EU AI Act pour les entreprises : obligations, échéances et checklist

Pour une entreprise, la question devient donc très opérationnelle : quel est le cas d’usage, quel rôle joue l’organisation et quelle échéance s’applique ?

Ce que l’EU AI Act change concrètement

Un assistant qui résume des documents en interne ne se traite pas comme un outil qui trie des candidatures, évalue des performances ou prépare une décision concernant une personne. Les sources décrivent une mise en application par étapes : d’abord les pratiques interdites, puis les obligations visant les modèles d’IA à usage général, ensuite une grande partie des obligations applicables aux systèmes à haut risque, et enfin certains systèmes d’IA intégrés à des produits déjà réglementés.

Trois questions permettent de cadrer l’analyse :

1. Le cas d’usage : que fait exactement l’IA, avec quelles données et avec quel poids dans la décision finale ?
2. Le rôle de l’entreprise : êtes-vous déployeur, fournisseur d’un système d’IA ou fournisseur d’un modèle d’IA à usage général ?
3. Le niveau de risque : l’usage relève-t-il d’une pratique interdite, d’un modèle GPAI, d’un système à haut risque ou d’un usage moins sensible ?

Les grandes échéances à connaître

Ce calendrier ne remplace pas une analyse juridique, mais il donne les jalons utiles pour planifier un chantier conformité.

Le vrai point de départ : usage, rôle, risque

1. Décrire l’usage, pas seulement l’outil

Commencez par la finalité. Le nom d’un outil ou le fait qu’il utilise de l’IA ne suffit pas à déterminer les obligations. Ce qui compte, c’est son effet concret : aide-t-il simplement à rédiger ou à rechercher une information, ou bien intervient-il dans l’évaluation d’une personne, l’accès à une prestation, la sécurité d’un processus ou une décision sensible ?

Les usages dans des domaines tels que la biométrie, les infrastructures critiques, l’éducation, l’emploi et les services publics doivent être examinés avec une attention particulière, car les sources les citent comme des domaines où des questions de haut risque peuvent se poser.

2. Identifier le rôle de l’entreprise

Une même entreprise peut avoir plusieurs rôles selon les projets. Avec un outil acheté sur abonnement, elle sera souvent déployeur, c’est-à-dire l’organisation qui utilise le système dans son activité. Si elle commercialise son propre produit intégrant une fonction d’IA, des obligations de fournisseur peuvent devenir pertinentes. Si elle développe ou met à disposition un modèle d’IA à usage général, des règles spécifiques liées aux GPAI s’ajoutent.

Cette qualification est essentielle, car les obligations ne dépendent pas seulement du risque du système : elles varient aussi selon que l’entreprise fournit, déploie ou met à disposition le modèle.

3. Poser une première qualification du risque

Une revue initiale peut suivre quatre étapes simples :

1. Écarter les pratiques interdites : si un cas d’usage entre dans une catégorie interdite, le sujet est déjà critique et ne peut pas être repoussé à une échéance ultérieure.
2. Vérifier le lien avec les GPAI : fournissez-vous vous-même un modèle d’IA à usage général, ou utilisez-vous un modèle tiers dans une application précise ?
3. Rechercher un possible haut risque : le système intervient-il dans un domaine sensible ou influence-t-il des décisions concernant des personnes ?
4. Regarder le régime produit : l’IA est-elle intégrée à un produit déjà réglementé, avec des délais de transition particuliers ?

Les chantiers à lancer maintenant

Constituer un registre des usages d’IA

Le premier livrable utile est un registre des systèmes et usages d’IA. Il doit couvrir les grands projets visibles, mais aussi les assistants internes, les fonctionnalités IA de logiciels SaaS, les automatisations, les modèles utilisés et les fonctions intégrées à vos propres produits.

Un registre exploitable devrait au minimum préciser :

• le nom de l’outil ou du système ;
• sa finalité et le service métier concerné ;
• son mode de mise à disposition, interne ou externe ;
• les types de données utilisés ;
• les personnes ou groupes concernés ;
• son influence sur une décision ;
• le fournisseur, le responsable interne et les équipes impliquées ;
• une première appréciation : pratique interdite possible, lien avec un GPAI, haut risque potentiel ou usage moins sensible.

Cette cartographie sert ensuite de base pour qualifier les rôles et les catégories de risque cas par cas.

Traiter d’abord les usages sensibles

Toutes les applications d’IA n’appellent pas le même niveau d’effort. Les systèmes à examiner en priorité sont ceux qui évaluent des personnes, orientent l’accès à des opportunités ou à des prestations, ou interviennent dans des domaines sensibles comme la biométrie, les infrastructures critiques, l’éducation, l’emploi et les services publics.

