AI Act obligations
Vous avez peut-être déjà lancé un assistant d'IA pour trier des devis, reformuler un mail client ou résumer un compte-rendu. Le sujet paraît pratique, presque banal. Pourtant, dès que cet outil entre dans votre activité, la question ne se limite plus à l'usage, elle touche aussi à la conformité et à la preuve que vous avez fait les choses proprement.
C'est exactement ce que change l’AI Act. Pour une PME, un cabinet ou un indépendant, l'enjeu n'est pas de devenir juriste. L'enjeu est de comprendre ce que le règlement attend, de savoir à quel moment vous êtes concerné, et de garder des traces crédibles de ce que vous avez mis en place.
Table des matières
- Pourquoi l'AI Act change la donne en 2026
- Qui est concerné par le règlement IA
- Les quatre niveaux de risque expliqués simplement
- Fournisseur, déployeur, importateur ou distributeur
- Les documents de conformité à produire
- Choisir la bonne procédure d'évaluation
- Calendrier d'application et échéances clés
- Checklist opérationnelle par profil
Pourquoi l'AI Act change la donne en 2026
Un dirigeant de PME installe un assistant IA pour rédiger des comptes-rendus. Une consultante l'emploie pour classer des candidatures ou préparer des livrables. Quelques semaines plus tard, il faut expliquer quel outil a été utilisé, pour quelle tâche, avec quelles vérifications et quelles consignes.
Le règlement européen introduit cette logique de preuves de conformité. Il ne suffit donc plus de dire qu'un outil est utilisé avec prudence. Il faut pouvoir montrer les mesures prises, les responsabilités définies et les contrôles effectués. Certaines parties du règlement s'appliquent déjà depuis 2025, tandis que d'autres obligations prennent progressivement effet. Le calendrier prévoit notamment un renforcement à partir du 2 août 2026 pour certaines surveillances et exécutions.
La formation des personnes qui utilisent ou supervisent l'IA fait aussi partie du cadre, comme le rappelle la documentation consacrée à l’article 4 et l'alphabétisation IA. Pour comprendre les attentes dans la pratique, consultez également ce guide de conformité IA.
Point pratique. Un usage quotidien doit laisser une trace exploitable, par exemple une fiche outil, une règle de validation ou un historique des contrôles.
Pour une structure indépendante comme pour une PME, le raisonnement suit quatre étapes. D'abord, identifier l'usage réel de l'outil. Ensuite, apprécier son niveau de risque. Puis, déterminer le rôle de l'organisation dans la chaîne. Enfin, réunir les documents et suivre les échéances correspondantes. Cette méthode transforme le texte en décisions vérifiables, sans dramatiser ni minimiser les obligations.
Qui est concerné par le règlement IA
Un indépendant utilise un assistant pour rédiger des réponses clients. Une PME trie des CV avec un outil en ligne. Dans les deux cas, la question juridique ne dépend pas de la taille de la structure. Si elle met sur le marché, déploie ou importe un système d'IA dans l'Union européenne, elle peut relever du règlement, même si son siège se trouve ailleurs. Le rôle joué dans la chaîne compte davantage que le pays d'établissement.
Le périmètre est donc fonctionnel. Un chatbot client, un outil de tri de CV, un moteur de recommandation ou un assistant de rédaction peuvent être concernés si leur usage agit sur une décision, un processus ou une personne.
Ce qui entre souvent dans le périmètre
- Un chatbot de relation client, parce qu'il échange avec des utilisateurs et doit souvent être présenté de manière transparente.
- Un outil d'aide au recrutement, puisqu'il peut influencer le tri, le classement ou la sélection des candidatures.
- Un assistant de rédaction utilisé dans l'entreprise, lorsque ses productions servent une tâche opérationnelle au nom de l'organisation.
- Un moteur de recommandation, s'il oriente les choix de façon significative.
Pour un indépendant, la preuve à réunir peut être très concrète. Il faut pouvoir identifier l'outil, décrire sa finalité, préciser qui valide ses résultats et conserver les règles ou contrôles appliqués. Une PME suivra la même logique, avec un inventaire et une attribution claire des responsabilités.
Ce qui peut rester en dehors, selon le contexte
La recherche scientifique pure n'est pas traitée comme un déploiement commercial classique. Un prototype qui n'est pas encore mis à disposition de tiers suit également une logique différente. Un outil réservé à un usage interne peut rester hors du champ de certaines obligations, à condition que son utilisation ne crée pas indirectement un périmètre réglementaire, notamment par son influence sur une décision sensible, interne ou externe.
