AI Act : pourquoi beaucoup d’entreprises françaises sous-estiment encore leur exposition
Beaucoup d’entreprises françaises font l’erreur de considérer l’AI Act comme une contrainte réservée aux géants de la tech ou aux éditeurs de logiciels d’intelligence artificielle. C’est une vision dangereusement réductrice. Dès lors qu’une organisation déploie, intègre ou utilise un système d’IA dans ses processus métiers — scoring RH, analyse prédictive des risques clients, chatbot de service client, outil de détection de fraude — elle entre dans le champ d’application du règlement européen sur l’intelligence artificielle. En France, cela concerne des milliers de PME, de startups et de grands groupes qui pensaient n’être que de simples « utilisateurs » et non des acteurs régulés.
L’AI Act, adopté définitivement par le Parlement européen et entré progressivement en application, introduit une logique de classification par niveau de risque. Les systèmes d’IA sont répartis en quatre catégories : risque inacceptable (interdits), risque élevé (soumis à des obligations strictes), risque limité (obligations de transparence) et risque minimal (quasi sans contrainte). Pour la majorité des entreprises françaises, c’est la catégorie « risque élevé » qui concentre les enjeux opérationnels les plus lourds : elle couvre des domaines aussi courants que le recrutement automatisé, le scoring de crédit, la gestion des infrastructures critiques ou les systèmes d’évaluation scolaire.
Les obligations concrètes selon votre rôle dans la chaîne de valeur IA
L’AI Act distingue trois profils principaux : le fournisseur (celui qui développe ou met sur le marché un système d’IA), le déployeur (celui qui utilise un système d’IA dans un contexte professionnel) et l’importateur ou distributeur. Pour une entreprise française qui achète une solution de scoring RH auprès d’un éditeur américain et l’intègre dans son SIRH, elle est à la fois déployeuse et potentiellement responsable si elle modifie substantiellement le système. C’est un point que beaucoup de directions juridiques n’ont pas encore intégré dans leurs contrats fournisseurs.
Pour les déployeurs de systèmes à risque élevé, les obligations sont précises et non négociables. Ils doivent mettre en place une surveillance humaine effective (pas symbolique), tenir un registre d’utilisation documenté, réaliser une évaluation des risques fondamentaux avant déploiement, et informer les personnes concernées lorsqu’elles interagissent avec un système d’IA. Prenons un exemple concret : une mutuelle française qui utilise un outil d’IA pour prioriser les dossiers de remboursement doit documenter les critères de décision, désigner un référent humain capable de comprendre et de contester les sorties du modèle, et s’assurer que les assurés sont informés qu’une IA intervient dans le traitement de leur dossier.
Les fournisseurs, eux, sont soumis à des obligations encore plus lourdes : certification de conformité, dépôt dans la base de données EU pour l’IA, tests de robustesse et de biais, documentation technique exhaustive. Pour les startups françaises qui développent des solutions B2B incorporant de l’IA générative ou des modèles prédictifs, cette dimension réglementaire doit désormais être intégrée dès la phase de conception — ce qu’on appelle le principe de compliance by design.
IA générative et modèles de fondation : un régime spécifique à ne pas ignorer
L’une des grandes originalités de l’AI Act par rapport aux premières versions du texte, c’est l’introduction d’un régime particulier pour les modèles d’IA à usage général (General Purpose AI Models, GPAI), notamment les grands modèles de langage. Si votre entreprise utilise des API comme GPT, Claude ou Gemini pour construire un service, elle n’est pas directement soumise aux obligations GPAI — celles-ci incombent aux fournisseurs de ces modèles. En revanche, si elle développe sa propre couche applicative sur ces modèles et la commercialise, les responsabilités se redistribuent.
Ce point est particulièrement sensible pour les entreprises qui s’appuient sur des agents IA autonomes pour automatiser des processus décisionnels. Le déploiement de ces agents soulève des questions de traçabilité et de responsabilité qui croisent directement les exigences de l’AI Act. Si le sujet des agents IA autonomes vous intéresse, notre analyse sur l’essor des agents IA autonomes en entreprise détaille les cas d’usage et les enjeux opérationnels associés.
Les modèles GPAI dits « à impact systémique » (au-delà d’un certain seuil de puissance de calcul d’entraînement) sont soumis à des obligations supplémentaires : évaluation contradictoire, signalement des incidents, publication d’un résumé des données d’entraînement. Pour les entreprises qui construisent sur ces fondations, il est impératif de vérifier que leurs fournisseurs de modèles respectent ces obligations et d’en obtenir la preuve contractuelle.
Mise en conformité : par où commencer concrètement
Face à l’ampleur du texte — plus de 100 articles, 13 annexes — la tentation est soit de tout déléguer à un cabinet juridique, soit de remettre le sujet à plus tard. Les deux approches sont risquées. La mise en conformité à l’AI Act n’est pas un projet purement juridique : elle nécessite une collaboration étroite entre les équipes tech, les métiers et le DPO ou le responsable conformité.
Voici un plan d’action structuré en quatre étapes, issu de retours terrain :
1. Cartographier tous les systèmes d’IA en production
Commencez par un inventaire exhaustif : quels systèmes utilisent de l’IA ou du machine learning, même de manière périphérique ? Un tableau de scoring client dans votre CRM, un outil de modération automatique de contenu, un système de recommandation produit — tout cela entre potentiellement dans le périmètre. Désignez un responsable de cet inventaire, idéalement adossé à la gouvernance data existante.
