Le règlement européen sur l’intelligence artificielle, entré en vigueur en 2024 et dont l’application s’échelonne jusqu’en 2027, transforme radicalement le cadre juridique des entreprises qui utilisent des systèmes d’IA. Contrairement aux idées reçues, ce texte ne vise pas uniquement les développeurs et fournisseurs de solutions technologiques. Les entreprises utilisatrices se voient attribuer des responsabilités spécifiques qui peuvent engager leur conformité réglementaire et leur responsabilité juridique. Décrypter ces obligations devient indispensable pour anticiper les contraintes opérationnelles et éviter des sanctions financières qui peuvent atteindre plusieurs millions d’euros.
La classification des systèmes d’IA et ses conséquences pour l’utilisateur
L’IA Act repose sur une approche par les risques qui catégorise les systèmes d’intelligence artificielle en quatre niveaux distincts. Cette classification détermine directement le niveau d’obligations pesant sur l’entreprise utilisatrice. Les systèmes à risque minimal, comme les filtres anti-spam ou les assistants de rédaction basiques, échappent à toute contrainte particulière. À l’opposé, les systèmes à risque inacceptable sont tout simplement interdits sur le territoire européen.
Entre ces deux extrêmes se situent les systèmes à risque élevé, qui concentrent l’essentiel des exigences réglementaires. Ces solutions concernent huit domaines précis: l’identification biométrique, la gestion des infrastructures critiques, l’éducation et la formation professionnelle, l’emploi et la gestion du personnel, l’accès aux services essentiels, les forces de l’ordre, la gestion de la migration et de l’asile, ainsi que l’administration de la justice. Une PME qui utilise un logiciel de recrutement basé sur l’IA pour trier automatiquement les CV manipule un système à risque élevé, avec toutes les obligations afférentes.
La qualification d’un système comme étant à risque élevé découle de son usage effectif, pas de sa technologie sous-jacente. Une même solution peut être à risque minimal dans un contexte et à risque élevé dans un autre. L’entreprise utilisatrice porte la responsabilité d’identifier correctement cette classification pour appliquer les mesures appropriées.
Les obligations de surveillance humaine dans le déploiement de l’IA
Pour tout système à risque élevé, le règlement impose une surveillance humaine effective lors de l’utilisation. Cette exigence dépasse largement la simple présence d’un opérateur devant un écran. L’entreprise doit garantir qu’une personne compétente peut comprendre les capacités et les limites du système, suivre son fonctionnement en temps réel, et intervenir rapidement si nécessaire. Cette obligation vise à éviter les biais de l’automatisation, ce phénomène psychologique qui pousse les utilisateurs à faire confiance aveuglément aux recommandations de la machine.
Concrètement, une société de services qui utilise un outil d’analyse de CV doit former ses recruteurs aux mécanismes de l’algorithme. Ces professionnels doivent pouvoir identifier les situations où le système pourrait générer des discriminations, même involontaires. Ils conservent le pouvoir de contredire les recommandations automatiques et de justifier leurs décisions finales sur des critères objectifs et documentés.
L’interface utilisateur du système doit faciliter cette supervision. Le fournisseur a certes la responsabilité première de concevoir des dispositifs de contrôle appropriés, mais l’entreprise utilisatrice doit s’assurer que ses équipes maîtrisent effectivement ces outils. Une formation initiale suivie d’un suivi régulier s’impose pour maintenir cette capacité de surveillance dans la durée.
Transparence et information des personnes concernées
Lorsqu’une entreprise déploie un système d’IA à risque élevé qui interagit directement avec des personnes physiques, elle endosse une obligation d’information transparente. Les candidats à un poste doivent savoir qu’un algorithme participe au processus de sélection. Les salariés soumis à une évaluation automatisée de leurs performances ont le droit de comprendre les critères utilisés et la logique décisionnelle du système.
Cette transparence ne se limite pas à une mention discrète dans des conditions générales que personne ne lit. L’information doit être claire, accessible et fournie au bon moment, généralement avant que la personne ne soit effectivement soumise au traitement automatisé. Le format et le niveau de détail s’adaptent au public visé. Un candidat externe n’a pas besoin du même niveau technique qu’un salarié régulièrement exposé au système.
