Guide de conformité à la loi européenne sur l'IA pour les entreprises françaises

La loi européenne sur l'IA a transformé l'intelligence artificielle, d'une simple préoccupation générale en matière de gouvernance technologique, en une responsabilité de conformité définie pour les entreprises françaises. Les organisations doivent désormais comprendre où l'IA est utilisée, quel rôle juridique elles jouent, comment chaque système doit être classé et quelles preuves seront nécessaires pour démontrer une supervision responsable.

La loi européenne sur l'IA est le cadre juridique de l'Union européenne basé sur les risques pour le développement, la fourniture et l'utilisation professionnelle de l'intelligence artificielle. Elle détermine quelles pratiques d'IA sont interdites, quels systèmes sont considérés comme à haut risque, quelles applications nécessitent une transparence et quelles utilisations à faible risque restent largement en dehors de son cadre de contrôle obligatoire.

C'est ce qui rend un système de recrutement basé sur l'IA légalement différent d'un correcteur orthographique. C'est pourquoi un chatbot client peut nécessiter une divulgation claire avant le début d'une conversation. C'est ce qui relie la conception et l'utilisation de l'IA à la gestion des risques, à la documentation technique, à la gouvernance des données, à la supervision humaine et aux droits fondamentaux. C'est aussi pourquoi la conformité à l'IA ne peut être laissée entièrement aux équipes informatiques ou aux fournisseurs de logiciels externes.

Dans ce blog, vous apprendrez comment la loi européenne sur l'IA s'applique aux entreprises françaises, ce qui a changé avec l'Omnibus IA de juillet 2026, quelles obligations sont déjà pertinentes, comment les autorités françaises superviseront la conformité et quelles mesures pratiques votre organisation devrait prendre.

Cet article fournit des informations générales à caractère éducatif et ne remplace pas les conseils juridiques relatifs à une organisation, un contrat, un produit ou un système d'IA particulier.

Qu'est-ce que la loi européenne sur l'IA ?

La loi européenne sur l'IA est le nom commun du règlement (UE) 2024/1689, qui établit des règles harmonisées pour l'intelligence artificielle dans toute l'Union européenne. Elle est entrée en vigueur le 1er août 2024 et s'applique directement dans les États membres de l'UE, y compris la France.

Contrairement à une loi qui impose les mêmes exigences à chaque technologie, la loi européenne sur l'IA suit un modèle basé sur les risques. Le niveau de réglementation dépend principalement de ce que le système d'IA est censé faire, du contexte dans lequel il est utilisé et du préjudice potentiel qu'il pourrait créer.

Un système d'IA utilisé pour filtrer les spams présente généralement des conséquences limitées pour les individus. Un système utilisé pour classer les candidats à un emploi, déterminer l'accès à l'éducation, évaluer la solvabilité d'une personne ou soutenir les décisions médicales peut influencer les droits, les opportunités, la sécurité et l'accès aux services essentiels. La loi sur l'IA impose donc des obligations plus strictes au deuxième groupe.

La réglementation est conçue pour soutenir une IA fiable et centrée sur l'humain tout en protégeant la santé, la sécurité et les droits fondamentaux. Elle vise également à créer des réglementations plus cohérentes en matière d'IA dans l'UE afin que les entreprises ne soient pas confrontées à des règles complètement différentes dans chaque État membre.

Pour les organisations en France, la loi européenne sur l'IA s'ajoute à d'autres obligations légales. Celles-ci peuvent inclure le Règlement général sur la protection des données, la Loi française sur la protection des données, le droit du travail, la protection des consommateurs, les exigences en matière de cybersécurité, la législation sur la sécurité des produits, le droit de la propriété intellectuelle et les réglementations spécifiques à chaque secteur.

Ce chevauchement est important car un système d'IA peut ne pas relever de la catégorie à haut risque en vertu de la loi sur l'IA tout en créant de graves risques pour la vie privée, l'emploi, les consommateurs ou la sécurité. La conformité doit donc être évaluée dans l'ensemble de l'environnement juridique et opérationnel plutôt que par la seule loi sur l'IA.

Pourquoi la loi européenne sur l'IA est-elle importante pour les entreprises françaises ?

La loi européenne sur l'IA ne s'applique pas uniquement aux entreprises technologiques qui développent des modèles d'intelligence artificielle. Elle peut affecter toute organisation française qui développe, achète, intègre, distribue ou utilise professionnellement un système d'IA.

Une agence de recrutement peut utiliser l'IA pour présélectionner des candidatures. Un détaillant peut utiliser un chatbot pour répondre aux clients. Une banque peut utiliser des outils automatisés pour évaluer la fraude ou la solvabilité. Un fabricant peut intégrer l'IA dans des machines ou des composants de sécurité. Une agence de communication peut publier des images, des sons ou des vidéos synthétiques. Un employeur peut permettre à son personnel d'utiliser l'IA générative pour la recherche, la rédaction, l'analyse ou le support client.

Chacune de ces situations peut créer une combinaison différente de responsabilités. L'organisation peut être un fournisseur pour un système, un déployeur pour un autre et un distributeur ou un fabricant de produits dans une ligne d'activité distincte.

