AI Act : ce qu’une ETI doit faire maintenant.

Depuis le 2 février 2025 pour les pratiques interdites de l'article 5 et la maîtrise de l'IA par le personnel de l'article 4. Le 2 août 2025 a ouvert les obligations des modèles à usage général, la gouvernance et les sanctions, ce qui vous touche indirectement par vos fournisseurs, tenus de documenter leurs modèles. Le volet des systèmes à haut risque de l'annexe III et la transparence de l'article 50 étaient attendus à partir du 2 août 2026, avec des reports discutés en 2025 et 2026 : vérifiez la date en vigueur pour votre cas au moment où vous lisez.

Déployeur, dans la quasi-totalité des cas. Le règlement UE 2024/1689 appelle fournisseur celui qui développe ou met un système d'IA sur le marché, et déployeur celui qui l'utilise sous son autorité dans un cadre professionnel. Une organisation de 50 à 5 000 personnes qui utilise un assistant conversationnel, un outil de tri de candidatures, un système de scoring ou un générateur de contenu est déployeur, avec des obligations nettement plus légères que celles d'un fournisseur.

L'article 99 prévoit jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites, jusqu'à 15 millions ou 3 % pour les autres manquements, et jusqu'à 7,5 millions ou 1 % pour des informations inexactes fournies aux autorités. Pour les PME, c'est le montant le plus bas des deux qui s'applique. L'amende n'est pourtant pas l'argument principal : le coût certain, c'est l'incident, le temps interne et l'outil acheté sans gouvernance.

Depuis le 2 février 2025, l'article 5 interdit notamment la manipulation subliminale ou trompeuse causant un préjudice, l'exploitation des vulnérabilités, la notation sociale, certaines formes de police prédictive, la constitution de bases de reconnaissance faciale par moissonnage, la reconnaissance des émotions au travail et dans l'éducation hors motifs médicaux ou de sécurité, et la catégorisation biométrique sur des données sensibles. Pour une ETI, le point de vigilance concret est la reconnaissance des émotions dans les outils RH ou de relation client, et les outils dits de détection appliqués aux salariés.

Cinq livrables suffisent aujourd'hui : un registre des systèmes d'IA, outil par outil, y compris ceux utilisés sans autorisation ; une charte d'usage d'une page, signée et annexée au règlement intérieur ; une classification des usages entre inacceptable, haut risque, risque limité et risque minimal ; des clauses fournisseurs sur la localisation, la non-réutilisation pour l'entraînement, la documentation du modèle, la notification d'incident et la réversibilité ; une formation attestée nominativement, qui est la preuve de l'article 4. L'ordre compte : on ne peut pas classer ce qu'on n'a pas inventorié.

Le diagnostic conformité sectorielle est à prix fixe, 2 500 € HT en quinze jours ouvrés : il confronte votre registre des traitements à la réalité de vos outils, l'état de vos contrats de sous-traitance à l'article 28 du RGPD, et classe vos usages d'intelligence artificielle par niveau de risque, chaque écart rattaché au texte qui l'impose et à la preuve qui manque. Les cinq livrables sont ensuite produits dans le premier trimestre d'un contrat de gouvernance digitale, de 12 000 à 45 000 € HT par an selon le palier, puis tenus à jour en comité. Le cabinet est ingénieur et non avocat : il dit ce que l'état de vos systèmes démontre, votre conseil dit le droit.

Oui. Le registre des systèmes IA recense les outils réellement utilisés, y compris ceux adoptés sans autorisation : un inventaire limité aux outils validés ne reflète pas le risque réel. Pour chacun, le registre indique l'usage, les données traitées, le fournisseur, le pays d'hébergement, le responsable interne et le niveau de risque. L'inventaire révèle le plus souvent des assistants déjà présents dans la messagerie, la bureautique, le CRM, les outils RH et les navigateurs. C'est le préalable de la classification des usages par niveau de risque : on ne peut pas classer ce qu'on n'a pas inventorié.

Non. L'article 5 du règlement européen sur l'IA (règlement UE 2024/1689) interdit la reconnaissance des émotions sur le lieu de travail et dans l'éducation, hors motifs médicaux ou de sécurité, et cette interdiction s'applique depuis le 2 février 2025. Les manquements aux pratiques interdites relèvent du plafond de sanction le plus élevé de l'article 99 : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus bas des deux étant retenu pour les PME. Pour une ETI, le point de vigilance concret se situe dans les outils RH et de relation client, ainsi que dans les dispositifs de « détection » appliqués aux salariés, souvent activés par défaut sans décision interne. Le registre des systèmes IA est le seul moyen de repérer ces fonctions : on ne peut pas classer ce qu'on n'a pas inventorié.

Cinq clauses suffisent à couvrir l'essentiel : la localisation des données, l'absence de réutilisation des données pour l'entraînement des modèles, la documentation du modèle, la notification d'incident et la réversibilité. Ces exigences sont celles d'un déployeur, c'est-à-dire d'une organisation qui utilise un système d'IA sous son autorité sans le développer, et elles s'appuient sur les obligations de documentation qui pèsent sur les fournisseurs de modèles à usage général depuis le 2 août 2025. Les clauses fournisseurs constituent l'un des cinq livrables qui mettent une ETI en règle aujourd'hui, avec le registre des systèmes IA, la charte d'usage, la classification des usages par niveau de risque et la formation attestée. Elles se négocient à partir du registre : on ne contractualise utilement qu'avec les fournisseurs que l'on a inventoriés, usage par usage et donnée par donnée. Le cabinet livre ces clauses dans le premier trimestre d'un contrat de gouvernance, puis les tient à jour en comité, en France entière et en Suisse romande.

Oui : en tant que déployeur, vous êtes tenu aux obligations de transparence du règlement européen sur l'IA (article 50) pour les systèmes qui interagissent avec des personnes ou qui génèrent du contenu. Cela vise concrètement l'agent conversationnel du site, le répondeur du service client et les contenus produits par un générateur, qui doivent être identifiables comme tels par la personne en face. Ces obligations figurent à l'échéance du 2 août 2026 et au-delà du calendrier du règlement, échéance dont des reports ont été discutés en 2025 et 2026 : vérifiez la date en vigueur pour votre cas. La mise en œuvre passe par le registre des systèmes IA et la classification des usages, qui désignent précisément lesquels de vos outils parlent à des personnes ou produisent du contenu.