AI Act : les obligations d'une entreprise qui utilise l'IA.

Le guide

Fournisseur ou déployeur : quel est votre rôle ?

Le règlement (UE) 2024/1689, dit AI Act, répartit les obligations selon le rôle de chacun. Son article 3 en définit deux principaux :

• le fournisseur développe un système d'IA, ou le fait développer, et le met sur le marché ou en service sous son propre nom ou sa propre marque ;
• le déployeur utilise un système d'IA sous sa propre autorité, hors usage personnel non professionnel.

Une entreprise qui met à la disposition de ses collaborateurs un assistant du marché, utilisé conformément à sa destination, en est déployeur. Une entreprise qui fait développer un système d'IA, par exemple un agent sur mesure, et le met en service sous son nom en est fournisseur, même si elle ne l'utilise qu'en interne : le règlement compte la fourniture pour usage propre comme une mise en service. Pour un système qui n'est pas à haut risque, les obligations du fournisseur restent limitées, notamment à la transparence et à la maîtrise de l'IA.

Enfin, selon l'article 25, un déployeur devient fournisseur d'un système à haut risque s'il modifie la destination d'un système, y compris d'un assistant généraliste, au point de le rendre à haut risque. Le rôle se détermine donc usage par usage.

Le calendrier d'application

Le texte est entré en vigueur le 1^er août 2024 et s'applique par étapes. Plusieurs dates ont été modifiées en 2026 par l'omnibus numérique sur l'IA ; le calendrier ci-dessous est celui que publie le service d'assistance de la Commission européenne, à partir du texte consolidé.

Les pratiques interdites depuis février 2025

L'article 5 interdit une liste de pratiques, quel que soit le rôle de l'entreprise. Pour une entreprise qui utilise l'IA dans son fonctionnement, les plus concrètes sont :

• la déduction des émotions d'une personne sur le lieu de travail ou dans un établissement d'enseignement, sauf pour des raisons médicales ou de sécurité ;
• la notation sociale, qui conduit à traiter défavorablement des personnes dans des contextes sans lien avec les données utilisées, ou de façon injustifiée ou disproportionnée ;
• les techniques manipulatrices ou trompeuses qui altèrent le comportement d'une personne et lui causent un préjudice important ;
• l'exploitation des vulnérabilités liées à l'âge, au handicap ou à la situation sociale ou économique ;
• la catégorisation biométrique visant à déduire l'origine raciale, les opinions politiques, l'appartenance syndicale, les convictions religieuses ou philosophiques, la vie ou l'orientation sexuelle.

Le règlement définit la reconnaissance des émotions à partir de données biométriques, comme la voix ou le visage. Un outil d'analyse des appels ou des réunions qui prétend déduire l'humeur des collaborateurs à partir de leur voix ou de leur visage relève donc de cette interdiction, sauf raison médicale ou de sécurité : à vérifier avant tout déploiement.

La maîtrise de l'IA : former les équipes

L'article 4 demande aux fournisseurs et aux déployeurs de prendre des mesures pour développer la maîtrise de l'IA de leur personnel et des personnes qui utilisent ces systèmes pour leur compte. Depuis sa révision en 2026, il précise que cette obligation n'impose pas de garantir un niveau donné de maîtrise pour chaque personne : en pratique, une obligation de moyens.

Concrètement : une formation adaptée aux outils réellement utilisés et aux risques de chaque fonction, sur ce qu'un outil fait bien, ses limites, les données qui ne doivent pas y être saisies et les cas où une relecture humaine est obligatoire. Garder une trace de ces formations permet de montrer les mesures prises.