C'est pourquoi la première question de conformité ne doit pas se limiter à savoir si l'entreprise développe de l'IA. Les entreprises françaises doivent se demander où l'IA influence leurs employés, leurs clients, leurs produits, leurs services, leurs communications et leurs décisions.

Une organisation qui ne sait pas quels systèmes d'IA elle utilise ne peut pas les classer de manière fiable. Elle ne peut pas identifier les pratiques interdites, mettre en œuvre une transparence appropriée ou déterminer si de futures obligations à haut risque s'appliquent. Elle ne peut pas non plus fournir aux régulateurs, aux clients ou aux partenaires commerciaux des preuves crédibles de supervision.

Qui doit se conformer à la loi européenne sur l'IA ?

Les responsabilités imposées par la loi sur l'IA dépendent en partie du rôle de l'organisation dans la chaîne de valeur de l'IA. Une entreprise doit déterminer son rôle pour chaque système individuel plutôt que d'attribuer un seul statut à l'ensemble de l'entreprise.

Fournisseurs

Un fournisseur développe un système d'IA ou un modèle d'IA à usage général, ou en fait développer un, et le met sur le marché ou le met en service sous son propre nom ou sa propre marque.

Une entreprise de logiciels française qui crée une plateforme de recrutement basée sur l'IA et la vend à des employeurs peut être un fournisseur. Une entreprise peut également assumer les responsabilités de fournisseur si elle modifie substantiellement un autre système, modifie sa finalité prévue ou commercialise le système sous sa propre identité dans des circonstances couvertes par le règlement.

Les fournisseurs assument normalement les responsabilités les plus larges car ils influencent la conception du système, les tests, la documentation, les instructions, les performances et la surveillance après la mise sur le marché.

Déployeurs

Un déployeur utilise un système d'IA sous son autorité dans un contexte professionnel. La plupart des organisations qui achètent des outils d'IA commerciaux pour un usage interne ou destiné aux clients agiront principalement en tant que déployeurs.

Un employeur français utilisant un outil de classement de candidats assisté par l'IA est un déployeur. Il en va de même pour un détaillant exploitant un assistant client automatisé ou une organisation financière utilisant l'IA pour soutenir un processus commercial réglementé.

Les déployeurs n'héritent pas automatiquement de toutes les obligations du fournisseur, mais ils restent responsables de la manière dont le système est utilisé. Ils peuvent avoir besoin de suivre des instructions, d'établir une surveillance humaine, de surveiller les résultats, de tenir des registres et de fournir des informations aux personnes concernées.

Importateurs et distributeurs

Un importateur met sur le marché européen un système d'IA provenant d'un fournisseur situé en dehors de l'UE. Un distributeur met un système d'IA à disposition dans la chaîne d'approvisionnement.

Ces opérateurs doivent vérifier que les étapes appropriées du fournisseur ont été effectuées. Ils ne doivent pas continuer à fournir un système s'il existe des motifs raisonnables de croire qu'il n'est pas conforme aux exigences applicables.

Fabricants de produits

Un fabricant peut devenir responsable lorsqu'un système d'IA est mis sur le marché ou mis en service avec un produit réglementé sous le nom du fabricant.

Ce rôle est particulièrement pertinent pour les entreprises françaises produisant des machines, des dispositifs médicaux, des ascenseurs, des jouets ou d'autres produits régis par la législation européenne sur la sécurité des produits. La conformité à l'IA doit être intégrée au processus existant de conformité des produits plutôt que d'être traitée comme un examen distinct à la fin du développement.

Comment la loi européenne sur l'IA classe les risques

La loi européenne sur l'IA organise les systèmes d'IA en quatre grands niveaux de risque : risque inacceptable, risque élevé, risque de transparence et risque minime ou nul. La classification dépend de l'objectif prévu et du contexte d'utilisation, et non pas simplement du fait que la technologie est techniquement avancée.

Risque inacceptable

Les pratiques à risque inacceptable sont interdites car elles sont en conflit avec les valeurs de l'UE ou créent une menace excessive pour la sécurité et les droits fondamentaux.

Les catégories interdites couvrent des formes spécifiques de manipulation nuisible, l'exploitation de la vulnérabilité, le scoring social, certaines pratiques biométriques, la capture d'images faciales non ciblées, la prédiction individuelle du risque criminel basée uniquement sur le profilage et la reconnaissance des émotions sur les lieux de travail ou dans les établissements d'enseignement.

Les règles contiennent une formulation détaillée, des conditions et des exceptions. Une entreprise doit donc éviter de se fier à une liste simplifiée en ligne lors de l'évaluation d'un système sensible. Les utilisations prohibées suspectées doivent être signalées au personnel juridique, de conformité et de protection des données qualifié.

Risque élevé

Les systèmes à haut risque sont autorisés, mais ils sont soumis à des exigences étendues car ils peuvent affecter de manière significative la sécurité, les droits ou l'accès à des opportunités et des services importants.

