Notion · Sécurité et conformité
AI Act
Le règlement européen sur l’intelligence artificielle. Il prévoit des obligations qui dépendent notamment du rôle de l’organisation et du type de système ou d’usage concerné.
Comment ça marche
L’AI Act est le règlement européen qui encadre l’intelligence artificielle. Il classe les usages par niveau de risque. Quelques usages sont interdits : notation sociale, manipulation, certaines formes de reconnaissance biométrique. Les usages à haut risque, comme le recrutement ou le crédit, sont soumis à des obligations strictes. Les usages courants, assistants de rédaction, résumé, traduction, chatbots d’information, relèvent surtout de la transparence et de la formation.
Pour une entreprise qui utilise l’IA sans la développer, deux obligations comptent au quotidien. La maîtrise de l’IA : les personnes qui utilisent ces outils doivent avoir une formation adaptée à leur usage et aux risques. La transparence : quand un chatbot parle à un client, il doit le dire ; un contenu généré qui pourrait tromper doit être signalé. Les obligations plus lourdes arrivent si l’entreprise déploie un usage à haut risque, ou modifie un système au point d’en devenir fournisseur.
Un exemple concret
- Inventaire : un assistant pour tous, un chatbot sur le site, un outil de transcription des entretiens annuels, et un projet de tri automatique des candidatures.
- Assistant et transcription : risque limité. Action : deux heures de formation pour tous, une charte, et une mention dans la politique de confidentialité pour les entretiens.
- Chatbot du site : obligation de transparence. Action : un message clair « vous échangez avec un assistant automatisé » et un chemin vers un humain.
- Tri des candidatures : haut risque. Action : le projet est redéfini. L’outil résume et organise les candidatures, mais ne les classe ni ne les écarte ; la décision reste entièrement humaine, et c’est documenté. L’entreprise évite ainsi le régime du haut risque, et un outil dont elle ne voulait pas vraiment.
L’exercice a pris une matinée. Le seul changement coûteux était un projet que personne n’avait vraiment examiné.
Ce que ça change pour une équipe
- La formation devient une obligation, pas une option. Toute personne qui utilise l’IA au travail doit avoir été formée à son usage et à ses risques. Ça se documente.
- Les projets se classent avant de se lancer. La question « est-ce un usage à haut risque ? » se pose à l’origine de chaque projet, et change parfois sa conception.
- La transparence s’organise. Chatbots, contenus générés destinés au public : des mentions à prévoir, simples mais obligatoires.
- La charte et le registre font le lien. Les mêmes documents servent au RGPD et à l’AI Act : inventaire des usages, règles, formations, points de validation humaine.
Les limites et les erreurs fréquentes
- Croire que ça ne concerne que les géants. Les obligations de formation et de transparence s’appliquent à toute entreprise qui utilise l’IA, quelle que soit sa taille.
- Paniquer dans l’autre sens. La plupart des usages d’une PME sont à risque limité. L’AI Act n’interdit pas d’utiliser un assistant ; il demande de former et d’informer.
- Glisser vers le haut risque sans s’en apercevoir. Un outil de « pré-tri » des candidats ou de « suivi » des salariés peut entrer dans le haut risque. Vérifier la liste avant de concevoir.
- Se fier à un calendrier figé. Les dates d’application et certaines modalités ont fait l’objet de discussions et de guides successifs. Vérifier l’état du droit au moment de décider, et ne pas attendre la dernière date pour former.
Pour aller plus loin
Le règlement (UE) 2024/1689 distingue plusieurs catégories et prévoit un calendrier d’application progressif. L’analyse d’un projet exige de vérifier les dispositions effectivement applicables à la date considérée. Cette définition ne remplace pas une analyse juridique.
Où ça se situe chez Opora
Programme 01 · Mieux utiliserUn usage responsable et sobre de l’IA
Comprendre ce que l’AI Act demande réellement à votre entreprise, et y répondre par la formation et une charte, c’est une partie du programme Un usage responsable.
Questions fréquentes
L’AI Act concerne-t-il une PME qui utilise seulement ChatGPT ?
Oui, mais de façon légère. Le règlement distingue ceux qui développent des systèmes d’IA et ceux qui les utilisent. Une entreprise qui utilise un assistant est un « déployeur », avec surtout une obligation de former les personnes qui s’en servent, et des règles de transparence dans certains cas. Les obligations lourdes visent les usages à haut risque et les fournisseurs.
Qu’est-ce qu’un usage à haut risque ?
Une liste précise : recrutement et gestion des salariés, accès au crédit et à l’assurance, éducation, infrastructures critiques, services publics essentiels, justice, entre autres. Un outil qui trie des candidatures ou évalue des salariés entre dans cette catégorie, avec des obligations de supervision humaine, de documentation et d’information.
Où en est le calendrier ?
Le règlement est entré en vigueur en août 2024. Les interdictions et l’obligation de maîtrise de l’IA s’appliquent depuis février 2025, les règles sur les modèles à usage général depuis août 2025. Les obligations sur les usages à haut risque étaient prévues à partir d’août 2026, avec des discussions sur un report : vérifier l’état du calendrier au moment de décider.