Les entreprises doivent documenter ces communications. En cas de contrôle, les autorités vérifieront que l’information a bien été délivrée et qu’elle respecte les standards de clarté imposés par le règlement. Cette traçabilité rejoint d’ailleurs les obligations du RGPD, créant une convergence des exigences de conformité réglementaire que les organisations doivent orchestrer de manière cohérente.
Traçabilité et documentation des décisions assistées par IA
L’IA Act impose aux utilisateurs de systèmes à risque élevé de conserver des journaux d’activité détaillés. Ces logs doivent enregistrer les événements pertinents tout au long de la durée de vie du système, permettant de retracer les décisions prises, les données d’entrée utilisées, les résultats produits et les interventions humaines éventuelles. Cette obligation vise à garantir une responsabilité claire en cas de problème ou de contestation.
La durée de conservation varie selon le contexte d’usage, mais elle doit permettre une analyse a posteriori en cas de litige ou de dysfonctionnement. Une banque qui utilise un système d’IA pour évaluer la solvabilité des demandeurs de crédit doit archiver les données suffisamment longtemps pour répondre aux recours potentiels. Les métadonnées enregistrées incluent l’identifiant de l’opérateur humain, l’horodatage précis, les paramètres de configuration actifs au moment du traitement, et toute anomalie détectée.
Cette traçabilité technique s’accompagne d’une documentation organisationnelle. L’entreprise utilisatrice doit pouvoir démontrer comment elle a paramétré le système, quelles procédures encadrent son utilisation quotidienne, et comment elle forme ses équipes. Un manuel d’utilisation interne, régulièrement mis à jour, constitue une pièce maîtresse de cette démonstration de conformité.
Coopération avec les fournisseurs et gestion des incidents
Le règlement établit une répartition des responsabilités entre fournisseurs et utilisateurs de systèmes d’IA. Le fournisseur conçoit et maintient la solution, garantit sa conformité initiale, et fournit la documentation technique nécessaire. L’utilisateur, de son côté, applique le système dans les conditions prévues, surveille son fonctionnement effectif, et remonte les dysfonctionnements constatés.
Cette collaboration devient critique lorsqu’un incident survient. Si une entreprise détecte qu’un système d’IA à risque élevé produit des résultats manifestement erronés ou discriminatoires, elle doit immédiatement suspendre son utilisation et informer le fournisseur. Ce dernier analyse l’origine du problème et déploie les correctifs nécessaires. Pendant ce temps, l’utilisateur documente l’incident, évalue son impact sur les décisions prises, et met en œuvre des mesures correctives si des personnes ont été lésées.
Les contrats commerciaux doivent intégrer ces mécanismes de coopération. Les clauses précisent les délais de réponse du fournisseur, les procédures d’escalade en cas de dysfonctionnement grave, et la répartition des coûts liés aux corrections. Une entreprise qui néglige ces aspects contractuels se retrouve démunie face à un fournisseur peu réactif, tout en restant exposée aux sanctions réglementaires. La sécurisation de ces relations rappelle l’importance de structurer rigoureusement ses partenariats technologiques.
Sanctions et risques juridiques pour non-conformité
Le non-respect des obligations imposées aux entreprises utilisatrices expose à des sanctions administratives graduées selon la gravité du manquement. L’utilisation d’un système d’IA interdit constitue la violation la plus grave, sanctionnable par une amende pouvant atteindre 35 millions d’euros ou 7% du chiffre d’affaires annuel mondial consolidé, le montant le plus élevé étant retenu. Cette menace vise notamment les systèmes de notation sociale ou de manipulation comportementale prohibés par le texte.