La transparence depuis août 2026

L'article 50 impose plusieurs obligations d'information. Celles qui visent le déployeur :

• informer les personnes exposées à un système de reconnaissance des émotions ou de catégorisation biométrique, dans les usages que l'article 5 n'interdit pas ;
• signaler qu'une image, un son ou une vidéo constituant un hypertrucage (« deep fake ») a été généré ou manipulé par l'IA ;
• signaler qu'un texte publié pour informer le public sur des questions d'intérêt public a été généré ou manipulé par l'IA, sauf s'il a fait l'objet d'une relecture humaine ou d'un contrôle éditorial et qu'une personne en assume la responsabilité éditoriale.

Un centre d'appels qui analyse la voix de ses clients pour en déduire leurs émotions doit donc les en informer, alors que le même usage appliqué à ses collaborateurs est interdit, sauf raison médicale ou de sécurité. Autorisé, un tel système relève en outre en principe des usages à haut risque (annexe III, point 1), avec les obligations du déployeur à partir du 2 décembre 2027.

Côté fournisseur, un système conçu pour interagir directement avec des personnes doit les informer qu'elles échangent avec une IA, sauf si c'est évident, et les contenus générés doivent être marqués de façon détectable par une machine. Si vous mettez en service sous votre nom un assistant destiné à vos clients, vous êtes concerné.

Les usages à haut risque

L'annexe III liste des usages à haut risque. Deux concernent beaucoup d'entreprises :

• l'emploi, qui concerne tout employeur : les systèmes destinés au recrutement ou à la sélection (diffusion ciblée d'offres, tri et filtrage des candidatures, évaluation des candidats), ou à des décisions sur les conditions de travail, la promotion ou la fin du contrat, à la répartition des tâches fondée sur le comportement ou les traits personnels, ou au suivi et à l'évaluation des performances et du comportement ;
• le crédit aux particuliers : les systèmes qui évaluent la solvabilité de personnes physiques ou établissent leur score de crédit, hors détection de la fraude.

La reconnaissance des émotions, là où elle n'est pas interdite, figure aussi à l'annexe III.

À partir du 2 décembre 2027, le déployeur d'un tel système doit notamment, selon l'article 26 :

• l'utiliser conformément à sa notice d'utilisation ;
• confier le contrôle humain à des personnes qui ont la compétence, la formation et l'autorité nécessaires ;
• surveiller son fonctionnement et informer le fournisseur en cas de problème ;
• conserver les journaux générés par le système, dans la mesure où il les contrôle, pendant au moins six mois ;
• informer les représentants du personnel et les travailleurs concernés avant sa mise en service sur le lieu de travail ;
• informer les personnes, par exemple les candidats, qu'une décision les concernant s'appuie sur un tel système.

Pour le crédit aux particuliers, le déployeur doit en outre réaliser une analyse d'impact sur les droits fondamentaux (article 27).

Que faire dès maintenant

1. Recenser les usages. Quels outils d'IA sont utilisés, par qui, pour quoi faire, avec quelles données. Les usages individuels non déclarés comptent aussi.
2. Déterminer votre rôle pour chaque usage : déployeur, ou fournisseur si un système est mis en service sous votre nom, y compris pour votre seul usage interne, ou si un outil est détourné vers un usage à haut risque.
3. Classer les usages : pratique interdite à arrêter, usage à haut risque à préparer pour décembre 2027, usage soumis à transparence, usage sans autre obligation que la maîtrise de l'IA.
4. Former les équipes aux outils qu'elles utilisent, et garder la trace de ces formations.
5. Poser une charte d'usage : outils autorisés, données interdites, relecture humaine. Notre guide sur le shadow AI et la charte IA en détaille le contenu.
6. Vérifier les contrats des fournisseurs : traitement des données, hébergement, contrat de sous-traitance au sens de l'article 28 du RGPD.
7. Associer le CSE : dans une entreprise d'au moins cinquante salariés, l'introduction d'outils d'IA appelle en principe son information et sa consultation préalables (article L. 2312-8 du Code du travail).

Ce recensement et ce classement font partie de notre audit et stratégie IA. Ce guide présente le texte ; il ne remplace pas l'avis de votre conseil juridique.