Le critère pratique tient à l'effet produit. Si l'IA influence une décision sur une personne ou automatise une tâche exposée, l'organisation doit examiner sérieusement son rôle et les obligations associées. Un outil apparemment simple peut devenir un système utilisé au nom de l'entreprise dès que ses sorties orientent une action réelle.
Devant un outil qui produit un effet sur une personne, la question pertinente porte sur son utilisateur, sa finalité et la traçabilité disponible.
Les quatre niveaux de risque expliqués simplement
Le règlement classe les usages selon une pyramide de risque. Cette logique est utile, parce qu'elle évite de traiter tous les systèmes de la même manière. Un correcteur de texte n'appelle pas les mêmes exigences qu'un système qui aide à prendre une décision sensible sur une personne.
Le bas de la pyramide
Au niveau minimal, l'obligation reste légère. Il peut y avoir peu d'exigences spécifiques, au-delà d'un usage responsable et d'une transparence de base. Un filtre anti-spam ou certains outils d'assistance très généraux se situent souvent dans cette zone, tant qu'ils n'entrent pas dans une finalité plus sensible.
Au niveau limité, la règle clé est souvent l'information de l'utilisateur. Si vous faites interagir quelqu'un avec un chatbot, il faut le signaler clairement. Ce n'est pas un détail de forme, c'est une condition de loyauté dans l'usage.
Le cœur du sujet, le haut risque
Le niveau haut risque bascule dans une autre logique. Là, la documentation, les contrôles techniques, la gouvernance des données, l'oversight humain et les obligations organisationnelles deviennent centrales. Les systèmes d'aide au recrutement, certains outils de crédit ou d'évaluation de personnes entrent typiquement dans cette zone.
Pour une PME, un outil de résumé de mails peut rester relativement simple. Un système qui aide à sélectionner des candidats, lui, demande une discipline documentaire beaucoup plus forte. La différence ne vient pas de l'interface, mais de la portée concrète de la décision.
Le sommet de la pyramide
Au niveau inacceptable, le texte vise des usages interdits. La notation sociale en fait partie, comme certains usages de manipulation ou d'exploitation de vulnérabilités. Ici, la conformité ne consiste pas à compenser, elle consiste à ne pas déployer.
Un scoring de fiabilité des clients peut basculer dans une zone très sensible selon la finalité. S'il sert à classer des personnes de manière abusive ou opaque, le risque juridique change d'échelle. Le bon réflexe est donc de vérifier la finalité réelle, pas seulement le nom de l'outil.
Fournisseur, déployeur, importateur ou distributeur
L'AI Act répartit les responsabilités comme une chaîne de mise en circulation. Votre rôle dépend de ce que vous faites réellement avec le système, et non du seul nom de l'outil. Concevoir une solution, l'importer, la revendre ou l'utiliser dans une activité professionnelle ne crée pas les mêmes preuves à réunir.
| Rôle | Position dans la chaîne | Obligations clés | Profil type |
|---|---|---|---|
| Fournisseur | Conçoit ou met sur le marché | Marquage CE, déclaration de conformité UE, documentation technique | Éditeur SaaS, fabricant, intégrateur qui change le périmètre |
| Déployeur | Utilise le système dans son activité | Utilisation conforme aux instructions, supervision humaine, suivi des logs | PME, cabinet, indépendant |
| Importateur | Fait entrer le système dans l'UE | Vérification documentaire avant mise à disposition | Revendeur ou filiale qui importe |
| Distributeur | Rend le système accessible sans le modifier | Contrôle de l'étiquetage et de la documentation fournie | Canal de vente, place de marché, revendeur |
Comment vous situer sans jargon
Commencez par reconstituer le parcours de l'outil :
- Qui l'a développé ? Si votre entreprise l'a conçu, elle peut relever du rôle de fournisseur.
- Sous quel nom est-il commercialisé ? Une solution vendue sous votre marque peut vous faire porter des responsabilités de fournisseur.
- Qu'avez-vous modifié ? Une personnalisation qui change la finalité ou l'usage prévu peut modifier votre qualification.
- Quel est votre geste concret ? Importer, distribuer ou simplement utiliser le système correspond à des positions différentes dans la chaîne.