Le non-respect des obligations applicables aux systèmes à risque élevé entraîne des amendes pouvant atteindre 15 millions d’euros ou 3% du chiffre d’affaires annuel mondial. Cette catégorie inclut le défaut de surveillance humaine, l’absence d’information des personnes concernées, ou l’utilisation d’un système non conforme aux exigences réglementaires. Les PME ne bénéficient d’aucune exemption, même si les autorités peuvent moduler les sanctions en fonction de la taille et des ressources de l’organisation.
| Type de violation | Amende maximale (fixe) | Amende maximale (proportionnelle) |
| Utilisation d’un système interdit | 35 millions d’euros | 7% du CA mondial annuel |
| Non-conformité système à risque élevé | 15 millions d’euros | 3% du CA mondial annuel |
| Fourniture d’informations incorrectes | 7,5 millions d’euros | 1,5% du CA mondial annuel |
Au-delà des sanctions administratives, les entreprises s’exposent à des risques de contentieux civils. Une personne qui subit un préjudice du fait d’une décision prise par un système d’IA non conforme peut engager la responsabilité de l’entreprise utilisatrice. Les dommages et intérêts peuvent s’avérer considérables, notamment en matière de discrimination à l’embauche ou de refus de crédit injustifié. La charge de la preuve s’inverse partiellement au profit de la victime, qui bénéficie de facilités pour démontrer le lien de causalité entre le dysfonctionnement du système et le préjudice subi.
Préparer la mise en conformité dans votre organisation
Face à ces obligations croissantes, les entreprises doivent structurer une démarche de conformité méthodique. La première étape consiste à cartographier l’ensemble des systèmes d’IA utilisés au sein de l’organisation, qu’ils soient développés en interne, acquis auprès d’éditeurs tiers, ou intégrés dans des solutions SaaS. Cette cartographie identifie le niveau de risque de chaque système selon la grille de classification du règlement.
Pour chaque système à risque élevé, une analyse d’impact détaillée évalue les écarts entre les pratiques actuelles et les exigences réglementaires. Cette évaluation couvre les aspects techniques (capacités de traçabilité, dispositifs de surveillance), organisationnels (procédures d’utilisation, formation des opérateurs) et contractuels (clauses avec les fournisseurs, garanties obtenues). Les lacunes identifiées alimentent un plan d’action priorisé selon l’urgence et les ressources disponibles.
La gouvernance de l’IA nécessite des rôles et responsabilités clairement définis. Certaines organisations nomment un responsable de la conformité IA, qui coordonne les différentes initiatives, maintient la documentation réglementaire, et sert d’interlocuteur avec les autorités de contrôle. Cette fonction peut être exercée par le DPO dans les structures de taille modeste, ou constituer une position dédiée dans les grandes entreprises fortement utilisatrices d’IA.
La formation des collaborateurs représente un investissement indispensable. Les équipes opérationnelles qui utilisent quotidiennement les systèmes d’IA doivent comprendre leurs obligations de surveillance et de documentation. Les responsables métiers qui décident du déploiement de nouvelles solutions doivent intégrer les critères de conformité dans leurs choix technologiques. Les équipes juridiques et achats maîtrisent les clauses contractuelles spécifiques à négocier avec les fournisseurs.
Cette transformation s’inscrit dans une logique plus large de maîtrise des risques numériques. Les entreprises qui ont déjà structuré leur conformité RGPD ou renforcé leur cybersécurité disposent d’atouts précieux pour aborder l’IA Act. Les processus de documentation, les mécanismes de contrôle interne, et la culture de responsabilité constituent des fondations solides. Les synergies avec d’autres domaines de conformité, comme la gestion globale des risques cyber, permettent d’optimiser les ressources et de renforcer la cohérence des dispositifs mis en place.
Le calendrier d’application progressive du règlement offre un délai de préparation limité mais précieux. Les interdictions visant les systèmes à risque inacceptable s’appliquent depuis février 2025. Les obligations relatives aux systèmes à risque élevé entrent pleinement en vigueur en août 2026, avec une attention particulière portée aux systèmes déjà déployés qui doivent être mis en conformité. Les entreprises qui anticipent ces échéances transforment une contrainte réglementaire en opportunité d’améliorer leurs processus décisionnels et de renforcer la confiance de leurs parties prenantes.