Dans la pratique, cela peut concerner des outils RH, la présélection de candidatures, l’évaluation de performances, des applications proches de la sécurité ou des systèmes qui préparent des décisions individuelles. La qualification finale dépend toutefois du flux de travail exact et du rôle de l’entreprise.

Préparer la gouvernance et la documentation

Pour les systèmes à haut risque, les sources mentionnent des exigences telles que la gestion des risques, la documentation technique et l’évaluation de conformité. Les tâches concrètes à assumer varient selon le rôle de l’entreprise et le système concerné. Pour les systèmes à haut risque de l’annexe III, le cadre complet devient applicable le 2 août 2026.

Les préparatifs les plus utiles consistent à :

• désigner des responsables côté métier, IT, protection des données, juridique et conformité ;
• mettre en place un processus d’autorisation pour les nouveaux outils d’IA ;
• demander aux fournisseurs les documents techniques, informations de risque, engagements contractuels et modalités de mise à jour ;
• documenter la finalité, les données, les risques, le contrôle humain et les changements importants ;
• faire examiner tôt les cas limites.

Ne pas réduire la conformité aux seuls systèmes à haut risque

La maîtrise de l’IA, ou AI literacy, ne concerne pas uniquement les systèmes à haut risque. Une source présente ces exigences comme une obligation large pour les fournisseurs et les déployeurs, quel que soit le niveau de risque : même les organisations qui n’utilisent que des systèmes à risque minimal doivent respecter les exigences de maîtrise de l’IA et éviter les pratiques interdites.

Concrètement, les personnes qui choisissent, configurent ou utilisent des outils d’IA doivent connaître les limites du système, comprendre les erreurs courantes et savoir quand une vérification humaine est nécessaire.

Trois situations fréquentes en entreprise

Vous utilisez un assistant d’IA uniquement en interne

Tout dépend de l’usage réel. La rédaction, la synthèse de documents ou l’aide à la recherche ne posent pas les mêmes questions qu’un usage en RH, en notation, en accès à des prestations ou dans d’autres processus sensibles. Même si le risque paraît faible, l’outil doit figurer dans le registre, avec des règles d’utilisation claires et un effort de maîtrise de l’IA.

Vous développez un produit SaaS avec une fonction d’IA

Il faut vérifier si l’entreprise devient fournisseur d’un système d’IA et si la fonction peut tomber dans un contexte à haut risque. Pour les systèmes à haut risque, des exigences comme la gestion des risques, la documentation technique et les questions de conformité deviennent particulièrement importantes à partir de 2026.

Vous utilisez l’IA pour le recrutement, le scoring ou le support client

Le recrutement et les autres contextes liés à l’emploi doivent être analysés tôt, car l’emploi fait partie des domaines cités par les sources parmi ceux où des questions de haut risque peuvent apparaître. Pour le scoring ou le support client, l’enjeu est de savoir si l’IA se limite à assister un humain ou si elle prépare, influence ou automatise des décisions concernant des personnes. Sans description précise du flux de travail, une qualification sérieuse reste impossible.

Checklist opérationnelle

1. Recenser les usages d’IA : outils, modèles, fonctions produits et automatisations.
2. Trier les cas d’usage : écarter d’abord les pratiques interdites, puis vérifier les liens avec les GPAI et les scénarios de haut risque.
3. Fixer le rôle de l’entreprise : déployeur, fournisseur d’un système d’IA ou fournisseur de modèle GPAI, pour chaque usage.
4. Prioriser les domaines sensibles : RH, biométrie, infrastructures critiques, éducation, services publics et processus ayant un effet sur des décisions individuelles.
5. Interroger les fournisseurs : documentation, informations de risque, mises à jour, responsabilités et engagements contractuels.
6. Installer une gouvernance : responsables, validation des nouveaux outils, formation, traçabilité et documentation.
7. Planifier les cas à haut risque : pour les systèmes susceptibles de relever de l’annexe III, traiter le 2 août 2026 comme une date de préparation centrale.

À retenir

L’EU AI Act ne demande pas aux entreprises de renoncer à l’IA. Il leur impose de savoir où elles l’utilisent, dans quel rôle et avec quel niveau de risque.

Pour quelques outils internes simples, le chantier peut rester maîtrisable, mais un registre, des règles d’usage et la maîtrise de l’IA restent utiles et, pour certains aspects, explicitement pertinents. En revanche, si l’IA intervient dans des domaines sensibles, si vous commercialisez un produit d’IA ou si vous fournissez des modèles GPAI, attendre la dernière minute avant les échéances de 2026 serait risqué du point de vue de la préparation.