La loi sur l'IA identifie deux voies principales vers le statut à haut risque. La première concerne l'IA intégrée dans certains produits réglementés en vertu de l'annexe I. La seconde couvre des utilisations sensibles spécifiées en vertu de l'annexe III, y compris l'emploi, l'éducation, la biométrie, les infrastructures critiques et l'accès aux services essentiels.

Un système ne doit pas être classé à haut risque simplement parce qu'il utilise l'apprentissage automatique. De même, une organisation ne doit pas supposer qu'un système est à faible risque simplement parce qu'il a été acheté auprès d'un fournisseur réputé. L'objectif, le processus métier et l'effet sur les individus doivent être examinés.

Risque de transparence

Certaines applications d'IA ne sont pas interdites ou à haut risque, mais peuvent induire les gens en erreur si la nature artificielle de l'interaction ou du contenu est cachée.

L'article 50 concerne les systèmes qui interagissent directement avec des individus, génèrent du contenu synthétique, créent des deepfakes ou exposent des personnes à certaines technologies de reconnaissance d'émotions et de catégorisation biométrique.

Ces obligations de transparence sont particulièrement importantes à partir d'août 2026 car elles affectent des applications largement utilisées telles que les chatbots clients et les outils de contenu génératif.

Risque minime ou nul

De nombreux systèmes d'IA ordinaires tomberont dans la catégorie de risque minime ou nul. Des exemples peuvent inclure les filtres anti-spam, les fonctions de recommandation de base et les outils de productivité à faible impact.

La loi sur l'IA n'impose pas un cadre de contrôle obligatoire détaillé à la plupart des systèmes de cette catégorie. D'autres obligations légales et contractuelles peuvent toujours s'appliquer, en particulier lorsque des données personnelles, des informations confidentielles, la surveillance des employés, la propriété intellectuelle ou la cybersécurité sont en jeu.

Exigences de transparence de la loi européenne sur l'IA à partir d'août 2026

Les obligations de transparence de l'article 50 sont parmi les responsabilités de conformité les plus immédiates pour les entreprises françaises. Elles visent à aider les personnes à reconnaître quand elles interagissent avec l'IA ou visualisent du matériel qui a été artificiellement généré ou manipulé.

Interaction directe avec l'IA

Les fournisseurs de systèmes qualifiés doivent les concevoir de manière à ce que les individus soient informés lorsqu'ils interagissent directement avec l'IA, à moins que la nature de l'interaction ne soit déjà évidente pour une personne raisonnablement informée et attentive.

Un détaillant français utilisant un chatbot de service client devrait normalement donner un avis clair au début de l'interaction. La divulgation devrait apparaître avant ou au début de la conversation et ne devrait pas être cachée dans une longue politique de confidentialité ou des conditions générales de service.

Une simple déclaration telle que « Vous communiquez avec un assistant alimenté par l'IA » peut offrir une expérience plus claire qu'un langage technique que les clients ordinaires ne peuvent pas comprendre.

L'entreprise devrait également se demander ce qui se passe lorsque l'assistant automatisé ne peut pas résoudre un problème. La transparence est plus significative lorsque les clients comprennent comment joindre un représentant humain et comment contester une réponse incorrecte.

Contenu généré et manipulé par l'IA

Les fournisseurs de systèmes qui génèrent des sons, des images, des vidéos ou des textes synthétiques peuvent devoir s'assurer que les sorties contiennent des marquages lisibles par machine qui permettent de détecter l'origine artificielle du matériel.

Cette obligation est principalement axée sur la conception du système. Cependant, les entreprises utilisant des outils génératifs devraient toujours vérifier si le fournisseur choisi prend en charge le marquage technique requis et si les marques restent intactes lors de l'édition, de l'exportation et de la publication.

La suppression de métadonnées ou de marquages techniques au cours d'un flux de travail de communication pourrait compromettre la conformité, même lorsque le système original les a générés correctement.

Deepfakes

Les déployeurs qui génèrent ou manipulent du contenu deepfake doivent généralement divulguer que le matériel a été artificiellement généré ou modifié.

La divulgation doit être visible, compréhensible et appropriée au contenu. Les entreprises ne doivent pas supposer qu'un petit avis générique ailleurs sur un site web sera toujours suffisant.

Les œuvres créatives, artistiques, satiriques et de fiction peuvent faire l'objet d'un traitement spécifique, mais la divulgation doit néanmoins éviter d'induire le public en erreur sur la nature du contenu.

Informations d'intérêt public

Les textes générés ou manipulés par l'IA et publiés pour informer le public sur des questions d'intérêt public peuvent nécessiter une divulgation s'ils n'ont pas été soumis à un examen humain ou à un contrôle éditorial approprié.

Ceci est pertinent pour les organisations médiatiques, les équipes des affaires publiques, les entreprises publiant des mises à jour réglementaires et les entreprises utilisant l'IA pour produire du contenu de type actualités.

L'existence d'un éditeur humain doit être documentée par un flux de travail réel. Le simple fait de permettre à un employé de cliquer sur un bouton d'approbation sans vérifier les sources, l'exactitude et le contexte est peu susceptible de fournir un contrôle éditorial significatif.

