L'AI Act européen : ce qui change vraiment pour les entreprises

L'AI Act est souvent présenté comme une contrainte uniforme qui s'appliquerait à toute IA. En réalité, son architecture repose sur un principe simple : le niveau d'obligation dépend du niveau de risque de l'usage, pas de la technologie elle-même.

Une logique par niveau de risque, pas par outil

Le règlement distingue quatre catégories :

• Risque inacceptable : quelques usages interdits purement et simplement (notation sociale généralisée, manipulation subliminale).
• Risque élevé : systèmes utilisés dans le recrutement, le crédit, l'éducation, la santé, la justice. C'est ici que se concentrent la majorité des obligations.
• Risque limité : obligations de transparence, comme informer un utilisateur qu'il interagit avec une IA.
• Risque minimal : la grande majorité des usages actuels, sans obligation spécifique.

Une entreprise qui utilise un assistant IA pour rédiger des emails internes n'a presque aucune obligation nouvelle. Une entreprise qui utilise un système de scoring automatisé pour trier des candidatures entre dans la catégorie à risque élevé, avec des obligations de documentation, de supervision humaine et de traçabilité.

Ce qui pèse vraiment sur les entreprises

Pour les organisations concernées par le risque élevé, trois obligations structurent l'essentiel du travail de mise en conformité :

1. La documentation technique : pouvoir expliquer comment le système a été entraîné, testé, et sur quelles données.
2. La supervision humaine effective : un humain doit pouvoir comprendre, contester et, si nécessaire, annuler une décision du système.
3. La gestion des risques continue : la conformité n'est pas un contrôle ponctuel avant mise en production, c'est un processus documenté dans la durée.

Ce dernier point est celui qui surprend le plus les équipes techniques habituées à livrer un modèle puis passer au suivant. L'AI Act traite l'IA à haut risque comme un dispositif médical : la surveillance ne s'arrête pas à la mise sur le marché.

L'angle mort : les fournisseurs hors UE

Une confusion fréquente consiste à croire que l'AI Act ne concerne que les entreprises européennes. Le règlement s'applique dès lors que le système est mis sur le marché ou utilisé dans l'Union, quel que soit le siège du fournisseur. Un éditeur américain qui vend son outil de scoring RH à une entreprise française est concerné au même titre qu'un éditeur français.

Ce qu'il faut vraiment retenir

L'AI Act ne réglemente pas l'intelligence artificielle en tant que telle : il réglemente des usages spécifiques en fonction de leur impact potentiel sur les personnes. Pour la plupart des entreprises qui utilisent l'IA comme outil de productivité interne, l'exposition reste faible. Pour celles qui l'intègrent dans des décisions affectant directement des individus, le sujet devient structurant, et le moment de s'y préparer, c'est maintenant.