Le règlement européen sur l’intelligence artificielle est souvent lu comme un texte pour les concepteurs de modèles. Il concerne aussi, et plus largement, ceux qui se contentent d’utiliser des systèmes conçus par d’autres.
Si vous avez déployé un assistant, un outil de tri de candidatures ou un dispositif de contrôle d’accès biométrique, vous êtes concerné.
Le règlement (UE) 2024/1689 distingue plusieurs rôles. Deux vous concernent probablement.
Le déployeur — celui qui utilise un système d’IA sous sa propre autorité. C’est le cas par défaut d’une entreprise utilisatrice.
Le fournisseur — celui qui développe ou fait développer un système et le met sur le marché sous son nom.
Attention à un point souvent négligé : un déployeur peut basculer dans le rôle de fournisseur s’il modifie substantiellement un système ou l’utilise sous sa propre marque pour un usage différent de celui prévu. Le régime applicable change alors radicalement.
Le texte gradue les obligations selon le niveau de risque de l’usage — pas de la technologie.
Pratiques interdites. Notation sociale, exploitation de vulnérabilités de personnes, certaines formes de reconnaissance des émotions au travail. Ce dernier point mérite attention : des outils d’analyse d’entretien ou de supervision d’équipe peuvent y toucher.
Haut risque. La catégorie qui concerne le plus d’entreprises ordinaires, notamment les systèmes utilisés en matière d’emploi — tri de candidatures, évaluation, décisions d’affectation ou de promotion — ainsi que certains usages biométriques et les infrastructures critiques.
Risque limité. Obligations de transparence : informer les personnes qu’elles interagissent avec un système d’IA, signaler les contenus générés.
Risque minimal. L’essentiel des usages bureautiques courants.
La supervision humaine est l’exigence la plus mal comprise. Une personne qui valide mécaniquement les propositions du système sans capacité réelle de s’y opposer ne constitue pas une supervision.
Les deux textes se cumulent, ils ne se remplacent pas. Un système d’IA traitant des données personnelles reste soumis au RGPD : base légale, information, minimisation, registre, et le cas échéant analyse d’impact.
L’article 22 du RGPD, sur les décisions entièrement automatisées produisant des effets juridiques, s’applique pleinement — c’est souvent lui, plus que l’AI Act, qui contraint le tri automatique de candidatures.
L’application est progressive, avec des échéances distinctes selon les catégories — les interdictions s’appliquant les premières. Le calendrier précis et les lignes directrices continuent d’évoluer : vérifiez l’état en vigueur avant d’engager une démarche.
Un texte de simplification adopté en juin 2026, le Digital Omnibus, a reporté les obligations applicables aux systèmes à haut risque. Le Parlement européen l’a adopté le 16 juin 2026 et le Conseil le 29 juin 2026 : le report est acquis.
Ce qui n’a pas bougé : les interdictions et l’obligation de littératie en IA, applicables depuis le 2 février 2025, et les obligations de transparence de l’article 50, applicables depuis le 2 août 2026. Le marquage des contenus déjà présents sur le marché est attendu pour le 2 décembre 2026.
Le calendrier bouge ; le contenu des obligations reportées, non. Nous détaillons ce que le report change concrètement dans AI Act : les obligations haut risque reportées à décembre 2027.
Cette qualification relève de nos missions de gouvernance, risques et conformité. Voir aussi les risques des assistants IA.
Le terme est devenu un argument commercial appliqué à peu près à tout. Derrière, il y a un modèle documenté, avec des principes clairs — et une mise en œuvre ...
1-3 Rue d’Enghien
75010, Paris
France
Recevez les actualités du site Cyberdian.
