L’AI Act de l’UE s’applique-t-il à votre entreprise ? Obligations expliquées simplement

La plupart des guides sur l’AI Act de l’UE s’adressent aux entreprises qui créent de l’IA. Celui-ci s’adresse aussi à tous les autres : la boutique en ligne dotée d’un chatbot, l’agence qui rédige des textes avec ChatGPT, l’éditeur de logiciels qui ajoute une fonctionnalité d’IA, l’entreprise hors UE qui vend à des clients européens. La date principale d’application du règlement est désormais passée et, après une modification tardive, le cadre est stabilisé. Voici ce que le règlement sur l’intelligence artificielle impose réellement à une entreprise ordinaire.

Qu’est-ce que le règlement sur l’intelligence artificielle et pourquoi est-il important ?

L’AI Act, officiellement le règlement (UE) 2024/1689, est la première loi complète au monde sur l’IA (le texte consolidé actuel est disponible sur EUR-Lex). En tant que règlement de l’UE, il s’applique directement dans chaque État membre, sans transposition nationale. La réglementation de l’IA repose sur une logique fondée sur les risques : plus l’incidence potentielle d’un système d’IA sur la sécurité ou les droits fondamentaux des personnes est grande, plus les obligations de ceux qui le développent et l’utilisent sont strictes.

Le Digital Omnibus sur l’IA (règlement (UE) 2026/1744) a modifié l’Act peu avant sa principale date d’application. Il a reporté les échéances pour les systèmes à haut risque, ajouté deux nouvelles pratiques interdites, restreint une partie de la définition du haut risque et réduit les formalités pour les petites entreprises. L’architecture, les quatre niveaux de risque et les obligations selon le rôle restent inchangés.

À qui l’AI Act de l’UE s’applique-t-il ? Vérification en quatre questions

1. L’outil est-il un « système d’IA » ? Un algorithme fondé sur des règles, avec des étapes fixes définies par l’humain, ne l’est pas. L’élément déterminant est l’inférence : le système produit, à partir de données, des prédictions, recommandations, décisions ou contenus d’une manière qui n’est pas explicitement programmée. Les chatbots, outils génératifs, moteurs de notation et de recommandation sont concernés ; une formule de tableur ne l’est pas.

2. Est-il utilisé professionnellement ? L’utilisation privée et non professionnelle est hors champ. Dès qu’un salarié utilise un outil au nom de l’entreprise, celle-ci entre dans le champ d’application.

3. A-t-il un lien avec l’UE ? L’Act s’applique si le système d’IA est mis sur le marché de l’UE, utilisé dans l’UE ou si ses résultats sont utilisés dans l’UE. Une entreprise hors Union qui sert des clients de l’UE est concernée. Il n’existe aucune exemption pour les petites entreprises ou les start-ups ; les obligations de l’AI Act dépendent du risque, et non de l’effectif.

4. L’avez-vous créé ou l’utilisez-vous ? Cela détermine votre rôle, et votre rôle détermine vos obligations.

La plupart des entreprises sont des déployeurs au titre de l’AI Act. Utiliser ChatGPT, Copilot ou le chatbot d’un fournisseur ne fait pas de vous un fournisseur, mais fait de vous un déployeur, avec les obligations décrites ci-dessous. Vous pouvez devenir fournisseur sans le vouloir : si vous modifiez substantiellement un système, l’intégrez à votre propre produit ou le commercialisez sous votre propre marque.

Une autre règle concerne les entreprises hors UE : un fournisseur non établi dans l’UE doit désigner un représentant autorisé établi dans l’Union avant d’y mettre à disposition un système d’IA à haut risque ou un modèle d’IA à usage général (les modèles open source sans risque systémique sont exemptés).

Catégories de risques de l’AI Act : les quatre niveaux

Lors de la préparation de la loi, la Commission européenne a estimé qu’environ 85 % des systèmes d’IA relevaient de la catégorie à risque minimal. Pour la plupart des entreprises de services, de logiciels et de commerce électronique, seules la première et la troisième lignes comptent en pratique.

