AI Act : pourquoi, pour qui, quand et comment s’y préparer ?
L’intelligence artificielle est déjà entrée dans l’entreprise.
ChatGPT, Microsoft Copilot, Gemini, assistants intégrés aux logiciels métiers, outils de recrutement, analyse de documents, génération d’images, automatisation du support client… Dans beaucoup d’organisations, l’IA est utilisée quotidiennement, parfois sans que la direction ou la DSI dispose d’une vision complète des usages.
L’Union européenne a décidé d’encadrer ces usages avec le règlement européen sur l’intelligence artificielle, plus connu sous le nom d’AI Act.
Et contrairement à une idée encore répandue, l’AI Act ne concerne pas uniquement les entreprises qui développent des modèles d’intelligence artificielle.
Une entreprise qui utilise des systèmes d’IA peut elle aussi être concernée.
Depuis le 2 août 2026, l'essentiel du règlement est applicable et les autorités disposent de pouvoirs de contrôle et d'application. Certaines obligations étaient même applicables depuis 2025, tandis que les dispositions concernant certains systèmes à haut risque entreront en application progressivement jusqu’en 2028.
Pour les entreprises, la question n’est donc plus vraiment :
« Sommes-nous concernés par l’AI Act ? »
Mais plutôt :
« Quelles IA utilisons-nous, quels risques présentent-elles et sommes-nous capables de démontrer que nous les maîtrisons ? »
Pourquoi l’Europe a-t-elle créé l’AI Act ?
L’objectif de l’AI Act n’est pas d’interdire l’intelligence artificielle.
Il vise à permettre son développement et son utilisation tout en protégeant notamment la sécurité, les droits fondamentaux et les citoyens européens.
Le principe retenu est relativement simple :
Plus un système d’IA peut avoir un impact important sur une personne ou sur la société, plus les obligations qui l’encadrent sont fortes.
L’AI Act adopte donc une approche fondée sur le risque.
Toutes les IA ne sont pas réglementées de la même manière.
Un outil qui aide un collaborateur à reformuler un email n’est évidemment pas traité comme un système qui participe à une décision de recrutement ou à l'accès d'une personne à un service essentiel.
C’est probablement le point le plus important à comprendre : la conformité ne commence pas par la technologie utilisée, mais par son usage et son niveau de risque.
Pour qui ?
L’AI Act distingue plusieurs acteurs.
Une entreprise peut notamment être :
fournisseur, lorsqu’elle développe ou fait développer un système d’IA et le commercialise ou le met en service sous son nom ;
déployeur, lorsqu’elle utilise un système d’IA sous sa propre autorité ;
mais également importateur, distributeur ou mandataire selon sa position dans la chaîne de valeur.
Le règlement concerne les acteurs établis dans l’Union européenne, mais peut également s'appliquer à des acteurs situés hors de l'UE lorsque les résultats produits par leur système d'IA sont utilisés dans l'Union.
Une PME qui utilise ChatGPT ou Copilot est-elle concernée ?
Potentiellement, oui.
Utiliser une solution achetée auprès d'un grand fournisseur ne signifie pas que toutes les responsabilités sont transférées à celui-ci.
Prenons quelques exemples.
Une entreprise peut utiliser l’IA pour :
rédiger ou résumer des documents ;
analyser des contrats ;
assister son service client ;
générer des contenus marketing ;
analyser des CV ;
présélectionner des candidats ;
évaluer les performances de collaborateurs ;
détecter des fraudes ;
attribuer des scores à des clients ;
automatiser certaines décisions.
Les conséquences réglementaires seront très différentes selon les cas.
La première étape d'une démarche AI Act consiste donc rarement à rédiger une politique.
Elle consiste à savoir où se trouve l’IA dans l’entreprise.
Les quatre grandes catégories de risques
L’AI Act organise son approche autour de différents niveaux de risque.
1. Les pratiques interdites
Certaines utilisations sont considérées comme incompatibles avec les valeurs et les droits fondamentaux européens.
Il s'agit notamment de certaines techniques manipulatrices ou trompeuses, de certaines formes d'exploitation de vulnérabilités ou de certains systèmes de notation sociale.
Ces interdictions s’appliquent depuis le 2 février 2025.
Pour l'entreprise, le principe est simple :
certains usages ne doivent tout simplement pas exister.
2. Les systèmes à haut risque
C’est ici que les obligations deviennent beaucoup plus importantes.
Un système peut notamment relever du haut risque lorsqu'il intervient dans certains domaines sensibles définis par le règlement.
Parmi eux figurent notamment :
l’emploi et la gestion des travailleurs,
l’éducation,
certaines utilisations biométriques,
certaines infrastructures critiques,
l'accès à certains services essentiels,
ou encore certains usages liés à la justice, aux migrations et au contrôle des frontières.
Par exemple, une IA utilisée pour sélectionner des candidats à un emploi peut donc entrer dans un cadre réglementaire très différent d'un simple assistant de rédaction.