2. Classifier chaque système selon le niveau de risque AI Act
Pour chaque système identifié, appliquez la grille de classification du règlement. Les annexes III et IV de l’AI Act listent explicitement les cas d’usage à risque élevé. En cas de doute, le principe de précaution s’impose : traitez le système comme à risque élevé le temps de l’évaluation formelle.
3. Prioriser les actions selon l’exposition réelle
Tous les systèmes ne nécessitent pas le même niveau d’effort. Concentrez les ressources sur les systèmes à risque élevé déployés en production, notamment ceux qui produisent des décisions à impact sur des personnes physiques. C’est là que les amendes potentielles — jusqu’à 30 millions d’euros ou 6 % du chiffre d’affaires mondial pour les non-conformités les plus graves — sont les plus probables.
4. Revoir les contrats fournisseurs et les chaînes de sous-traitance
L’AI Act crée des obligations en cascade dans la chaîne de valeur. Vos contrats avec les éditeurs de solutions IA doivent désormais inclure des clauses de conformité, de documentation et de notification d’incidents. C’est un chantier contractuel significatif, mais non négociable. La dimension cybersécurité est indissociable de cette démarche : les systèmes d’IA exposés à des manipulations adversariales ou à des attaques par empoisonnement de données relèvent à la fois de l’AI Act et du cadre NIS2. Notre article sur la sécurité Zero Trust pour les entreprises françaises à l’ère de l’IA explore cette convergence réglementaire en détail.
Le rôle des autorités françaises et les ressources disponibles
En France, c’est la CNIL qui a été désignée comme autorité de surveillance nationale compétente pour une partie des dispositions de l’AI Act, notamment celles relatives aux droits fondamentaux. Elle travaille en coordination avec l’ANSSI pour les dimensions de sécurité et avec la Direction générale des entreprises (DGE) pour l’accompagnement des acteurs économiques. La CNIL a publié des recommandations pratiques sur l’IA et le RGPD qui constituent un socle utile, même si elles ne couvrent pas l’intégralité des exigences de l’AI Act.
Le Comité européen de l’IA, instance de coordination entre autorités nationales, publie des lignes directrices interprétatives. Même si leur lecture est ardue, les FAQ et les guides sectoriels qui en découlent sont précieux pour les équipes compliance. Par ailleurs, la menace des deepfakes générés par IA sur les processus décisionnels d’entreprise constitue un risque opérationnel croissant que l’AI Act adresse partiellement via les obligations de transparence : notre décryptage sur les deepfakes comme menace pour les entreprises illustre concrètement ces enjeux.
Mon point de vue tranché : les entreprises françaises qui attendent une interprétation parfaite du texte ou un guide clé-en-main avant d’agir prennent un risque stratégique majeur. L’AI Act n’est pas un règlement que l’on applique à la dernière minute. Sa mise en conformité est un projet de transformation organisationnelle qui prend entre douze et dix-huit mois pour une entreprise de taille intermédiaire. Celles qui commencent maintenant à cartographier leurs systèmes, former leurs équipes et réviser leurs contrats auront une longueur d’avance décisive — et éviteront les audits surprises que les autorités nationales ont déjà commencé à planifier.
FAQ : AI Act et entreprises françaises
- Mon entreprise utilise ChatGPT ou Copilot pour des tâches internes. Suis-je concernée par l’AI Act ?
- L’utilisation d’outils d’IA générative en mode SaaS pour des tâches internes non décisionnelles (rédaction, synthèse, génération de code) relève en général de la catégorie risque minimal ou limité. Vous n’êtes pas soumise aux obligations lourdes réservées aux systèmes à risque élevé. En revanche, si vous utilisez ces outils pour produire des décisions à impact sur des personnes — évaluation de candidats, scoring clients, etc. — la qualification change et les obligations s’appliquent. La prudence recommande de documenter les usages dès maintenant.
- Quelles sont les sanctions prévues par l’AI Act en cas de non-conformité ?
- Le règlement prévoit un régime de sanctions graduées. L’utilisation d’un système d’IA interdit (catégorie risque inacceptable) peut entraîner une amende allant jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel. Le non-respect des obligations applicables aux systèmes à risque élevé est sanctionnable jusqu’à 15 millions d’euros ou 3 % du CA mondial. La fourniture d’informations inexactes aux autorités peut coûter jusqu’à 7,5 millions d’euros ou 1 % du CA. Pour les PME et startups, des plafonds proportionnels s’appliquent.
- L’AI Act et le RGPD créent-ils des obligations qui se chevauchent ?
- Oui, et c’est l’un des défis majeurs pour les DPO et responsables conformité. Les deux textes se renforcent mutuellement sur plusieurs points : les évaluations d’impact (DPIA sous RGPD, évaluation des risques sous AI Act), les droits d’information des personnes concernées, et les exigences de documentation. La CNIL recommande d’intégrer les analyses AI Act dans le cadre de gouvernance RGPD existant plutôt que de créer un silo séparé. C’est la démarche la plus efficiente pour les organisations qui ont déjà un programme RGPD mature.