AI Act : les 7 règles à respecter dès maintenant (et les 2 à venir)

Benjamin Polge

AI Act : les 7 règles à respecter dès maintenant (et les 2 à venir) Entre les obligations déjà en vigueur et celles qui arrivent, les entreprises peinent à comprendre l'AI Act. Le point sur ce qui s'impose vraiment et sur ce qu'il faut anticiper dès maintenant.

Le second volet de l’AI Act a commencé à s’appliquer en partie le 2 août dernier. La majorité des exigences concernant les systèmes d’IA dits à haut risque est toutefois repoussée à l’année prochaine. En cause, le vote du Digital Omnibus qui déplace une grande partie des obligations de l’AI Act. Les entreprises devaient originellement se conformer aux règles sur les IA à haut risque dès août 2026, alors que les normes techniques, les guides et certains dispositifs de certification n’étaient pas encore disponibles. Un nouveau retournement qui ajoute de la complexité dans un texte déjà opaque et assez imprécis. Tentons d’y voir un peu plus clair sur les obligations déjà en vigueur et celles qui arrivent.

Les obligations déjà en vigueur

Le premier volet de l’AI Act s’applique depuis le 2 février 2025.

  1. Les entreprises doivent notamment veiller à ce que leurs salariés disposent d’un niveau suffisant de maîtrise de l’IA, adapté aux outils qu’ils utilisent, à leur fonction et aux risques associés. L’obligation implique a minima de sensibiliser les collaborateurs aux risques juridiques, éthiques et opérationnels.
  2. De plus, plusieurs pratiques d’IA considérées comme présentant un risque inacceptable sont interdites. Sont notamment concernés les systèmes reposant sur des techniques de manipulation subliminale ou trompeuse, l’exploitation des vulnérabilités liées à l’âge, au handicap ou à la situation sociale, ainsi que le scoring social.
  3. Le texte interdit également certaines formes de profilage utilisées pour prédire le risque qu’une personne commette une infraction, la constitution de bases de reconnaissance faciale par collecte massive d’images, la catégorisation biométrique à partir de données sensibles, origine ethnique, opinions politiques, convictions religieuses ou orientation sexuelle, ainsi que la reconnaissance des émotions sur le lieu de travail ou dans les établissements scolaires. L’identification biométrique à distance en temps réel dans l’espace public est, elle aussi, interdite par principe, sauf exceptions strictement encadrées pour les forces de l’ordre.

Les règles de transparence depuis le 2 août

Depuis le 2 août 2026, même si les obligations inhérentes aux systèmes d’IA à haut risques sont reportées, certaines obligations de transparence s’appliquent.

  1. Ainsi, lorsqu'un utilisateur échange directement avec un chatbot ou un agent de service client, il doit être clairement informé qu’il dialogue avec une intelligence artificielle (et non pas avec un humain). "Par exemple, si une entreprise utilise un agent de service client, le client doit comprendre qu’il échange avec un système d’IA et non un humain", illustre Frédéric Brajon, cofondateur et managing director de Saegus.
  2. Par ailleurs, les fournisseurs de systèmes génératifs doivent rendre les contenus produits par IA, textes, images, sons ou vidéos, détectables comme tels dans un format lisible par machine. En clair, un marquage technique (watermark, métadonnées ou signature de provenance) qui n'a pas besoin d'être visible à l'œil humain. C’est déjà le cas, par exemple, des images produites avec ChatGPT ou Gemini. Un délai de grâce technique court toutefois jusqu'au 2 décembre 2026, seulement pour les modèles d’IA déjà présents sur le marché avant le 2 août 2026.
  3. Enfin, en plus du watermark invisible, l'article 50 impose un watermark visible pour le déployeur (l’entreprise qui diffuse des contenus générés par IA). Deux cas la déclenchent. D'une part les deepfakes : une image, un son ou une vidéo représentant de façon trompeuse des personnes ou des événements réels doit être clairement signalé comme généré ou modifié par IA.
  4. D'autre part les textes publiés pour informer le public sur un sujet d'intérêt général, sauf lorsque le contenu est passé sous contrôle éditorial humain assumant la responsabilité de sa publication. Dans ces deux cas l'information "générée ou modifiée par IA" doit être claire et directement associée au contenu.

Les mesures applicables en décembre 2027 

Le gros du report du Digital Omnibus s’axe autour des systèmes d’IA dits à haut risque. Les obligations réglementaires ont été reportées du 2 août au 2 décembre 2027. Huit grands types d’IA sont concernés : les IA utilisées dans la biométrie, les infrastructures critiques, l’éducation, le recrutement et la gestion des salariés, l’accès aux services "essentiels" (crédit, santé, etc.), les activités des forces de l’ordre, le contrôle des frontières, ainsi que la justice et les processus démocratiques. Concrètement, une IA utilisée pour trier des candidatures, surveiller un examen, évaluer un salarié ou aider à accorder un crédit entre directement dans cette catégorie.

Pour les entreprises, deux grandes obligations se dessinent.

  1. La première est de déclarer les systèmes concernés dans une base européenne (encore non créée).
  2. La seconde consiste à documenter précisément leur fonctionnement : données utilisées, décisions proposées, personnes autorisées à intervenir, actions possibles, biais détectés, tests réalisés et supervision humaine. "Dans le recrutement, par exemple, une entreprise pourra utiliser une IA pour analyser des CV, mais elle devra être capable de démontrer que le système ne discrimine pas certains candidats et que la décision finale reste humaine. Ce qui est nouveau, c’est qu’il faudra le prouver", rappelle Frédéric Brajon.

Cartographiez vos systèmes d’IA dès maintenant

Pour autant, Frédéric Brajon recommande aux entreprises de ne pas attendre l'entrée en vigueur des nouvelles obligations pour se mettre en conformité. "La première chose à faire est de cartographier toutes les IA présentes dans l'entreprise. Ensuite, il faut les classifier pour identifier celles qui relèveront du haut risque et mettre en place une gouvernance adaptée", explique le cofondateur et managing director de Saegus.

L'exercice est d'autant plus important que les usages de l'IA se décentralisent rapidement. Là où, il y a encore quelques mois, les projets étaient principalement pilotés par les directions informatiques, les collaborateurs créent désormais eux-mêmes des agents capables d'accéder à des données, d'interagir avec des applications ou de prendre certaines décisions. "Tant que l'IA était centralisée, le contrôle restait relativement simple. Mais quand des milliers de collaborateurs développent chacun leurs propres agents, le chantier devient immense. Si les entreprises n'instaurent pas dès maintenant des règles de gouvernance, elles risquent d'être totalement dépassées lorsqu'il faudra démontrer leur conformité", prévient Frédéric Brajon.

Reste désormais aux entreprises à transformer concrètement cette masse de nouvelles obligations. Un texte (très) contraignant, mais qui devrait progressivement devenir incontournable... à condition que le calendrier de l'AI Act n'évolue pas une nouvelle fois.