Réponse directe
Pour une ETI ou une PME qui utilise des outils d’IA sans en développer, trois obligations du règlement européen sur l’IA (AI Act, règlement UE 2024/1689) s’appliquent déjà : ne pas recourir aux pratiques interdites (article 5), assurer la maîtrise de l’IA par le personnel (article 4), et, en tant que déployeur, respecter les obligations de transparence pour les systèmes qui interagissent avec des personnes ou génèrent du contenu. Les obligations lourdes visent les systèmes à haut risque (annexe III), dont le calendrier a fait l’objet de discussions de report en 2025 et 2026. Les cinq livrables qui suffisent pour être en règle aujourd’hui : un registre des systèmes IA, une charte d’usage, une classification des usages par niveau de risque, des clauses fournisseurs, une formation attestée.
Qui est concerné ?
Le règlement distingue les fournisseurs (ceux qui développent ou mettent sur le marché un système d’IA) des déployeurs (ceux qui l’utilisent sous leur autorité dans un cadre professionnel). Une ETI qui utilise un assistant conversationnel, un outil de tri de candidatures, un système de scoring ou un générateur de contenu est un déployeur. C’est la situation de la quasi-totalité des organisations françaises de 50 à 5 000 personnes.
Quel est le calendrier ?
| Date | Ce qui s’applique | Pour une ETI déployeur |
|---|---|---|
| 1er août 2024 | Entrée en vigueur | Rien d’immédiat |
| 2 février 2025 | Pratiques interdites (art. 5), maîtrise de l’IA (art. 4) | Obligatoire : formation du personnel, arrêt des usages interdits |
| 2 août 2025 | Obligations des modèles à usage général, gouvernance, sanctions | Indirect : vos fournisseurs doivent documenter leurs modèles |
| 2 août 2026 et au-delà | Systèmes à haut risque (annexe III), transparence (art. 50) | Selon vos usages (RH, crédit, santé, éducation) : vérifier la date applicable, des reports ont été discutés en 2025 et 2026 |
Le calendrier des systèmes à haut risque a été débattu au niveau européen ; vérifiez la date en vigueur pour votre cas au moment où vous lisez. Cela ne change rien aux obligations déjà applicables depuis février 2025, ni à l’intérêt d’un registre : on ne peut pas classer ce qu’on n’a pas inventorié.
Que dit l’article 4 sur la maîtrise de l’IA ?
Les fournisseurs et déployeurs prennent des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA de leur personnel et des personnes qui utilisent les systèmes pour leur compte, en tenant compte de leurs connaissances, du contexte d’utilisation et des personnes concernées. En pratique : une formation adaptée aux usages réels, attestée nominativement, renouvelée quand les outils changent. Ce n’est pas un module générique de sensibilisation.
Quelles sont les pratiques interdites ?
L’article 5 interdit notamment la manipulation subliminale ou trompeuse causant un préjudice, l’exploitation des vulnérabilités, la notation sociale, certaines formes de police prédictive, la constitution de bases de reconnaissance faciale par moissonnage, la reconnaissance des émotions au travail et dans l’éducation (hors motifs médicaux ou de sécurité), et la catégorisation biométrique sur des données sensibles. Pour une ETI, le point de vigilance concret : la reconnaissance des émotions dans les outils RH ou de relation client, et les outils de « détection » appliqués aux salariés.
Quelles sanctions ?
Article 99 : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites ; jusqu’à 15 millions ou 3 % pour les autres manquements ; jusqu’à 7,5 millions ou 1 % pour des informations inexactes fournies aux autorités. Pour les PME, c’est le montant le plus bas des deux qui s’applique. L’amende n’est pas l’argument principal : le coût certain, c’est l’incident, le temps interne et l’outil acheté sans gouvernance.
Les cinq livrables qui suffisent aujourd’hui
- Registre des systèmes IA. Outil par outil : usage, données traitées, fournisseur, pays d’hébergement, responsable interne, niveau de risque. Y compris les outils utilisés sans autorisation.
- Charte d’usage. Ce qui est autorisé, avec quelles données, ce qui est interdit, à qui signaler. Une page, signée, annexée au règlement intérieur.
- Classification des usages. Inacceptable, haut risque, risque limité, risque minimal, pour chaque usage du registre. C’est ce qui déclenche ou non les obligations lourdes.
- Clauses fournisseurs. Localisation des données, absence de réutilisation pour l’entraînement, documentation du modèle, notification d’incident, réversibilité.
- Formation attestée. Adaptée aux postes, avec liste nominative et date. C’est la preuve de l’article 4.
Questions fréquentes
Nous n’utilisons pas d’IA, sommes-nous concernés ?
Presque toujours, oui. L’inventaire révèle des assistants dans la messagerie, la bureautique, le CRM, les outils RH et les navigateurs. La question n’est pas si vos équipes utilisent l’IA, c’est où partent les données quand elles le font.
Le RGPD ne suffit-il pas ?
Non. Le RGPD couvre les données personnelles ; l’AI Act couvre les systèmes, y compris quand ils traitent des données non personnelles (secrets d’affaires, données financières, propriété intellectuelle). Les deux se recoupent sur les analyses d’impact et se complètent.
Faut-il un DPO pour l’IA ?
Le règlement ne l’impose pas. Il faut un responsable identifié, un registre et un comité qui se réunit. Chez Magnetiks, c’est le contrat de gouvernance qui fournit les trois.
La position du cabinet
Le registre, la charte et la classification sont utiles quel que soit le calendrier des systèmes à haut risque : ils sont le préalable de toute mise en conformité, et le seul moyen de répondre à un comité d’audit qui demande où vont les données. Le cabinet les livre dans le premier trimestre d’un contrat de gouvernance, puis les tient à jour en comité. L’offre Gouvernance IA.
Sources
- Règlement (UE) 2024/1689 du 13 juin 2024 (AI Act), articles 3, 4, 5, 50, 99, 113 et annexe III.
- Commission européenne, lignes directrices sur les pratiques interdites et sur la définition des systèmes d’IA (2025).
- CNIL, recommandations sur le développement et l’usage des systèmes d’IA.