Pour ces systèmes, les exigences peuvent porter notamment sur la gestion des risques, la qualité des données, la documentation, la traçabilité, la supervision humaine ou encore le suivi du fonctionnement du système.
Pour les déployeurs de systèmes à haut risque, l’AI Act prévoit notamment que la supervision humaine soit confiée à des personnes disposant des compétences, de la formation et de l’autorité nécessaires.
3. Les IA soumises à des obligations de transparence
Certains systèmes ne sont pas nécessairement à haut risque mais doivent respecter des règles spécifiques de transparence.
Depuis le 2 août 2026, certaines de ces obligations sont applicables.
Un utilisateur doit par exemple pouvoir savoir, dans certaines situations, qu'il interagit avec une IA plutôt qu'avec une personne.
Les contenus synthétiques générés par IA sont également concernés par des obligations d'identification, tandis que les deepfakes doivent faire l'objet d'une information appropriée.
Cette question concerne directement les entreprises qui déploient des chatbots ou produisent massivement du contenu avec l'intelligence artificielle.
4. Les usages à risque limité ou minimal
Une grande partie des usages actuels de l’IA en entreprise se situe heureusement dans cette catégorie.
Utiliser une IA pour :
préparer le brouillon d'un email ;
résumer une réunion ;
rechercher des idées ;
traduire un document ;
assister un développeur ;
produire une première version d'une présentation ;
ne transforme pas automatiquement le système en IA à haut risque.
Mais faible risque réglementaire ne signifie pas absence de gouvernance.
Il reste notamment nécessaire de traiter les questions de confidentialité, de propriété intellectuelle, de cybersécurité, de données personnelles et de contrôle des résultats produits.
Quand faut-il être conforme ?
L'AI Act est entré en vigueur le 1er août 2024, mais son application a été organisée progressivement. Le calendrier a par ailleurs évolué en 2026 avec l'AI Omnibus.
2 février 2025
Première étape majeure.
Les pratiques d'IA interdites sont devenues applicables.
L'obligation de maîtrise de l'IA — ou AI literacy — est également entrée en application.
Les fournisseurs et déployeurs doivent prendre des mesures afin que les personnes utilisant des systèmes d'IA pour leur compte disposent d'un niveau suffisant de connaissance et de compétence, adapté notamment à leur expérience et au contexte d'utilisation.
Autrement dit :
former les collaborateurs à l'IA n'est plus uniquement une bonne pratique.
2 août 2025
Les règles de gouvernance et les obligations concernant les modèles d'IA à usage général — les GPAI — ont commencé à s'appliquer.
2 août 2026
C'est une date majeure pour les entreprises.
Depuis cette date, l'essentiel de l'AI Act est applicable et le Bureau européen de l'IA ainsi que les autorités nationales disposent de leurs pouvoirs d'application.
Les nouvelles règles de transparence concernant certains systèmes d'IA sont également entrées en application.
Nous sommes donc désormais dans une phase de mise en conformité opérationnelle, et non plus uniquement de préparation réglementaire.
2 décembre 2027
Les règles concernant les systèmes à haut risque relevant de certains domaines de l'annexe III, notamment l'emploi, l'éducation, la biométrie, certaines infrastructures critiques ou les migrations, entreront en application à cette date.
2 août 2028
Les règles relatives aux systèmes d'IA à haut risque intégrés dans certains produits réglementés disposeront d'une période de transition plus longue, jusqu'au 2 août 2028.
Comment préparer concrètement son entreprise ?
Pour une PME ou une ETI, lancer immédiatement un énorme programme de conformité serait souvent contre-productif.
Il est préférable de procéder progressivement.
Étape 1 — Faire l’inventaire des usages de l’IA
La première question est très concrète :
Quelles IA sont réellement utilisées dans l'entreprise ?
Et pas uniquement celles achetées par la DSI.
Il faut rechercher :
les solutions SaaS intégrant de l’IA ;
les outils d'IA générative ;
les fonctionnalités IA activées dans les logiciels existants ;
les API d'IA utilisées par les équipes techniques ;
les outils adoptés directement par les collaborateurs ;
les développements internes.
Ce dernier point permet également d'identifier le Shadow AI : des usages de l'intelligence artificielle dont la DSI ou la direction n'a parfois aucune connaissance.
Étape 2 — Documenter chaque usage
Pour chaque système, quelques informations suffisent initialement :
Outil / fournisseur
Service utilisateur
Finalité
Données utilisées
Personnes concernées
Décisions influencées par l'IA
Niveau d'autonomie
Supervision humaine
Niveau de risque présumé
Responsable interne
On obtient ainsi progressivement un véritable registre des systèmes et usages IA.
Étape 3 — Classifier les risques
Chaque usage doit ensuite être analysé.
Posez notamment les questions suivantes :
L'IA prend-elle ou influence-t-elle une décision concernant une personne ?
Est-elle utilisée dans le recrutement ou la gestion des salariés ?
Traite-t-elle des données personnelles ou sensibles ?
Peut-elle avoir un impact sur les droits d'une personne ?
Produit-elle du contenu destiné au public ?