Reconnaissance des émotions et catégorisation biométrique

Les individus doivent être informés lorsqu'ils sont exposés à des systèmes de reconnaissance des émotions ou de catégorisation biométrique qualifiés.

Ces technologies exigent une prudence particulière car certaines utilisations sont interdites et d'autres peuvent impliquer des données personnelles sensibles. Un employeur français envisageant une analyse des émotions sur le lieu de travail devrait obtenir des conseils spécialisés avant l'approvisionnement ou les tests plutôt que de se fier à la description marketing du fournisseur.

Pour des conseils pratiques, les organisations devraient consulter les lignes directrices de la Commission européenne sur la transparence de l'article 50.

Systèmes d'IA à haut risque en vertu de la loi européenne sur l'IA

L'Omnibus IA a reporté les principales dates d'application du haut risque, mais les exigences substantielles restent au centre de la conformité à long terme de l'IA.

Usages à haut risque de l'annexe III

L'annexe III identifie les domaines sensibles dans lesquels certains systèmes d'IA peuvent être classés à haut risque. Ceux-ci incluent la biométrie, les infrastructures critiques, l'éducation, l'emploi, les services publics et privés essentiels, l'application de la loi, la migration, la justice et les processus démocratiques.

Pour les entreprises françaises, l'IA liée à l'emploi mérite une attention particulière. Les systèmes utilisés pour recruter des candidats, filtrer les candidatures, évaluer les travailleurs, attribuer des tâches, surveiller les performances ou influencer la promotion et le licenciement peuvent relever du cadre à haut risque lorsque les conditions légales sont remplies.

La solvabilité et certaines applications d'assurance sont également importantes. Un système qui influence l'accès d'un individu à un service financier essentiel peut avoir des conséquences économiques et des conséquences sur les droits fondamentaux importantes.

Les exigences de l'annexe III devraient s'appliquer à partir du 2 décembre 2027. Les organisations utilisant des systèmes potentiellement couverts devraient utiliser la période de transition pour établir des preuves et améliorer l'accès contractuel à la documentation des fournisseurs.

Produits réglementés de l'annexe I

La deuxième voie à haut risque concerne l'IA utilisée comme composant de sécurité d'un produit réglementé, ou l'IA qui est elle-même un produit réglementé nécessitant une évaluation de la conformité par un tiers.

Cette voie peut s'appliquer à des produits tels que les machines, les dispositifs médicaux, les ascenseurs, les jouets et les équipements de protection individuelle, en fonction de la législation spécifique de l'UE et de la fonction du composant d'IA.

Les principales obligations pour cette catégorie devraient s'appliquer à partir du 2 août 2028. Les fabricants français devraient relier l'examen de l'IA aux processus existants de conception de produits, de gestion de la qualité et d'évaluation de la conformité bien avant cette date.

Exigences principales pour l'IA à haut risque

La responsabilité exacte dépend du fait que l'organisation soit un fournisseur, un déployeur, un importateur, un distributeur ou un fabricant. Cependant, le cadre de risque élevé se concentre généralement sur la gestion des risques, la qualité des données, la documentation, la traçabilité, la supervision humaine, la performance technique et le suivi du cycle de vie.

Les fournisseurs devront disposer d'un système de gestion des risques structuré qui identifie les risques connus et raisonnablement prévisibles tout au long du cycle de vie. Le processus doit aboutir à des décisions de contrôle réelles plutôt qu'à une liste statique de préoccupations théoriques.

Les données de formation, de validation et de test doivent être soumises à une gouvernance appropriée. Cela inclut l'examen de la pertinence, de la représentativité, des erreurs possibles et du risque de résultats discriminatoires. La qualité des données doit être évaluée dans le contexte de l'objectif prévu du système et de la population affectée.

La documentation technique doit expliquer le fonctionnement du système à un niveau suffisant pour démontrer la conformité. Elle doit couvrir l'objectif prévu, les choix de conception, les limitations, les tests, les performances, les contrôles des risques et les modifications apportées après la version initiale.

Les capacités de tenue de registres sont importantes car les organisations peuvent avoir besoin de reconstituer ce qui s'est passé lorsqu'un système a produit une décision contestée ou un résultat préjudiciable. Les journaux doivent être accessibles, protégés de manière appropriée et conservés pendant une période justifiée.

La supervision humaine doit être intégrée au système et au processus opérationnel. L'examinateur doit comprendre les limites du système, reconnaître les signes avant-coureurs, intervenir si nécessaire et avoir l'autorité de rejeter ou d'annuler un résultat.

Les systèmes à haut risque doivent également respecter les normes appropriées en matière de précision, de robustesse et de cybersécurité. Un système qui fonctionne bien lors d'une démonstration contrôlée mais qui échoue lorsque les données ou les conditions de fonctionnement changent peut créer un risque opérationnel inacceptable.

IA à usage général et IA générative

Les modèles d'IA à usage général peuvent effectuer un large éventail de tâches et peuvent servir de base à de nombreux systèmes en aval. Les obligations pour les fournisseurs de ces modèles ont commencé à s'appliquer en août 2025.