Cette distinction compte pour un indépendant ou une PME. Une personne qui utilise ChatGPT, Mistral ou un outil métier vertical agit généralement comme déployeur. Elle doit surtout démontrer que l'outil est utilisé selon ses instructions, que la supervision reste organisée et que les éléments utiles sont suivis. L'éditeur, lui, doit documenter la conception et la mise sur le marché.
La question à trancher est donc la suivante : avez-vous changé la destination de l'outil, ou l'utilisez-vous dans votre activité selon le cadre prévu ? Cette réponse guide la liste des preuves à conserver, depuis les informations fournies par le vendeur jusqu'aux traces de votre utilisation.
Pour vérifier les termes avant de classer votre situation, le glossaire IA d'IATOLL propose des définitions accessibles. Il peut servir de repère pour distinguer les rôles avant de rassembler les documents adaptés à votre position.
Les documents de conformité à produire
Un indépendant utilise un assistant rédactionnel, tandis qu'une PME intègre un outil d'IA dans son logiciel métier. Dans les deux cas, la question arrive vite : que faut-il pouvoir montrer si un client ou une autorité demande des explications ? Les documents servent à relier l'outil, son usage et les mesures de contrôle. Ils transforment une intention de conformité en preuves vérifiables.
Les pièces qui comptent vraiment
Le dossier technique décrit la conception et le fonctionnement du système. Le fournisseur le constitue pendant tout le cycle de vie, avec, par exemple, une politique de gouvernance des données d'entraînement, une procédure de gestion des biais et des journaux d'activité.
La déclaration de conformité UE engage la responsabilité du fournisseur. Préparée au moment de la mise sur le marché, elle indique que le système a été évalué au regard des règles applicables.
Le marquage CE apparaît sur le produit ou dans sa documentation. Il signale une conformité officielle, dans le périmètre couvert par l'évaluation.
La notice d'utilisation aide le déployeur à employer le système correctement. Elle précise les limites à respecter, les conditions de surveillance et les précautions liées à l'usage prévu.
Les registres rendent l'utilisation vérifiable, notamment pour les systèmes à haut risque. Ils peuvent rassembler des logs, une fiche d'évaluation des risques fondamentaux, ainsi que les traces d'accès et d'intervention humaine. Pour une PME, cela peut correspondre à un dossier partagé clairement nommé, à condition que les pièces soient datées et reliées à l'outil concerné.
Ce qu'il faut garder en tête
- Qui rédige quoi ? Le fournisseur prépare la documentation de fond. Le déployeur conserve les preuves d'usage, de supervision et de suivi.
- Quand ? Le dossier se construit avant et pendant la mise sur le marché. Attendre un contrôle laisse des lacunes difficiles à reconstituer.
- Combien de temps ? La conservation doit durer au moins dix ans après la mise sur le marché, selon la logique rappelée dans le cadre européen et ses ressources associées sur l'alphabétisation IA.
- À quel moment de contrôle ? Les pièces doivent être disponibles immédiatement si l'autorité nationale compétente les demande.
Pour organiser ces livrables et comprendre leur articulation avec la pratique, vous pouvez consulter cet angle sur la conformité IA.
Choisir la bonne procédure d'évaluation
Toutes les situations ne passent pas par le même circuit. Le règlement prévoit plusieurs voies de conformité, et le choix dépend surtout du niveau de risque et du rôle du responsable. C'est là que beaucoup d'équipes se trompent, parce qu'elles cherchent une procédure unique alors que le texte fonctionne par cas.
L'auto-évaluation quand le risque reste cadré
Pour une grande partie des usages courants d'une PME ou d'un indépendant, l’auto-évaluation suffit. C'est souvent le cas des chatbots, des outils d'aide à la rédaction, de la classification de prospects ou de la génération d'images non biométriques, lorsque l'usage ne glisse pas vers un cas plus sensible.
Le contrôle interne renforcé quand le système pèse plus lourd
Quand le niveau de risque augmente, le contrôle interne avec documentation renforcée devient plus exigeant. Il faut alors tester, consigner, justifier et relier chaque choix à la finalité du système. Ce n'est plus seulement une vérification technique, c'est une démonstration structurée.
L'intervention d'un tiers quand le texte l'exige
Dans certains cas, une évaluation par un organisme notifié devient nécessaire. Cela signifie qu'un tiers intervient avant la mise sur le marché ou avant certaines étapes de conformité, puis qu'un certificat ou une validation formelle peut être requis pour apposer le marquage CE.
Règle simple. Plus le système est proche d'une décision sensible, plus le besoin de validation externe peut monter.
