ESN · Cadre réglementaire IA

AI Act et entreprise : quelles obligations pour vos projets d'IA

L'AI Act européen encadre désormais l'usage de l'intelligence artificielle en entreprise, pas seulement sa conception. Avant de déployer un agent vocal, un chatbot ou un outil d'automatisation, il est utile de comprendre où se situent vos obligations et comment les intégrer dès le cadrage du projet.

Pourquoi l'AI Act concerne votre entreprise

L'AI Act est le règlement européen qui encadre le développement et l'utilisation de l'intelligence artificielle. Contrairement à une idée répandue, il ne vise pas seulement les éditeurs de technologies : toute entreprise qui déploie un système d'IA, même fourni par un tiers, a des obligations à respecter en tant qu'utilisatrice. Cela concerne un agent vocal IA pour l'accueil téléphonique, un chatbot IA sur un site, un outil de RAG qui exploite des documents internes, ou encore des automatisations pilotées par IA dans les processus métier. La logique du règlement repose sur un principe simple : plus l'usage de l'IA peut avoir un impact sur une personne (client, candidat, usager), plus les exigences sont élevées. Comprendre où se situe chaque usage d'IA dans cette logique est la première étape pour une entreprise qui veut déployer l'IA sereinement, sans découvrir des obligations après coup.

Une logique par niveau de risque

L'AI Act classe les systèmes d'IA selon leur niveau de risque plutôt que selon la technologie utilisée. Un usage interne simple, comme une automatisation de tâches répétitives, n'implique pas les mêmes obligations qu'un système qui influence une décision ayant un effet direct sur une personne, par exemple dans le recrutement ou l'accès à un service. Entre ces deux extrêmes, la majorité des usages d'IA en entreprise se situent dans une zone intermédiaire, où des obligations de transparence et de bonne pratique s'appliquent sans pour autant relever des catégories les plus strictes. Pour une entreprise, l'enjeu n'est pas de deviner cette classification, mais de la documenter : quel système, pour quel usage, avec quel niveau d'impact sur les personnes concernées. Cette cartographie est un prérequis avant tout déploiement à grande échelle.

Ce que cela implique concrètement pour une entreprise qui utilise l'IA

Au-delà de la classification, l'AI Act pousse les entreprises vers des pratiques de fond : savoir ce que fait réellement un système d'IA utilisé, pouvoir expliquer son fonctionnement en cas de question, informer les personnes lorsque l'IA intervient dans une interaction (un agent vocal IA qui répond au téléphone, un chatbot qui dialogue avec un client), et conserver une trace des choix faits lors du déploiement. Ce n'est pas tant un enjeu juridique isolé qu'une question de gouvernance : qui dans l'entreprise valide l'usage d'un outil IA, qui en assure le suivi, comment la donnée utilisée est-elle protégée au titre du RGPD en parallèle. Les entreprises qui s'en sortent le mieux sont celles qui intègrent cette réflexion dès la phase de cadrage d'un projet IA, plutôt que de la traiter après le déploiement.

RGPD et AI Act : deux cadres complémentaires

Pour une entreprise, l'AI Act ne remplace pas le RGPD, il s'y ajoute. Le RGPD encadre la donnée personnelle utilisée par un système d'IA ; l'AI Act encadre le système lui-même et son usage. Un projet comme un RAG qui s'appuie sur des documents internes, ou un agent vocal qui collecte des informations lors d'un appel, doit donc être pensé selon les deux grilles de lecture en même temps : quelles données sont traitées, et quel est le niveau de risque de l'usage IA associé. C'est pour cette raison que la conformité RGPD et AI Act fait partie des points vérifiés dès le cadrage d'un projet, avec la possibilité de s'appuyer sur des architectures souveraines lorsque la sensibilité du sujet le justifie.

Se mettre en ordre de marche sans se précipiter

Face à un sujet réglementaire nouveau, la tentation est soit d'ignorer la question, soit de bloquer tout projet IA par précaution excessive. Aucune des deux approches n'est satisfaisante. La bonne pratique consiste à faire un état des lieux structuré : quels usages d'IA existent déjà dans l'entreprise, formels ou informels, quels usages sont envisagés, et pour chacun, quel est le niveau de risque et quelles obligations en découlent. Cet état des lieux permet de prioriser : certains projets peuvent avancer rapidement, d'autres nécessitent un cadrage plus poussé avant tout déploiement. C'est exactement l'objet d'un audit IA, qui identifie les cas d'usage pertinents pour l'entreprise, construit le business case associé et propose une feuille de route sur 12 mois intégrant ces questions de conformité dès le départ, plutôt que de les traiter comme un correctif après coup.

Notre méthode : de l'idée au run

1. 01 — Discovery. Atelier métier, audit, cartographie des cas d'usage, business case et roadmap chiffrée sur 12 mois.
2. 02 — Prototype. Un POC fonctionnel sous 2 à 4 semaines, sur vos vraies données et avec vos vrais utilisateurs, avec des métriques pour décider.
3. 03 — Build. Industrialisation, sécurité, RGPD, observabilité, CI/CD, intégration dans votre système d'information.
4. 04 — Run. Monitoring, optimisation continue, montée en charge, formation de vos équipes.

Questions fréquentes

Mon entreprise est-elle concernée par l'AI Act si elle n'édite pas d'IA elle-même ?

Oui. L'AI Act impose des obligations aux utilisateurs de systèmes d'IA, pas seulement aux éditeurs. Dès qu'une entreprise déploie un agent vocal IA, un chatbot ou un outil d'automatisation basé sur l'IA, elle a des responsabilités à assumer en tant qu'utilisatrice de ce système.

Faut-il arrêter ses projets IA en attendant d'être en conformité ?

Non, ce n'est généralement pas nécessaire. La plupart des usages d'IA en entreprise relèvent de niveaux de risque modérés qui demandent surtout de la transparence et une documentation claire des choix faits, pas un arrêt des projets. Un cadrage initial permet d'avancer sans prendre de risque inutile.

Comment savoir si un projet IA précis pose un problème au regard de l'AI Act ?

Cela dépend du niveau d'impact de l'usage sur les personnes concernées et du type de données traitées. Un audit IA permet de qualifier chaque cas d'usage envisagé et d'indiquer les points de vigilance avant le déploiement, en lien avec les obligations RGPD déjà applicables.

Travaillez-vous au forfait ou en régie ?

Les deux : au forfait avec un livrable et des critères de réussite définis ensemble, ou en régie avec des consultants qui rejoignent votre équipe.

Parlons de votre projet

Un échange de 10 minutes pour cadrer votre besoin, au forfait ou en régie.

[email protected] +33 6 51 14 98 67

Nos autres expertises

Application mobile · SEO · Transformation digitale · ESN intelligence artificielle · L'IA par métier