Les fournisseurs d'IA à usage général peuvent avoir besoin de maintenir une documentation technique, de fournir des informations aux fournisseurs en aval, d'adopter une politique de conformité avec la législation européenne sur le droit d'auteur et de publier un résumé suffisamment détaillé du contenu de la formation des modèles. Les fournisseurs de modèles présentant un risque systémique sont soumis à des responsabilités supplémentaires concernant l'évaluation, l'atténuation des risques, la déclaration d'incidents et la cybersécurité.

La plupart des entreprises françaises qui souscrivent à un service commercial d'IA générative ne sont pas automatiquement des fournisseurs d'IA à usage général. Elles sont plus susceptibles d'être des déployeurs d'un système d'IA mis à disposition par une autre entreprise.

Cette distinction n'élimine pas la responsabilité organisationnelle. Les entreprises doivent toujours comprendre ce que les employés sont autorisés à soumettre, si les données des clients ou des employés sont traitées, comment les invites sont conservées, si les informations téléchargées sont utilisées pour la formation et comment les résultats générés sont examinés.

Un service d'IA générative approuvé devrait donc être accompagné d'une politique d'utilisation interne. La politique devrait définir les tâches acceptables, les données interdites, les attentes en matière d'examen, les précautions en matière de propriété intellectuelle, les exigences de divulgation et les procédures d'escalade.

L'acte européen sur l'IA et le RGPD

L'acte européen sur l'IA ne remplace pas le RGPD. Les deux cadres réglementent des risques différents mais souvent qui se recoupent.

L'Acte sur l'IA se concentre sur la sécurité des systèmes d'IA, la transparence, la gouvernance et les droits fondamentaux. Le RGPD réglemente la collecte et le traitement des données personnelles.

Lorsqu'un système d'IA utilise des données concernant des employés, des clients, des patients, des candidats ou des utilisateurs de sites web, l'organisation peut avoir besoin de se conformer aux deux lois. C'est courant dans le recrutement, le profilage des clients, la prévention de la fraude, les soins de santé, l'éducation et les services personnalisés.

Une organisation française doit identifier la finalité du traitement, la base légale, les catégories de données concernées, la durée de conservation et les personnes qui y ont accès. Elle doit également déterminer si des données de catégorie spéciale sont traitées, si la prise de décision automatisée est impliquée et si une analyse d'impact sur la protection des données est requise.

Les questions aux fournisseurs doivent couvrir les lieux de stockage, les transferts internationaux, les sous-traitants, les contrôles de sécurité, la formation des modèles, les procédures de suppression et le traitement des demandes d'accès ou d'effacement.

La CNIL a confirmé que lorsque des données personnelles sont utilisées pour développer l'IA, le RGPD et l'Acte sur l'IA peuvent tous deux s'appliquer. Ses recommandations sur l'IA et la protection des données fournissent des conseils utiles sur la limitation des finalités, le traitement licite, la minimisation des données et la gouvernance des ensembles de données.

Qui applique l'acte européen sur l'IA en France ?

La France a choisi un modèle sectoriel impliquant plusieurs autorités existantes plutôt qu'un seul régulateur pour chaque système d'IA.

La structure française publiée confie à la Direction générale de la concurrence, de la consommation et de la répression des fraudes un rôle de coordination central. La DGCCRF est destinée à coordonner les autorités de surveillance du marché et à agir en tant que point de contact unique de la France en vertu de l'Acte sur l'IA.

La Commission nationale de l'informatique et des libertés joue un rôle important lorsque l'IA affecte les données personnelles et les droits fondamentaux. Ses responsabilités comprennent la supervision de plusieurs pratiques interdites et de systèmes à haut risque spécifiés impliquant des domaines tels que l'emploi, l'éducation, la biométrie, la migration et l'application de la loi.

L'Arcom est pertinente pour les communications audiovisuelles et numériques, y compris certaines obligations en matière de médias synthétiques et d'informations publiques. L'Autorité de contrôle prudentiel et de résolution devrait superviser les systèmes d'IA qualifiés utilisés par les institutions financières pour l'évaluation de la solvabilité et certaines évaluations d'assurance.

Les autorités déjà responsables des produits réglementés superviseront l'IA qualifiée intégrée à ces produits. Cela signifie qu'un fabricant peut continuer à traiter avec un régulateur sectoriel familier, mais le champ d'application de l'examen s'étendra pour couvrir les exigences pertinentes en matière d'IA.

Les organisations françaises devraient surveiller le cadre officiel de l'autorité française de l'Acte sur l'IA, car la structure de gouvernance détaillée dépend des mesures nationales de mise en œuvre.

Feuille de route pratique de conformité à l'acte européen sur l'IA

Un programme de conformité réussi commence par la visibilité et la prise en charge. Les entreprises françaises n'ont pas besoin d'acheter une plateforme de gouvernance complexe avant de comprendre les systèmes déjà en usage.

1. Établir le leadership et les droits de décision

Un parrain senior doit être responsable de la gouvernance de l'IA. Selon l'organisation, il peut s'agir du directeur de la conformité, du conseiller juridique général, du directeur des risques, du DPO, du directeur de l'information ou d'un autre cadre.

