Préparation au règlement européen sur l’IA

En quoi consiste la Préparation au règlement européen sur l’IA ?

Nous examinons vos usages de l’IA, votre rôle, les dispositions et les dates applicables. Utiliser un outil tiers et commercialiser un système sous votre nom peuvent correspondre à des rôles différents. L’évaluation porte sur l’usage réel ; le nom du produit ne suffit pas à classer votre entreprise.

Cette évaluation n’est ni un certificat ni un avis juridique. Si une évaluation de la conformité est requise, nous établissons la procédure et les organismes actuellement compétents. Norme, certificat de système de management et évaluation de conformité d’un système sont des éléments distincts.

Quelles règles s’appliquent, et à partir de quand ?

• Depuis le 2 février 2025 : les pratiques initialement interdites par l’article 5, selon ses conditions et exceptions. Les nouvelles interdictions du règlement modificatif s’appliquent dès le 2 décembre 2026. Chaque usage doit être examiné au regard de la disposition concernée.
• L’article 4 sur la maîtrise de l’IA s’applique depuis le 2 février 2025. Le texte modifié impose aux fournisseurs et déployeurs des mesures soutenant cette maîtrise chez leur personnel, compte tenu de l’expérience, du contexte et des personnes concernées. L’obligation demeure.
• La transparence prévue à l’article 50 s’applique généralement depuis le 2 août 2026. Nous vérifions séparément l’information sur l’interaction, le marquage technique et la divulgation lors d’une publication, selon les rôles et exceptions. Pour les systèmes produisant des contenus de synthèse déjà commercialisés avant cette date, les fournisseurs bénéficient, pour le marquage de l’article 50(2), d’une transition spécifique jusqu’au 2 décembre 2026.
• Le calendrier modifié du haut risque prévoit le 2 décembre 2027 pour les systèmes de l’article 6(2)/annexe III et le 2 août 2028 pour ceux de l’article 6(1)/annexe I. Il concerne certaines sections, avec exceptions et transitions expresses. Il ne reporte pas tout le règlement.

Chaque date de votre carte indique sa source et pourquoi elle s’applique à l’usage recensé.

À qui s’adresse ce travail ?

• Votre équipe utilise ChatGPT, Copilot ou des fonctions d’IA intégrées à ses outils, sans avoir consigné où ni avec quelles données.
• Votre site comporte un chatbot ou présente des textes et des images créés avec l’IA.
• Un client ou un partenaire vous a envoyé un questionnaire sur l’AI Act et attend votre réponse.
• Vous utilisez l’IA pour sélectionner des personnes, évaluer des clients ou prendre des décisions qui affectent quelqu’un.
• On vous propose un certificat AI Act et vous voulez savoir ce que vous achèteriez réellement.

Que regardons-nous ?

Le périmètre comprend tous les outils d’IA utilisés par votre équipe et tous les points de contact entre vos clients et l’IA.

• Les outils : payants ou gratuits, y compris les fonctions d’IA des logiciels que vous possédez déjà.
• Le site et la messagerie : chatbots, réponses automatiques, contenus créés avec l’IA.
• Les décisions : les cas où l’IA influence une décision concernant une personne, un client ou un salarié.
• Les fournisseurs : qui se trouve derrière chaque outil et ce que ses conditions prévoient pour vos données.

Chaque outil reçoit une classification évaluée et un relevé des obligations : notamment interdictions, exigences du haut risque ou transparence. Ces catégories ne s’excluent pas nécessairement. Le registre précise le fondement de l’évaluation.

Comment procédons-nous ?

1. 01
   Entretien.Environ une heure avec la personne qui connaît les outils de l’équipe. Nous partons de votre liste, même incomplète.
2. 02
   Registre.Nous recensons chaque outil d’IA : sa fonction, ses utilisateurs, les données traitées et sa provenance.
3. 03
   Classification.Pour chaque ligne : la classification au regard du règlement, votre rôle — déployeur ou fournisseur — et l’article qui fonde cette évaluation.
4. 04
   Carte.Ce qui s’applique maintenant, les échéances ultérieures pertinentes et ce qui ne concerne pas vos usages. Nous parcourons la carte avec vous lors d’un appel.

Que recevez-vous ?

Un registre des usages de l’IA et une carte des obligations.

Le registre recense tous les outils d’IA de votre entreprise. Vous le conservez et l’actualisez à chaque ajout. La carte ordonne les obligations par date, avec pour chacune l’article, l’échéance, l’action et son responsable dans votre entreprise. Chaque date est sourcée.

Quel est le délai ?

Le registre et la carte vous parviennent sous dix jours ouvrés à compter de l’entretien et de la remise de la liste des outils.

Et ensuite ?

La carte précise les actions propres à votre cas, sans supposer qu’une mention règle toute question de transparence ou que toutes les obligations du haut risque partagent une échéance. Les questions juridiques sont signalées. Si l’IA pourrait prendre en charge d’autres tâches, l’étape suivante est la Cartographie des possibilités de l’IA.

Articles

• Quelles amendes prévoit l’AI Act en cas de non-respect ?L’article 99 fixe des plafonds par infraction et des conditions distinctes pour les PME et les petites entreprises à moyenne capitalisation (SMC). Un plafond n’est pas une amende individuelle ; la petite taille ne vaut pas exemption générale.
• Quelle différence entre l’AI Act et le RGPD ?Le RGPD concerne le traitement de données personnelles. L’AI Act porte sur les systèmes d’IA et leurs usages, y compris sans données personnelles. Obligations et échéances se vérifient séparément.
• Faut-il signaler les contenus créés avec l’IA ?Distinguez marquage des sorties par le fournisseur, divulgation à la publication par le déployeur et information sur l’interaction avec l’IA. L’article 50 prévoit des conditions et exceptions par rôle, sans mention universelle ni absence générale d’obligation.
• Que demande l’article 4 de l’AI Act sur la maîtrise de l’IA ?L’article 4 exige des mesures soutenant la maîtrise de l’IA du personnel, adaptées aux connaissances, à l’expérience, au contexte d’utilisation et aux personnes concernées. Le règlement modificatif change la formulation sans supprimer l’obligation.
• Qu’est-ce que le Digital Omnibus, et pourquoi a-t-il reporté une échéance de l’AI Act ?Le règlement (UE) 2026/1744 modifie certaines échéances relatives au haut risque et d’autres règles. Il ne suspend pas l’ensemble de l’AI Act. Transparence, interdictions et transitions particulières doivent être examinées séparément.
• Quels systèmes d’IA à haut risque figurent à l’annexe III ?Il faut examiner les usages énumérés à l’annexe III ainsi que les règles de classification et les exceptions de l’article 6. Le nom de l’outil ne suffit pas à établir un classement à haut risque.
• L’AI Act s’applique-t-il si l’outil d’IA vient d’une entreprise hors UE ?Vérifiez le champ territorial de l’article 2, votre rôle et le lieu d’utilisation du système ou de ses sorties. Un fournisseur hors UE ne supprime pas, à lui seul, les obligations d’une entreprise européenne.
• Quelle différence entre fournisseur et déployeur au sens de l’AI Act ?Le fournisseur développe ou fait développer un système et le commercialise ou le met en service sous son nom. Le déployeur l’utilise sous son autorité. Votre rôle dépend de la situation réelle, pas seulement du nom du logiciel.
• L’AI Act prévoit-il des exemptions pour les petites entreprises ?La taille ne vaut pas exemption générale. Aides et simplifications pour PME sont conditionnelles ; les allégements de sanctions diffèrent entre PME et SMC. Examinez chaque mesure avec l’obligation qu’elle aménage.

Questions