IA Act : Tout comprendre sur ces nouvelles obligations en 3 minutes

Introduction: L’IA à l’ère du far west !

L’IA est en plein boom, on scrape, on vibe-code, on automatise,  on scale.

Tout ça c’est très bien mais les lois et règlements dans tout ça ?

Bah jusqu’ici peu s’en soucient…

Les données du client dans un LLM peut-être…

Oui mais peut-être alors que vous vous étiez engagés contractuellement.

Les RH on eu une bonne idée avec le traitement et sélection automatisé oui mais tout n’est pas autorisé.

C’est dans ce contexte que l’union eurpéenne entend taper du poing sur la table et réguler tout ça !

Oui mais moi en tant que chef d’entreprise ou RSSI que dois-je faire ?

Panique pas Jean-Michel et lis ce qui suit tu comprendras dans quel cas tu es ce que tu dois faire, où trouver de l’aide et des ressources et ce que tu risques si tu essaies de filouter.

D’abord, dans quel cas êtes-vous ?

Toutes les entreprises qui utilisent de l’IA sont concernées — y compris les TPE et PME. Mais pas toutes au même niveau. Trouvez votre profil :

Cas 1 — Vous utilisez des outils IA en interne pour vous assister et non pour produire pour les forces de l’ordre ou l’armée

Claude ou ChatGPT pour rédiger, Midjourney pour vos visuels, un chatbot sur votre site, un CRM intelligent… Vous ne fabriquez pas d’IA, vous l’utilisez. C’est le cas de la grande majorité des entreprises.

Vos obligations sont simples : former vos équipes, vérifier que vous ne faites rien d’interdit, et savoir quels outils IA vous utilisez.

Cas 2 — Vous travaillez pour la police, l’armée ou la justice et l’IA touche un domaine sensible

Vous êtes sous-traitant des forces de l’ordre et votre IA sert au profilage, à l’évaluation de preuves, à la reconnaissance biométrique ou à l’analyse de risques criminels ? Les obligations sont nettement plus lourdes : supervision humaine obligatoire, conservation des logs, analyse d’impact sur les droits fondamentaux.

Cas 3 — Vous travaillez pour la police ou l’armée mais votre livrable ne contient pas d’IA

Vous utilisez ChatGPT en interne pour préparer vos rapports, mais ce que vous livrez à votre client ne contient pas d’IA ? Vous êtes dans le Cas 1.

La règle est simple : c’est l’usage que vous faites de l’IA qui détermine vos obligations — pas le secteur de votre client.

Attention aux sanctions

L’IA Act n’est pas une recommandation. C’est un règlement européen avec des sanctions déjà applicables :

• Pratiques interdites (manipulation, scoring social, reconnaissance d’émotions au travail…) → jusqu’à 35 M€ ou 7 % du CA mondial
• Non-respect des obligations haut risque ou de transparence → jusqu’à 15 M€ ou 3 % du CA
• Fausses informations aux autorités → jusqu’à 7,5 M€ ou 1 % du CA

Pour les PME, un filet de sécurité existe : c’est toujours le montant le plus faible qui s’applique (article 99(6)). Mais le risque reste réel.

Et le manque de formation de vos équipes ? Ce n’est pas sanctionné directement — mais c’est un facteur aggravant en cas d’autre infraction.

Par quoi commencer ? 5 étapes simples

1. Faites l’inventaire de vos outils IA

Listez tous les outils IA utilisés dans votre entreprise : nom, fournisseur, à quoi il sert, quelles données il traite. Vous serez probablement surpris du nombre. C’est la base de tout le reste.

2. Vérifiez que vous ne faites rien d’interdit

Passez en revue les 8 pratiques interdites par l’article 5 : manipulation subliminale, scoring social, exploitation des vulnérabilités, reconnaissance d’émotions au travail… Si un de vos usages s’en approche, arrêtez-le immédiatement.

3. Formez vos équipes

Tous les collaborateurs qui utilisent l’IA doivent comprendre ce qu’elle fait, ce qu’elle ne fait pas, et les règles à respecter. Pas besoin d’un diplôme — un atelier, un coaching ou un e-learning suffit. Mais gardez une trace (attestation, date de formation).

4. Mettez en place une charte IA

La charte formalise les règles d’utilisation de l’IA dans votre entreprise. Elle complète votre charte informatique existante. Nous avons préparé un modèle gratuit prêt à l’emploi :

5. Faites-vous accompagner

L’IA Act fait 144 pages avec des annexes techniques et un calendrier en plusieurs phases. Aucun dirigeant de TPE ou PME n’a vocation à décortiquer tout cela seul. Un consultant spécialisé peut cartographier vos outils, identifier vos risques, rédiger votre charte et former vos équipes en quelques séances — c’est la même logique qu’un accompagnement ISO.

Des questions ? Posez-les en commentaires.