EU AI Act

Même les entités qui se limitent à une simple utilisation de l’intelligence artificielle — notamment au moyen d’outils tels que ChatGPT, Copilot, Gemini ou d’autres systèmes comparables — peuvent être soumises à des obligations applicables sans délai.

​

Pour de nombreuses entreprises, l’AI Act constitue d’ores et déjà un enjeu concret et opérationnel. Depuis le 2 février 2025, l’interdiction de certaines pratiques en matière d’intelligence artificielle ainsi que l’obligation relative à la maîtrise de l’IA sont entrées en application. Les fournisseurs ainsi que les déployeurs doivent veiller à ce que leurs collaborateurs, de même que toute autre personne utilisant des systèmes d’IA pour leur compte, disposent d’un niveau suffisant de compétences en matière d’intelligence artificielle. Pour les organes de direction, cela signifie que la formation, l’adoption de règles internes, la définition claire des responsabilités ainsi qu’une sensibilisation dûment documentée ne relèvent plus d’une simple faculté, mais constituent désormais des éléments essentiels du devoir de diligence.

​

L’AI Act de l’Union européenne établit un cadre juridique harmonisé définissant les conditions dans lesquelles les systèmes d’intelligence artificielle ainsi que les modèles d’IA à usage général peuvent être développés, mis sur le marché, mis en service et utilisés au sein de l’Union européenne. Son champ d’application ne se limite pas aux fournisseurs : il vise également les entreprises qui utilisent des systèmes d’IA dans l’Union européenne.

​

Un point essentiel doit être souligné : l’AI Act n’interdit pas l’intelligence artificielle en tant que telle, mais instaure une classification fondée sur le niveau de risque. Il distingue notamment les pratiques interdites, les systèmes d’IA à haut risque, les systèmes soumis à des obligations de transparence, ainsi que les applications présentant un risque minimal ou nul. C’est précisément pour cette raison que la conformité relève de la responsabilité de la direction. La direction de l’entreprise doit être en mesure d’identifier les systèmes d’IA utilisés au sein de l’organisation, les finalités poursuivies par leur utilisation ainsi que la catégorie de risque à laquelle ils appartiennent. En l’absence d’une telle classification, il est, de fait, impossible de contrôler efficacement la conformité de leur utilisation aux exigences légales.

​

 

Cette réglementation revêt une importance particulière dans le domaine des systèmes d’intelligence artificielle à haut risque. Sont notamment concernés les systèmes utilisés dans les domaines de l’emploi et du recrutement, de l’accès à des services privés ou publics essentiels, des applications biométriques, de l’éducation, des composants de produits liés à la sécurité, ainsi que des infrastructures critiques. Ces systèmes sont soumis à des exigences strictes, notamment en matière de gestion des risques, de qualité des données, de journalisation, de documentation technique, de supervision humaine, ainsi que de robustesse, de cybersécurité et de précision. Ces exigences s’appliqueront, en principe, à compter du 2 août 2026 et, pour certains produits réglementés, à compter du 2 août 2027.

​

Des obligations s’appliquent également en dehors du champ des systèmes à haut risque. Certains systèmes d’intelligence artificielle sont soumis à des exigences de transparence, notamment lorsque des personnes interagissent avec un système d’IA ou lorsque des contenus générés par l’IA doivent être expressément signalés comme tels. Ces exigences seront applicables à partir du 2 août 2026.

​

S’agissant des fournisseurs de modèles d’IA à usage général, des exigences supplémentaires sont déjà applicables depuis le 2 août 2025, notamment en matière de documentation technique, de politique relative au respect des droits d’auteur et de mise à disposition d’un résumé public des contenus utilisés pour l’entraînement. Pour les modèles présentant un risque systémique, viennent s’ajouter d’autres obligations, notamment en matière d’atténuation des risques et de notification des incidents.

 

Toute organisation qui utilise des systèmes d’intelligence artificielle sans inventaire, sans classification, sans formation adéquate, sans règles d’autorisation clairement définies et sans responsabilités dûment documentées s’expose à des risques juridiques, ainsi qu’à des risques en matière d’audit, d’approvisionnement et de réputation. L’AI Act érige ainsi l’intelligence artificielle en un enjeu transversal, relevant à la fois de la direction, de la conformité, des ressources humaines, des achats, des ventes et de la communication.

​

Cette dimension revêt une importance particulière pour les petites entreprises, dans la mesure où celles-ci doivent répondre aux mêmes questions réglementaires fondamentales avec des ressources généralement plus limitées. Cette conclusion découle directement de la structure du règlement, fondée sur une approche par les risques, ainsi que des obligations imposées aux fournisseurs et aux déployeurs.

​

À ces enjeux s’ajoutent des risques de sanctions considérables. Selon la nature de l’infraction, le règlement prévoit des amendes administratives pouvant atteindre 35 millions d’euros ou 7%, 15 millions d’euros ou 3%, ainsi que 7,5 millions d’euros ou 1,5% du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Les PME et les start-ups ne bénéficient d’aucune exemption générale à cet égard.

​

Le règlement européen sur l’intelligence artificielle n’impose pas aux entreprises de renoncer à l’utilisation de l’IA. Il exige toutefois que celle-ci soit utilisée de manière consciente, classifiée, encadrée par des formations appropriées, documentée et contrôlée. Les organisations qui méconnaissent ces exigences s’exposent non seulement à des violations du droit applicable, mais compromettent également leur propre crédibilité, leur capacité à satisfaire aux exigences d’approvisionnement et leur aptitude à évoluer de manière durable.