Calendrier de l’AI Act de l’UE : ce qui s’applique maintenant et ce qui a été reporté

Exigences de l’AI Act de l’UE auxquelles la plupart des entreprises font face aujourd’hui

1. N’utilisez pas de pratiques d’IA interdites

Vérifiez qu’aucun outil de votre entreprise ne relève d’une catégorie interdite. Le piège le plus réaliste pour une entreprise ordinaire est la reconnaissance des émotions des salariés ou des clients, ou la catégorisation biométrique qui déduit des caractéristiques sensibles telles que l’origine ethnique ou les opinions politiques. La Commission a publié des lignes directrices sur les pratiques interdites pour les cas limites.

2. Soutenez la culture de l’IA et, oui, rédigez une politique relative à l’IA

Les fournisseurs et les déployeurs doivent prendre des mesures favorisant la culture de l’IA parmi les personnes qui exploitent ou utilisent l’IA pour leur compte. L’Omnibus a assoupli la formulation : vous n’avez plus à garantir un niveau particulier de compétence pour chaque personne, mais vous devez toujours agir. L’Act ne dit pas littéralement « adoptez une politique relative à l’IA », mais une courte politique interne d’utilisation de l’IA, une formation documentée et un registre des personnes l’ayant suivie constituent le moyen le plus simple de prouver la conformité. Comme cette obligation s’applique aussi à l’usage interne, elle concerne même les entreprises dont l’IA n’est jamais en contact avec un client.

3. Information sur les chatbots : indiquez aux personnes qu’elles parlent à une machine

Au titre des obligations de transparence, un système d’IA qui interagit directement avec des personnes, tel qu’un chatbot ou un assistant vocal, doit indiquer clairement à l’utilisateur qu’il traite avec une IA, sauf si cela ressort manifestement du contexte. Cette obligation incombe au fournisseur qui a créé le système. Si vous utilisez le chatbot d’un fournisseur sur votre site web, celui-ci doit intégrer l’information, mais vous êtes face à vos clients : vérifiez que l’avis est visible avant ou dès la première interaction. Une mention comme « Vous discutez avec notre assistant IA » suffit.

Devez-vous étiqueter les contenus générés par l’IA ?

C’est la question que les entreprises posent le plus souvent sur l’information relative aux contenus IA, et celle qui reçoit le plus fréquemment une réponse erronée. Les règles distinguent un marquage invisible et lisible par machine que le fournisseur d’un outil génératif doit intégrer, d’une information visible que le déployeur, l’entreprise qui publie le contenu, ne doit ajouter que dans des cas précis.

Deux points à retenir. Premièrement, l’intention est sans importance : une image réaliste doit être étiquetée même si personne n’avait l’intention de tromper. Deuxièmement, le filigrane intégré en amont par l’outil d’IA ne vous dispense pas de votre propre obligation d’étiquetage ; l’information doit pouvoir être perçue par une personne sans outil technique.

Conformité à l’AI Act en pratique : cinq scénarios courants

Systèmes d’IA à haut risque : reportés, non annulés

Si votre entreprise fournit ou déploie de l’IA dans l’un des domaines de l’annexe III, un ensemble beaucoup plus lourd d’exigences applicables aux systèmes d’IA à haut risque s’appliquera à partir des dates reportées. Les fournisseurs doivent mettre en œuvre un système de gestion des risques, conserver une documentation technique et des journaux, concevoir le système pour une supervision humaine et réussir une évaluation de conformité avant sa mise sur le marché. Les déployeurs doivent utiliser le système conformément aux instructions, désigner des personnes formées pour le superviser et conserver les journaux.

Les petites entreprises bénéficient d’un réel allègement : documentation technique simplifiée pour les PME, les start-ups et la nouvelle catégorie des « petites entreprises à moyenne capitalisation » ; gestion de la qualité simplifiée pour toutes les PME ; et plafonds d’amendes fixés au plus bas du montant fixe ou du pourcentage de chiffre d’affaires. Il existe aussi une exclusion : un système relevant d’un domaine de l’annexe III n’est pas à haut risque s’il ne réalise qu’une tâche procédurale ou préparatoire étroite et n’influence pas matériellement les décisions. Deux réserves s’appliquent. Tout système qui établit un profil de personnes physiques est toujours à haut risque, et un fournisseur qui invoque l’exclusion doit documenter son appréciation et enregistrer malgré tout le système dans la base de données de l’UE.

