L’AI Act pour une entreprise qui n’est pas une entreprise technologique

Gouvernance Cyberdian 24/02/2026

Le règlement européen sur l’intelligence artificielle est souvent lu comme un texte pour les concepteurs de modèles. Il concerne aussi, et plus largement, ceux qui se contentent d’utiliser des systèmes conçus par d’autres.

Si vous avez déployé un assistant, un outil de tri de candidatures ou un dispositif de contrôle d’accès biométrique, vous êtes concerné.

Le rôle qui vous est attribué

Le règlement (UE) 2024/1689 distingue plusieurs rôles. Deux vous concernent probablement.

Le déployeur — celui qui utilise un système d’IA sous sa propre autorité. C’est le cas par défaut d’une entreprise utilisatrice.

Le fournisseur — celui qui développe ou fait développer un système et le met sur le marché sous son nom.

Attention à un point souvent négligé : un déployeur peut basculer dans le rôle de fournisseur s’il modifie substantiellement un système ou l’utilise sous sa propre marque pour un usage différent de celui prévu. Le régime applicable change alors radicalement.

L’approche par le risque

Le texte gradue les obligations selon le niveau de risque de l’usage — pas de la technologie.

Pratiques interdites. Notation sociale, exploitation de vulnérabilités de personnes, certaines formes de reconnaissance des émotions au travail. Ce dernier point mérite attention : des outils d’analyse d’entretien ou de supervision d’équipe peuvent y toucher.

Haut risque. La catégorie qui concerne le plus d’entreprises ordinaires, notamment les systèmes utilisés en matière d’emploi — tri de candidatures, évaluation, décisions d’affectation ou de promotion — ainsi que certains usages biométriques et les infrastructures critiques.

Risque limité. Obligations de transparence : informer les personnes qu’elles interagissent avec un système d’IA, signaler les contenus générés.

Risque minimal. L’essentiel des usages bureautiques courants.

Ce qu’on attend d’un déployeur en haut risque

Utiliser le système conformément à la notice du fournisseur.
Assurer une supervision humaine effective par des personnes compétentes et dotées de l’autorité nécessaire.
Veiller à la pertinence des données d’entrée au regard de l’usage.
Conserver les journaux générés par le système.
Informer les personnes concernées, et les travailleurs lorsque le système est utilisé sur le lieu de travail.
Coopérer avec les autorités et signaler les incidents graves.

La supervision humaine est l’exigence la plus mal comprise. Une personne qui valide mécaniquement les propositions du système sans capacité réelle de s’y opposer ne constitue pas une supervision.

L’articulation avec le RGPD

Les deux textes se cumulent, ils ne se remplacent pas. Un système d’IA traitant des données personnelles reste soumis au RGPD : base légale, information, minimisation, registre, et le cas échéant analyse d’impact.

L’article 22 du RGPD, sur les décisions entièrement automatisées produisant des effets juridiques, s’applique pleinement — c’est souvent lui, plus que l’AI Act, qui contraint le tri automatique de candidatures.

Ce qu’il faut faire concrètement

Inventorier les systèmes d’IA utilisés, y compris ceux intégrés à des outils existants sans avoir été identifiés comme tels. C’est l’étape la plus longue.
Qualifier chaque usage par catégorie de risque, en partant de l’usage et non de la technologie.
Documenter les usages en haut risque : supervision, journaux, information des personnes.
Réviser les contrats fournisseurs pour obtenir la documentation nécessaire — voir les clauses à prévoir.
Traiter le shadow IT : les usages non déclarés échappent à toute qualification.

Le calendrier

L’application est progressive, avec des échéances distinctes selon les catégories — les interdictions s’appliquant les premières. Le calendrier précis et les lignes directrices continuent d’évoluer : vérifiez l’état en vigueur avant d’engager une démarche.