L'AI Act vous concerne probablement déjà
On pourrait croire que le règlement européen sur l'IA (AI Act — Règlement UE 2024/1689) ne s'applique qu'aux grandes entreprises technologiques. Ce serait une erreur.
Dès lors qu'une entreprise utilise un système d'IA dans le cadre de ses activités professionnelles, elle est un déployeur au sens du règlement — et ce statut emporte des obligations qui montent en puissance jusqu'en août 2026.
Un logiciel RH qui analyse des CV, un outil de scoring crédit, un assistant IA intégré dans votre ERP, un chatbot client : autant de systèmes qui tombent potentiellement dans le champ du règlement.
Ce qui est interdit dès maintenant
Depuis février 2025, certaines pratiques sont purement et simplement interdites sur le territoire de l'Union européenne. Parmi elles :
- Les systèmes de notation sociale généralisée des individus par des autorités publiques ou privées.
- Les techniques de manipulation subliminale exploitant des vulnérabilités psychologiques pour influencer les comportements.
- La surveillance biométrique de masse dans les espaces publics à des fins répressives, sauf exceptions strictement encadrées.
- Les systèmes d'inférence des émotions sur le lieu de travail ou dans les établissements d'enseignement.
Ces interdictions s'appliquent indépendamment de la taille de l'entreprise ou de son secteur d'activité.
Les systèmes à haut risque : le cœur du dispositif
Le règlement définit une liste précise de systèmes d'IA dits à haut risque. Ce sont des systèmes dont les décisions peuvent affecter significativement des droits fondamentaux ou la sécurité des personnes.
Pour les entreprises, les domaines les plus concernés sont les suivants :
- Ressources humaines : outils de tri de CV, systèmes d'évaluation des performances, de promotion ou de résiliation de contrat de travail.
- Services financiers : scoring de crédit, évaluation de la solvabilité, détection de fraude.
- Accès aux services essentiels : outils utilisés pour l'accès aux prestations sociales, à l'assurance ou à l'éducation.
- Infrastructure critique : gestion de réseaux d'eau, d'énergie, de transport.
À partir d'août 2026, les déployeurs de ces systèmes seront soumis à des obligations précises :
- Assurer une supervision humaine effective sur les décisions prises ou assistées par l'IA.
- Vérifier que les données utilisées sont pertinentes, représentatives et non biaisées.
- Tenir un registre de journalisation permettant de tracer les décisions prises.
- Informer les personnes concernées lorsqu'une décision les affectant a été prise ou assistée par un système d'IA.
- S'assurer que le fournisseur du système a bien fourni la documentation technique requise.
Les modèles d'IA à usage général : une attention particulière
Depuis août 2025, les règles s'appliquent également aux modèles d'IA à usage général (GPAI) — terme qui désigne les grands modèles de langage (LLM) comme GPT, Claude ou Gemini, et leurs déclinaisons sectorielles.
Les fournisseurs de ces modèles ont des obligations de transparence et de documentation renforcées. Pour les entreprises qui les intègrent dans leurs outils internes ou leurs services clients, cela implique de vérifier que leurs prestataires sont bien en conformité — et de le documenter.
Les bonnes questions à se poser dès aujourd'hui
Vous n'avez pas besoin d'une équipe juridique dédiée pour amorcer la démarche. Voici les quatre questions à poser en priorité dans votre organisation :
1. Quels outils utilisés dans l'entreprise intègrent de l'IA ? Faites l'inventaire : logiciels RH, CRM, ERP, outils de comptabilité, solutions de scoring, assistants IA, chatbots…
2. Ces systèmes prennent-ils des décisions qui affectent des personnes ? Si oui, dans quelle mesure ? Qui valide ces décisions ? Y a-t-il une supervision humaine réelle ou seulement formelle ?
3. Vos contrats fournisseurs couvrent-ils vos obligations réglementaires ? Le règlement prévoit que les fournisseurs de systèmes à haut risque doivent mettre à disposition de leurs clients déployeurs la documentation technique et les informations nécessaires à la conformité. Vérifiez que ces clauses existent.
4. Vos équipes sont-elles formées à la supervision des outils IA ? La supervision humaine n'est effective que si les collaborateurs comprennent ce que fait l'outil, ses limites et les signaux d'alerte à détecter.
Ce que Trevys observe sur le terrain
La plupart des entreprises qui utilisent de l'IA aujourd'hui ne l'ont pas formellement cartographié. L'IA s'est glissée dans les outils du quotidien — souvent par des fonctionnalités ajoutées progressivement par les éditeurs — sans que personne n'ait conduit de revue globale.
L'AI Act est l'occasion de faire cet inventaire. Non pas pour freiner les usages, mais pour les sécuriser et en tirer le meilleur parti dans un cadre maîtrisé. C'est précisément la mission que Trevys accomplit aux côtés de ses clients : intégrer la technologie de manière utile, responsable et pérenne.
Source : Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 (Journal officiel de l'Union européenne, série L, 12.7.2024) — document interne GED Trevys.