Le parrain doit avoir l'autorité d'exiger des informations des départements, d'arrêter les déploiements dangereux, d'approuver les politiques et d'escalader les risques importants. Sans droits de décision clairs, la gouvernance de l'IA peut devenir un exercice consultatif que les équipes commerciales sont libres d'ignorer.

Un groupe de travail interfonctionnel peut soutenir le parrain. Il peut inclure la conformité, le juridique, la confidentialité, la sécurité, les achats, les RH, les produits et l'audit interne. Le groupe doit avoir des responsabilités définies et un calendrier d'examen régulier.

2. Élaborer un inventaire complet de l'IA

L'inventaire doit inclure les systèmes achetés, développés en interne, intégrés dans des logiciels existants ou utilisés de manière informelle par les employés.

Les exemples courants incluent les chatbots, les outils de recrutement, les moteurs de recommandation, les systèmes de fraude, les comptes d'IA générative, les outils de surveillance des employés, la maintenance prédictive, les plateformes d'analyse et les fonctionnalités d'IA ajoutées aux logiciels de bureau courants.

Chaque enregistrement doit identifier le propriétaire, le fournisseur, l'objectif prévu, les personnes concernées, les catégories de données, le processus métier, l'état de déploiement et les principales préoccupations en matière de risques.

L'IA fantôme doit également être prise en compte. Les employés peuvent utiliser des outils grand public sans l'approbation des achats, ce qui peut créer des risques de confidentialité, de protection de la vie privée et contractuels qui n'apparaissent pas dans les registres logiciels officiels.

3. Déterminer le rôle de l'organisation

Pour chaque système, enregistrez si l'organisation agit en tant que fournisseur, déployeur, importateur, distributeur ou fabricant de produits.

Cette analyse doit prendre en compte l'image de marque, la personnalisation, l'intégration et les changements d'objectif prévu. Une entreprise qui modifie de manière significative un système tiers peut assumer des responsabilités qui n'étaient pas prévues lors de l'acquisition.

L'évaluation du rôle doit être mise à jour lorsque le système ou le modèle commercial change.

4. Classer le système

L'enregistrement de classification doit expliquer si le système est interdit, potentiellement à haut risque, soumis à l'article 50 ou à risque minimal.

Une conclusion telle que "faible risque" ne suffit pas. L'enregistrement doit expliquer l'objectif du système, ses utilisateurs, les personnes affectées et pourquoi les catégories interdites ou à haut risque pertinentes ne s'appliquent pas.

Les systèmes incertains doivent être soumis à une révision spécialisée. Il est préférable de documenter l'incertitude et d'obtenir des conseils plutôt que de forcer une classification pratique sans preuve.

5. Traiter les pratiques interdites

Les entreprises doivent créer un processus clair pour signaler et arrêter les utilisations interdites suspectées.

Les équipes RH, achats, marketing et produits doivent comprendre que certaines pratiques ne peuvent pas être approuvées par une acceptation ordinaire des risques commerciaux. Un avantage commercial ne rend pas un système interdit légal.

Les contrats fournisseurs doivent permettre à l'organisation de suspendre ou de résilier l'utilisation lorsqu'un système crée une pratique interdite ou lorsque le fournisseur ne fournit pas les informations de conformité nécessaires.

6. Mettre en œuvre des contrôles de transparence

L'article 50 doit être traduit en tâches opérationnelles spécifiques. Les avis de chatbot, les étiquettes de deepfake, les marquages lisibles par machine et les examens de contenu d'intérêt public nécessitent des propriétaires et des solutions techniques différents.

L'entreprise doit tester l'expérience client sur les ordinateurs de bureau et les appareils mobiles. Elle doit également conserver les captures d'écran, les enregistrements d'approbation de contenu et les preuves des capacités de marquage du fournisseur.

La transparence doit être revue chaque fois qu'un système est mis à jour, qu'un nouveau canal de communication est ajouté ou qu'un format de contenu différent est introduit.

7. Connecter la gouvernance de l'IA avec le RGPD

L'inventaire de l'IA doit être lié au registre des activités de traitement de l'organisation.

Lorsque des données personnelles sont impliquées, le DPO ou l'équipe de protection de la vie privée doit évaluer la base légale, la transparence, la minimisation des données, la sécurité, les droits individuels et la nécessité d'une analyse d'impact sur la protection des données (DPIA).

Cet examen doit avoir lieu avant l'approvisionnement ou le déploiement. Les équipes de protection de la vie privée ne peuvent pas négocier des garanties efficaces une fois que le fournisseur a été sélectionné et que le système est devenu essentiel sur le plan opérationnel.

8. Renforcer la diligence raisonnable des fournisseurs

Les questionnaires d'acquisition d'IA doivent aller au-delà des vérifications de sécurité logicielles ordinaires.

Le fournisseur doit expliquer l'objectif prévu du système, son rôle juridique, sa classification, ses sources de données, ses tests, ses limitations, ses fonctionnalités de supervision humaine, son processus d'incident, ses procédures de mise à jour et sa documentation.

