Entreprises · Rôles · Risques · Échéances
AI Act pour les entreprises : quelles obligations, quelles actions ?
Le règlement n'impose pas les mêmes obligations à tous. Elles dépendent du rôle de l'entreprise envers le système et du risque de son usage. Une obligation concerne presque tous ceux qui utilisent l'IA au travail : elle est aussi l'une des premières applicables.
01Première question : quel est votre rôle ?
La plupart des entreprises achètent l'IA au lieu de la développer : elles sont généralement déployeurs. Une entreprise qui développe un système ou le commercialise sous son nom est fournisseur. Ce rôle peut changer au cours du temps.
| Situation | Première lecture | À vérifier |
|---|---|---|
| Vous achetez un produit pour votre activité | Généralement déployeur | Destination concrète, instructions, qualité des données d'entrée et responsable du contrôle. |
| Vous revendez ou distribuez un système sous votre marque | Vous pouvez devenir fournisseur | Sous quel nom le système est commercialisé et qui assume la conformité. |
| Vous modifiez substantiellement un système à haut risque ou sa destination | Vous pouvez devenir fournisseur | Étendue du changement, nouvelle destination, nouvelle classification et documentation. |
| Vous intégrez un modèle à usage général à votre produit | Cela dépend de sa destination | Si l'intégration crée un système ayant une destination propre, celle-ci doit être classée à nouveau. |
Le guide fournisseurs et déployeurs explique ces changements et l'intérêt de les clarifier avant le contrat.
02Deuxième question : quel niveau de risque ?
« Nous utilisons l'IA » n'est pas une classification. Destination, contexte et effets des sorties sur les personnes comptent. Le même outil peut être peu sensible dans un service et à haut risque dans un autre.
- Pratiques interdites : certains usages sont exclus quelles que soient les garanties proposées. Aucun dossier administratif ne peut les rendre licites.
- Haut risque : usages listés par le règlement, notamment recrutement, gestion des travailleurs, crédit et services essentiels.
- Transparence : obligations liées à certaines interactions avec une machine ou à des contenus artificiels.
- Risque minimal : la majorité des usages professionnels. Protection des données, non-discrimination et droit du travail continuent de s'appliquer.
La carte des catégories de risque illustre les quatre niveaux.
03Une obligation largement partagée : la maîtrise de l'IA
L'article 4, réécrit par le règlement (UE) 2026/1744, demande aux fournisseurs et déployeurs de prendre des mesures qui soutiennent le développement de la maîtrise de l'IA par le personnel concerné. Elles tiennent compte des connaissances techniques, de l'expérience, de l'éducation, de la formation, du contexte et des personnes affectées. L'obligation n'impose pas de garantir un niveau précis chez chaque individu. Cette limite ne supprime pas le devoir de prendre des mesures démontrables. Il ne s'agit ni d'une certification ni d'un cours obligatoire standardisé, mais de mesures proportionnées à l'organisation.
- Les utilisateurs savent-ils ce que l'outil fait, ne fait pas et où il se trompe souvent ?
- Savent-ils reconnaître une sortie plausible mais fausse et réagir ?
- Les décideurs connaissent-ils les limites du système au-delà du discours commercial ?
- Existe-t-il une trace de ce qui a été expliqué, à qui et quand ?
04Si le système est à haut risque
Le déployeur a ses propres obligations, qui ne peuvent être renvoyées au fournisseur. Présentation simplifiée :
| Respect des instructions | Respecter les instructions du fournisseur. Une autre destination peut modifier rôle et responsabilité. |
|---|---|
| Contrôle humain | Confier le contrôle à des personnes compétentes, habilitées et réellement capables d'agir, avec temps, informations et pouvoir d'interruption. |
| Données d'entrée | Lorsqu'elles sont sous votre contrôle, elles doivent être pertinentes et suffisamment représentatives de la destination. |
| Suivi et journaux | Surveiller le fonctionnement et conserver les journaux sous votre contrôle pendant la durée prévue. |
| Information des personnes | Informer travailleurs et personnes concernées de l'usage du haut risque dans les situations prévues par le règlement. |
| Incidents et risques | Lorsqu'un risque grave apparaît, le signaler au fournisseur et à l'autorité et suspendre l'utilisation selon les obligations applicables. |
Voir les systèmes à haut risque et, pour les relations de travail, l'IA dans le recrutement et l'emploi.
05Si le système dialogue ou génère des contenus
L'obligation suit ici le risque de tromperie. Les personnes doivent pouvoir comprendre la nature de l'interaction ou du contenu reçu.
- Un assistant automatisé doit signaler qu'il est une machine lorsque cela n'est pas déjà évident.
- Les images, sons et vidéos représentant de façon apparemment authentique des personnes, lieux ou événements réels doivent être signalés lorsqu'ils constituent des hypertrucages, selon les conditions de l'article 50.
- Les textes générés pour informer le public sur des questions d'intérêt général sont soumis à une obligation d'information, avec les exceptions prévues par le règlement.
Voir transparence, hypertrucages et, pour les modèles intégrés, IA à usage général.
06Quand une analyse d'impact est requise
L'analyse des droits fondamentaux ne concerne pas toutes les entreprises. Elle vise certains déployeurs de haut risque : organismes de droit public, entités privées fournissant des services publics et certains usages de solvabilité, d'évaluation du risque et de tarification en assurance vie ou maladie.
Même hors obligation, ses questions restent utiles : qui peut subir un préjudice, comment le détecter et le réparer ? La page sur l'analyse d'impact présente structure et limites.
07Les dates par ordre d'urgence
Les obligations s'appliquent par étapes. Interdictions et maîtrise de l'IA viennent d'abord ; les obligations du haut risque plus tard, alors qu'elles nécessitent souvent davantage de préparation.
Consultez le calendrier d'application avant de fixer vos priorités.
Montants, régime des PME et autorités : voir les sanctions de l'AI Act.
08S'exercer sur un dossier concret
La difficulté est de reconnaître l'obligation pertinente dans un dossier contradictoire. « L'appel d'offres opaque » montre un organisme public achetant un système que personne ne sait expliquer : le fournisseur le dit certifié, mais refuse l'accès.
09Sources officielles et limites
Références : règlement (UE) 2024/1689 sur EUR-Lex, notamment articles 4, 25, 26, 27 et 50, et FAQ de la Commission. Les obligations concrètes varient selon système, destination et droit sectoriel.