dispense pas de structurer leur démarche.

Une méthode concrète pour les entreprises et les PME

Il n’est pas nécessaire d’attendre qu’un projet soit terminé pour s’intéresser à la conformité. Au contraire, la démarche est plus simple lorsqu’elle accompagne la conception et les achats. Un inventaire sobre mais précis est souvent le meilleur point de départ.

Une organisation peut procéder en cinq étapes :

1. Recenser les usages d’IA, y compris les outils achetés par les équipes, les assistants génératifs et les automatisations intégrées dans des logiciels métiers.
2. Identifier le rôle de l’organisation pour chaque usage : fournisseur, déployeur, importateur, distributeur ou simple utilisateur personnel.
3. Évaluer les impacts : le système intervient-il dans le recrutement, l’accès à un service, la santé, l’éducation, la sécurité ou une décision importante ?
4. Conserver des preuves : contrats fournisseurs, notices, résultats de tests, règles de supervision humaine, incidents constatés et actions correctrices.
5. Former les personnes concernées afin qu’elles sachent reconnaître les limites de l’outil, vérifier ses résultats et remonter un problème.

Les petites entreprises ne disposent pas toujours d’un service juridique ou d’une équipe dédiée à la gouvernance de l’IA. Elles peuvent néanmoins obtenir des résultats utiles en désignant un responsable, en établissant quelques règles d’usage claires et en posant les bonnes questions à leurs fournisseurs. Les bacs à sable réglementaires prévus par le règlement doivent également permettre de tester des solutions innovantes dans un cadre encadré, avec une attention particulière aux PME et aux start-up.

Ce qu’il faut surveiller d’ici à 2027

L’AI Act constitue un socle, pas un manuel figé. Sa mise en œuvre dépendra aussi des autorités nationales compétentes, du Bureau européen de l’IA, des normes harmonisées et des codes de bonnes pratiques. Les entreprises devront suivre ces précisions, en particulier lorsqu’elles travaillent sur des outils à haut risque ou des modèles à usage général.

Il faut aussi distinguer ce règlement du traité international adopté le 17 mai 2024 par le Comité des ministres du Conseil de l’Europe. La Convention-cadre sur l’intelligence artificielle, les droits de l’homme, la démocratie et l’État de droit poursuit une ambition internationale de protection des droits fondamentaux. Elle ne remplace pas l’AI Act, qui est directement applicable dans l’Union européenne selon son calendrier propre.

L’enjeu des prochains mois sera donc moins de promettre une IA « éthique » que de rendre cette promesse vérifiable. Pour les organisations, la meilleure préparation consiste à relier les objectifs commerciaux aux garanties concrètes : une finalité claire, des données maîtrisées, une responsabilité identifiée, une supervision humaine adaptée et une capacité à corriger les erreurs. C’est à cette condition que la conformité peut devenir un facteur durable de confiance et de compétitivité.