Les contrats doivent aborder les droits d'audit, l'accès aux registres, la coopération réglementaire, les changements importants, les incidents de sécurité, la sous-traitance, l'utilisation des données et l'assistance à la résiliation.

Une déclaration selon laquelle un produit est "conforme à l'acte sur l'IA" ne doit pas être acceptée sans preuves à l'appui.

9. Définir une supervision humaine significative

La supervision humaine n'est pas atteinte simplement en plaçant une personne à la fin d'un processus automatisé.

L'examinateur doit comprendre le contexte de la décision, recevoir suffisamment d'informations pour identifier les erreurs et avoir l'autorité de désapprouver le système.

La procédure doit expliquer quand les résultats nécessitent une révision, quels signes avant-coureurs déclenchent une escalade, comment les annulations sont enregistrées et quand le système doit être suspendu.

La charge de travail compte également. Un employé ne peut pas assurer une supervision significative s'il est censé examiner des milliers de décisions automatisées sans temps ou informations suffisants.

10. Surveiller les performances et les changements

Les systèmes d'IA peuvent changer en raison de mises à jour de modèles, de nouvelles données, de processus métier modifiés ou de modifications de la part des fournisseurs. Une classification effectuée lors de l'acquisition peut ne plus refléter le système utilisé six mois plus tard.

Le suivi doit couvrir les incidents, les plaintes, les annulations, les résultats inexacts, les modèles discriminatoires, les événements de sécurité et les changements d'utilisation prévue.

Les changements matériels doivent déclencher une réévaluation. L'organisation doit également enregistrer les actions correctives et vérifier que le contrôle a résolu le problème sous-jacent.

Documentation que les entreprises françaises devraient conserver

Une bonne documentation devrait permettre à une autre personne qualifiée de comprendre ce que fait le système, pourquoi il a été approuvé et comment il est contrôlé.

Un dossier de gouvernance proportionné peut inclure un inventaire de l'IA, une évaluation des rôles, une classification des risques, une analyse d'impact, une analyse d'impact sur la protection des données (DPIA), un examen des fournisseurs, une procédure de supervision humaine, des preuves de transparence, un enregistrement d'approbation, un processus d'incident et des rapports de suivi.

Les petites organisations n'ont pas besoin de créer des documents inutilement complexes. Un enregistrement structuré qui est complet et régulièrement utilisé est plus précieux qu'une longue politique qui ne reflète pas la pratique réelle.

La documentation doit également être cohérente. Si le contrat fournisseur décrit une finalité prévue mais que l'évaluation interne des risques en décrit une autre, l'incohérence peut indiquer que l'organisation n'a pas bien compris le déploiement.

Priorités de conformité en matière d'IA par fonction commerciale

Ressources humaines

Les équipes RH devraient prioriser les outils utilisés pour le recrutement, le classement des candidats, la gestion des performances, la planification, la promotion et le licenciement.

L'examen doit vérifier si le système influence les opportunités d'emploi, si les données sous-jacentes sont appropriées et si les candidats ou les travailleurs peuvent contester un résultat incorrect.

La reconnaissance des émotions sur le lieu de travail nécessite une prudence particulière car certaines utilisations sont interdites.

Marketing et communications

Les équipes marketing devraient se concentrer sur le contenu génératif, les deepfakes, les informations d'intérêt public, la tromperie des consommateurs et la propriété intellectuelle.

Un flux de travail de contenu doit définir quand le matériel généré par l'IA nécessite un étiquetage, comment les affirmations de source sont vérifiées et qui détient la responsabilité éditoriale.

Services financiers

Les banques, les prêteurs, les assureurs et les entreprises de technologie financière devraient évaluer les systèmes utilisés pour la solvabilité, la tarification, le profilage des clients, la fraude et la surveillance des transactions.

Ces utilisations peuvent être affectées par l'Acte sur l'IA, le RGPD, le droit de la consommation et la supervision sectorielle. L'ACPR peut également avoir un rôle en fonction de l'organisation et du cas d'utilisation.

Soins de santé

Les prestataires de soins de santé et les entreprises de technologie médicale devraient déterminer si un système d'IA fait partie d'un dispositif médical réglementé et si des données de santé sont traitées.

La sécurité des patients, la réglementation des dispositifs médicaux, la responsabilité professionnelle, la cybersécurité et la protection des données doivent être considérées ensemble.

Fabrication

Les fabricants devraient identifier l'IA intégrée dans les machines, la robotique, les contrôles qualité, les composants de sécurité et la maintenance prédictive.

L'examen de l'IA doit être intégré à la conception, aux tests, à la gestion de la qualité et à l'évaluation de la conformité plutôt que d'être ajouté immédiatement avant le lancement.

Sanctions en cas de non-conformité à l'acte européen sur l'IA

L'acte sur l'IA prévoit des sanctions maximales substantielles.

Le non-respect des pratiques d'IA interdites peut entraîner des amendes administratives pouvant aller jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial total pour l'exercice financier précédent, selon le seuil applicable en vertu de la réglementation.

Les violations des obligations spécifiées pour les fournisseurs, les déployeurs, les importateurs, les distributeurs et l'article 50 peuvent entraîner des amendes pouvant aller jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial.