Interagit-elle directement avec des clients ?
Une erreur de l'IA pourrait-elle avoir des conséquences importantes ?
Cette analyse permet de déterminer les systèmes nécessitant une attention prioritaire.
Étape 4 — Définir une politique d'utilisation de l'IA
Interdire ChatGPT à tous les collaborateurs n'est généralement pas une stratégie de gouvernance durable.
Une politique efficace doit plutôt définir clairement :
ce qui est autorisé,
ce qui nécessite une validation,
ce qui est interdit,
quelles données peuvent être transmises,
quels outils sont approuvés,
quand une validation humaine est obligatoire.
L'objectif est de permettre l'innovation tout en gardant le contrôle.
Étape 5 — Former les collaborateurs
Depuis février 2025, la maîtrise de l'IA fait explicitement partie des exigences du règlement.
Mais une formation efficace ne devrait pas se limiter à expliquer comment rédiger un bon prompt.
Les collaborateurs doivent notamment comprendre :
les hallucinations ;
les risques liés aux données confidentielles ;
les données personnelles ;
la propriété intellectuelle ;
les biais ;
les limites de l'automatisation ;
les règles internes de l'entreprise ;
les situations nécessitant une validation humaine.
Et surtout, l'entreprise doit pouvoir démontrer que cette sensibilisation existe.
Étape 6 — Organiser la gouvernance
Qui autorise un nouvel outil d'IA ?
Qui détermine son niveau de risque ?
Qui valide les usages sensibles ?
Qui contrôle les fournisseurs ?
Qui gère un incident impliquant une IA ?
Qui maintient le registre ?
Selon la taille de l'entreprise, ces responsabilités peuvent être réparties entre la direction générale, la DSI, le RSSI, le DPO, les ressources humaines, le juridique et les métiers.
Il n'est pas forcément nécessaire de créer une nouvelle organisation.
Mais il faut que les responsabilités soient définies.
Et les sanctions ?
Les montants prévus par l'AI Act peuvent être importants.
Pour certaines violations des pratiques interdites, les sanctions peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, selon les conditions prévues par le règlement.
D'autres violations peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial.
Le règlement prévoit cependant un traitement spécifique pour les PME : pour celles-ci, le plafond applicable correspond au montant ou au pourcentage prévu, le plus faible des deux étant retenu. Les autorités doivent également tenir compte notamment de la nature, de la gravité et de la durée de l'infraction.
Mais réduire l'AI Act à la peur de l'amende serait une erreur.
Le risque le plus immédiat pour beaucoup d'entreprises est probablement ailleurs :
ne plus savoir quelles données sont envoyées à quelles IA, par quels collaborateurs et pour prendre quelles décisions.
AI Act, RGPD, cybersécurité : trois sujets qui doivent converger
L’AI Act ne doit pas être traité comme un projet isolé.
Lorsqu'une entreprise utilise une IA, plusieurs questions apparaissent simultanément.
AI Act : avons-nous le droit d'utiliser cette IA de cette manière ?
RGPD : quelles données personnelles sont traitées et sur quelle base ?
Cybersécurité : quelles informations quitent notre système d'information et quelles sont les conséquences d'une compromission ?
Gouvernance : qui est responsable de cet usage ?
Continuité : que se passe-t-il si le fournisseur modifie son modèle, ses conditions ou interrompt son service ?
Une gouvernance mature de l'IA doit donc progressivement rejoindre la gouvernance générale du système d'information.
Le bon point de départ : le registre des IA
Pour beaucoup de PME et d'ETI, la première démarche AI Act peut finalement tenir en une question très simple :
Pouvez-vous aujourd'hui dresser la liste des systèmes d'intelligence artificielle utilisés dans votre entreprise, expliquer à quoi ils servent, quelles données ils manipulent et qui en est responsable ?
Si la réponse est non, inutile de commencer par produire cinquante pages de procédures.
Commencez par le registre.
Identifiez les outils.
Identifiez les usages.
Identifiez les données.
Identifiez les responsables.
Classez les risques.
Puis traitez en priorité les usages les plus sensibles.
Cette démarche permet de transformer progressivement une utilisation parfois anarchique de l'intelligence artificielle en une gouvernance de l'IA.
L’AI Act n’est pas seulement une contrainte réglementaire
Pour une PME ou une ETI, le véritable enjeu n'est pas simplement d'être « conforme AI Act ».
Il est de pouvoir utiliser l'intelligence artificielle sans perdre le contrôle de son système d'information, de ses données et de ses décisions.
Une entreprise qui sait quelles IA elle utilise, pourquoi elle les utilise, quelles données elles traitent et quels risques elles présentent possède déjà une grande partie des fondations nécessaires.
L'AI Act accélère finalement une évolution qui aurait dû accompagner l'arrivée de l'intelligence artificielle dans les entreprises :
passer de l'expérimentation individuelle à une véritable gouvernance de l'IA.
Et en octobre 2026, pour les entreprises européennes, le moment de commencer n'est plus « bientôt ».
C'est maintenant.