Trois critères suffisent souvent pour trancher.
- Risque du système, parce que le niveau détermine le degré de contrôle.
- Rôle du responsable, parce qu'un fournisseur n'a pas les mêmes obligations qu'un déployeur.
- Exposition à des personnes vulnérables, parce que le contexte d'usage peut faire changer la lecture du dossier.
Si l'un de ces trois points bascule, faites valider le choix par un juriste ou un DPO externalisé. Pour des usages très simples, vous pouvez rester sur une logique interne. Pour des cas limites, mieux vaut documenter le raisonnement avant de produire le reste.
Calendrier d'application et échéances clés
Le calendrier de l'AI Act ressemble à une frise à plusieurs étages. Les règles ne tombent pas toutes en même temps, et c'est justement ce qui piège les petites structures, parce qu'elles repoussent la mise en ordre documentaire au lieu de la faire en continu. Le règlement est entré en vigueur le 1er août 2024, puis l'interdiction des pratiques à risque inacceptable et l'application de l’article 4 ont commencé le 2 février 2025 selon la Commission.
Les jalons à garder en tête
- 2 février 2025, les obligations d'alphabétisation IA s'appliquent déjà. Pour une PME, cela veut dire qu'il faut pouvoir montrer des actions de sensibilisation et de formation adaptées au niveau des personnes exposées par le système.
- 2 août 2025, les règles sur les modèles d'IA à usage général démarrent. Pour un cabinet ou une équipe qui utilise des fournisseurs externes, cela pousse à vérifier les clauses, les rôles et les engagements des prestataires.
- 2 août 2026, plusieurs contrôles et désignations d'autorités nationales sont déjà structurés, et la surveillance se renforce ensuite. En France, cela rend la traçabilité plus importante, parce qu'il faut pouvoir prouver ce qui a été fait et quand.
- Les étapes suivantes montent progressivement vers les obligations complètes, avec un horizon de mise en conformité étalé. Les organisations qui travaillent sans cartographie documentaire risquent surtout de manquer de temps, pas de théorie.
L'autorité nationale ne demande pas une bonne intention, elle regarde des traces. Pour cette raison, le bon réflexe consiste à lancer dès maintenant la cartographie des outils, des usages et des responsabilités internes, puis à raccorder chaque outil à une preuve simple.
Checklist opérationnelle par profil
Le plus utile, à ce stade, n'est pas une grande théorie. C'est une liste courte, adaptée à votre position réelle. Un indépendant, une PME et un cabinet n'ont pas exactement les mêmes priorités.
Côté indépendant
- Identifier chaque outil IA utilisé, même quand il semble banal.
- Vérifier les CGU du fournisseur, pour savoir ce qui est autorisé et ce qui ne l'est pas.
- Conserver la preuve d'usage, par exemple les paramètres, les versions ou les consignes internes.
- Mettre à jour la lettre de mission si elle mentionne l'usage de l'IA dans la prestation.
Côté PME
- Cartographier les usages internes et clients, sans oublier les outils mis à disposition des équipes.
- Nommer un référent IA, même si la fonction est partagée au début.
- Documenter les instructions aux déployeurs, pour que l'usage reste cohérent avec la finalité prévue.
- Préparer des registres d'utilisation, afin de garder une trace exploitable en cas de contrôle ou d'incident.
Côté cabinet, conseil ou DPO externalisé
- Proposer un pack de conformité à vos clients, avec des modèles adaptés à leurs usages.
- Suivre les standards harmonisés, pour ne pas bâtir des procédures déjà dépassées.
- Préparer un modèle de rapport d'audit IA, clair et réutilisable.
- Mettre en place une procédure d'alerte, en cas d'écart, d'incident ou de changement d'usage.
Pour le vocabulaire de base et les repères d'article, le rappel dédié à l'article 4 de l'AI Act permet de relier la théorie au terrain sans mélanger les rôles. C'est souvent le meilleur point d'entrée avant de formaliser un registre ou un parcours de sensibilisation.
Une conformité documentée vaut mieux qu'une conformité théorique jamais tracée.
IATOLL aide les consultants conformité et les DPO externalisés à structurer l'alphabétisation IA et à garder des preuves propres, sans devoir fabriquer eux-mêmes tous les supports. Si vous voulez relier vos usages IA, vos obligations et vos traces de conformité dans une logique claire, allez voir IATOLL et utilisez-le comme point de départ pour cadrer votre pratique avec des clients ou en interne.