La fourniture d'informations incorrectes, incomplètes ou trompeuses aux autorités peut entraîner des amendes pouvant aller jusqu'à 7,5 millions d'euros ou 1 % du chiffre d'affaires annuel mondial.

Pour les PME, y compris les start-up, le maximum est généralement le montant fixe ou le pourcentage du chiffre d'affaires le plus faible. Les régulateurs doivent également tenir compte de facteurs tels que la gravité, la durée, les dommages, la coopération, l'intention et les mesures techniques et organisationnelles de l'organisation.

Les entreprises devraient vérifier le cadre de sanction final par rapport à la Loi sur l'IA consolidée et aux règles d'application françaises, notamment parce que l'AI Omnibus de 2026 a modifié certaines parties du règlement.

Erreurs courantes de conformité à l'IA

L'une des erreurs les plus préjudiciables est d'attendre la date limite des risques élevés avant de commencer la préparation. La classification, la négociation avec les fournisseurs, la documentation et les tests peuvent prendre des mois, surtout lorsque un système d'IA est profondément lié aux RH, aux finances ou aux opérations produit.

Une autre erreur courante est de supposer que le fournisseur assume toute la responsabilité. Un fournisseur peut être responsable de la conception et de la documentation technique, mais l'entreprise française contrôle le contexte dans lequel le système est déployé.

Les entreprises négligent également les fonctionnalités d'IA intégrées aux logiciels existants. Une plateforme RH, CRM ou de productivité familière peut ajouter une fonction d'IA via une mise à jour ordinaire, même si aucun produit d'IA distinct n'a été acheté.

La transparence est souvent mal gérée. Une divulgation de chatbot cachée dans une politique de confidentialité ne donne pas à l'utilisateur un avis clair au moment de l'interaction.

Enfin, les organisations confondent parfois la présence humaine avec la supervision humaine. Un examinateur qui accepte automatiquement la production du système n'offre pas un contrôle significatif.

Renforcement des capacités internes de conformité à l'IA

La gouvernance de l'IA exige des personnes capables de traduire les exigences légales en décisions pratiques concernant l'approvisionnement, les risques, la documentation, la supervision et le suivi.

Le Certificat en gestion des risques de l'IA peut aider les professionnels à comprendre comment identifier, évaluer et contrôler les risques liés à l'utilisation de l'IA dans l'organisation.

La formation d'agent de conformité à l'IA couvre les principes de gouvernance de l'IA, les concepts de la loi européenne sur l'IA, les considérations relatives au RGPD, les attentes de la CNIL, la documentation, la supervision des fournisseurs et la gestion des programmes de conformité.

La formation ne rend pas une organisation conforme à elle seule. Cependant, les employés informés sont mieux à même d'identifier les systèmes risqués, de poser les bonnes questions aux fournisseurs et de tenir les registres requis pour une supervision responsable.

Points clés à retenir

La loi européenne sur l'IA affecte déjà les entreprises françaises. Les pratiques interdites sont en vigueur depuis février 2025, les obligations pour les fournisseurs de modèles d'IA à usage général ont commencé en août 2025 et les obligations de transparence de l'article 50 s'appliquent à partir du 2 août 2026.

L'AI Omnibus a reporté les principales exigences à haut risque de l'Annexe III au 2 décembre 2027 et les exigences liées aux produits de l'Annexe I au 2 août 2028. Il n'a pas créé de pause générale dans la conformité à l'IA.

Les organisations françaises devraient prioriser les inventaires de systèmes, les évaluations de rôles, le dépistage des pratiques interdites, la transparence de l'article 50, l'intégration du RGPD et la gouvernance des fournisseurs.

Les programmes de conformité les plus solides relieront la gouvernance de l'IA aux processus existants de gestion des risques, de la confidentialité, de la sécurité, des achats et de l'audit plutôt que de construire un cadre complètement isolé.

Conclusion

La conformité à la loi européenne sur l'IA commence par la compréhension de la façon dont l'intelligence artificielle est réellement utilisée au sein de l'organisation.

Une entreprise française ne peut pas gérer les risques juridiques si les systèmes d'IA restent cachés dans des départements individuels, intégrés dans des logiciels fournisseurs ou utilisés de manière informelle par les employés. Elle a besoin d'un inventaire fiable, d'une propriété claire, d'une classification documentée et de contrôles qui correspondent à l'impact réel de chaque système.

L'AI Omnibus de juillet 2026 donne aux organisations plus de temps pour se préparer aux obligations à haut risque, mais les devoirs les plus immédiats n'ont pas disparu. La transparence de l'article 50, le dépistage des pratiques interdites, la gouvernance des GPAI et les responsabilités existantes en matière de protection des données nécessitent une attention immédiate.

Les entreprises qui utilisent efficacement la période de transition seront mieux préparées à l'examen réglementaire et mieux placées pour déployer l'IA de manière responsable. L'objectif n'est pas de produire des documents pour le simple fait de produire des documents. Il s'agit de créer des preuves que les systèmes d'IA sont compris, contrôlés et utilisés d'une manière qui protège les personnes et soutient des décisions commerciales judicieuses.