Règlement européen sur l'IA : obligations d'une entreprise qui utilise des outils d'IA

Le règlement (UE) 2024/1689 sur l'intelligence artificielle (« AI Act ») s'applique à une entreprise française qui se contente d'utiliser des outils d'IA : elle est qualifiée de « déployeur », avec des obligations plus légères que celles du fournisseur du système, mais bien réelles. Les plus concrètes pour une PME sont l'interdiction de certaines pratiques, l'obligation de veiller à la maîtrise de l'IA de son personnel, la transparence envers les personnes qui interagissent avec une IA ou voient un contenu généré, et, pour les usages à haut risque, un ensemble d'obligations de contrôle humain et d'information.

Ce guide présente le calendrier d'application, les niveaux de risque, les obligations du déployeur et une démarche simple pour s'organiser. Le texte et son calendrier ont connu des discussions d'ajustement au niveau européen : vérifiez toujours la version et les dates en vigueur sur les sites officiels cités en fin d'article.

Calendrier d'application

Le règlement est entré en vigueur le 1er août 2024, avec une application progressive.

Des propositions de la Commission européenne visant à reporter ou simplifier certaines obligations, notamment pour les systèmes à haut risque, ont été discutées. Ne présumez pas de leur adoption : consultez l'état actuel du texte pour la date qui vous concerne.

Les quatre niveaux de risque

1. Risque inacceptable : pratiques interdites, par exemple certaines techniques de manipulation, la notation sociale ou la reconnaissance des émotions sur le lieu de travail dans les cas prévus par le texte.
2. Haut risque : systèmes utilisés dans des domaines sensibles comme le recrutement et la gestion des travailleurs, l'accès à l'éducation, l'évaluation de la solvabilité, ou certains services essentiels. Ils sont soumis à des exigences strictes.
3. Risque limité : obligations de transparence, par exemple informer une personne qu'elle échange avec une IA ou signaler un contenu généré artificiellement dans certains cas.
4. Risque minimal : la majorité des usages courants (rédaction, résumé, traduction), sans obligation spécifique autre que la maîtrise de l'IA.

Vos obligations comme déployeur

Maîtrise de l'IA du personnel

L'article 4 impose aux entreprises qui utilisent des systèmes d'IA de prendre des mesures pour garantir, dans la mesure du possible, un niveau suffisant de maîtrise de l'IA chez leur personnel et les personnes qui utilisent ces systèmes pour leur compte. Le texte n'impose pas un diplôme, mais une formation adaptée aux connaissances des personnes, à leur contexte d'usage et aux systèmes utilisés. Documentez-la : date, contenu, participants.

Transparence

Si vous déployez un agent conversationnel face à des clients, ils doivent être informés qu'ils interagissent avec une IA, sauf si cela ressort clairement du contexte. Des règles particulières concernent les contenus synthétiques (images, sons, vidéos générés) publiés à destination du public. Voir le guide sur l'IA en service client.

Usages à haut risque

Si vous utilisez un système à haut risque (par exemple un outil qui présélectionne des candidatures), vous devez notamment l'utiliser conformément à la notice du fournisseur, confier la supervision humaine à des personnes compétentes, contrôler les données d'entrée dont vous avez la maîtrise, conserver les journaux générés, et informer les salariés et leurs représentants avant la mise en service sur le lieu de travail. Les décisions concernant des personnes appellent aussi une vigilance au titre du RGPD (article 22 sur les décisions automatisées).

Démarche en cinq étapes

1. Cartographier : listez les outils d'IA utilisés, y compris les fonctions intégrées aux logiciels existants, et les usages réels (y compris ceux des salariés qui utilisent un compte personnel).
2. Classer : pour chaque usage, déterminez le niveau de risque. Les usages de rédaction ou de traduction sont généralement à risque minimal ; ceux qui touchent aux personnes (recrutement, évaluation) demandent un examen approfondi.
3. Former : organisez une session de sensibilisation adaptée (fonctionnement, limites, erreurs, confidentialité), avec des exemples du métier.
4. Encadrer : rédigez une charte d'usage (données interdites, vérification humaine, mentions de transparence) et désignez un référent.
5. Documenter : conservez la liste des outils, la formation, la charte et les vérifications.

Exemple chiffré (illustratif). Pour 15 salariés, une session de sensibilisation de 2 heures coûte 15 × 2 = 30 heures de temps de travail, soit 1 050 euros à 35 euros de l'heure, plus 6 heures de préparation (210 euros) : environ 1 260 euros, soit 84 euros par salarié. Ce budget est à intégrer au coût réel d'un logiciel d'IA.

Sanctions et contrôle

Le règlement prévoit des amendes administratives dont le plafond varie selon la gravité du manquement, calculées en montant fixe ou en pourcentage du chiffre d'affaires mondial, avec des dispositions adaptées aux petites entreprises. Chaque État membre désigne ses autorités compétentes ; en France, l'organisation des autorités chargées de la surveillance est précisée par les textes nationaux et peut évoluer. Consultez les sites des administrations pour l'état actuel.

Erreurs fréquentes

• Croire que le règlement ne concerne que les concepteurs d'IA et pas les utilisateurs.
• Ignorer l'IA « cachée » dans les logiciels existants (CRM, outils de recrutement, messagerie).
• Se limiter à une charte sans formation effective.
• Utiliser un outil de présélection de candidats sans analyser son niveau de risque.

Questions fréquentes

Une TPE doit-elle former ses salariés à l'IA ?

L'article 4 vise toutes les entreprises qui utilisent des systèmes d'IA. L'ampleur de la formation s'adapte à la taille, au contexte et aux risques ; une courte sensibilisation documentée est un point de départ raisonnable.

Mon outil est fourni par un éditeur étranger : le règlement s'applique-t-il ?

Il s'applique aux systèmes mis sur le marché ou utilisés dans l'Union, y compris lorsque le fournisseur est établi hors de l'Union. Vos obligations de déployeur subsistent.

Dois-je afficher que mon texte a été rédigé avec l'IA ?

Pas systématiquement. L'obligation vise surtout les contenus de type hypertrucage et certains textes publiés pour informer le public sur des questions d'intérêt général sans relecture humaine éditoriale. Vérifiez le texte pour votre cas.

Sources

• Commission européenne, politique numérique — page du règlement sur l'IA et calendrier
• EUR-Lex — texte officiel du règlement (UE) 2024/1689
• CNIL — articulation entre IA et RGPD
• Direction générale des entreprises — informations pour les entreprises