Sanctions, application et chevauchement avec le GDPR

L’application est partagée. Le Bureau européen de l’IA supervise les fournisseurs de modèles d’IA à usage général ; chaque État membre désigne une autorité de surveillance du marché pour les systèmes d’IA ; les autorités de protection des données continuent de superviser les données personnelles utilisées par l’IA. Le service d’assistance de la Commission sur l’AI Act répond en anglais aux questions des entreprises.

Les sanctions en cas de non-conformité sont graduées : jusqu’à €35 millions ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites ; jusqu’à €15 millions ou 3 % pour la plupart des autres obligations, y compris la transparence ; et jusqu’à €7.5 millions ou 1 % pour la fourniture d’informations incorrectes aux autorités. Pour les grandes entreprises, le plafond est le plus élevé des deux montants ; pour les PME et les start-ups, c’est le plus faible.

L’AI Act s’ajoute au GDPR, il ne le remplace pas. L’AI Act réglemente le système et son utilisation ; le GDPR réglemente les données personnelles qui y circulent. Un outil peut être pleinement conforme à l’un et enfreindre l’autre. Lorsqu’une analyse d’impact sur les droits fondamentaux est exigée par l’AI Act, elle peut s’appuyer sur une analyse d’impact relative à la protection des données existante au lieu de la dupliquer.

Liste de contrôle pratique de conformité à l’IA pour les entreprises

Une bonne gouvernance de l’IA ne nécessite pas de service juridique. Pour la plupart des entreprises, ces neuf étapes couvrent les exigences actuelles de l’AI Act et préparent les règles futures relatives au haut risque :

• Inventaire : recensez chaque outil d’IA utilisé, y compris les fonctionnalités intégrées aux produits SaaS et les modèles à usage général employés par le personnel.
• Rôle : déterminez pour chaque outil si vous êtes fournisseur, déployeur ou les deux.
• Classification : vérifiez chaque outil au regard de la liste des interdictions et des domaines de l’annexe III ; consignez le résultat.
• Chatbots : vérifiez que chaque assistant IA en contact avec les clients s’identifie.
• Contenu : appliquez le tableau d’étiquetage ci-dessus à ce que vous publiez.
• Culture de l’IA : adoptez une politique d’utilisation de l’IA et conservez les registres de formation.
• Protection des données : alignez l’utilisation de l’IA sur votre documentation GDPR existante.
• Présence dans l’UE : si vous êtes hors UE et fournissez un système à haut risque ou un modèle à usage général, désignez un représentant autorisé.
• Feuille de route : si un élément est à haut risque, planifiez les dates reportées au lieu de les attendre.

Conformité à l’AI Act et création d’entreprise dans l’UE avec Eesti Firma

Le règlement sur l’intelligence artificielle favorise les entreprises qui intègrent la conformité dès le départ et, pour les entreprises hors Union, une présence dans l’UE devient une nécessité pratique. Eesti Firma accompagne les entreprises axées sur l’IA aux deux étapes : la création d’une entité dans l’UE grâce à une création d’entreprise en Estonie entièrement numérique, y compris la création via l’e-Residency pour les fondateurs qui n’ont jamais besoin de se rendre en Estonie, puis l’aide à l’entreprise pour remplir ses obligations lorsqu’elle opère sur le marché de l’UE.

Nos avocats préparent des avis juridiques sur la question de savoir si un système d’IA spécifique entre dans le champ d’application et quel rôle et niveau de risque il entraîne ; notre équipe de services juridiques rédige les politiques d’utilisation de l’IA et les informations dont une entreprise a besoin pour prouver le respect des exigences de culture de l’IA, de transparence et de protection des données.

Obtenir un avis juridique sur votre système d’IA

Questions fréquemment posées