L'AI Act, quand on utilise l'IA.

Qui est concerné

Toute organisation qui utilise un système d'IA dans le cadre de son activité professionnelle est un déployeur, au sens du règlement. Une entreprise dont les salariés utilisent ChatGPT, Copilot ou un agent pour leur travail en fait partie.

Le calendrier

• 1er août 2024 : entrée en vigueur du règlement.
• 2 février 2025 : interdiction des pratiques à risque inacceptable, et obligation de maîtrise de l'IA (article 4).
• 2 août 2025 : obligations des modèles d'IA à usage général, gouvernance et sanctions.
• 2 août 2026 : obligations de transparence (article 50) et contrôle par les autorités nationales.

Ce que l'article 4 demande déjà

Les déployeurs prennent des mesures pour favoriser la maîtrise de l'IA de leur personnel qui utilise des systèmes d'IA, compte tenu de ses connaissances et du contexte d'utilisation. Depuis l'omnibus numérique, c'est une obligation de moyens, plus de résultat ; elle s'applique toujours. Concrètement : savoir qui utilise quoi, et former en conséquence.

Les quatre niveaux de risque

• Inacceptable : interdit (notation sociale, manipulation, certaines reconnaissances d'émotions au travail).
• Haut risque : très encadré (recrutement, évaluation des salariés, crédit, accès à des services essentiels).
• Transparence : informer les personnes (dialogue avec une IA, contenus générés).
• Minimal : pas d'obligation particulière, au-delà de la maîtrise de l'IA.

Si vous déployez un système à haut risque

• L'utiliser selon la notice du fournisseur, sous une surveillance humaine compétente.
• Veiller à la pertinence des données d'entrée que vous contrôlez, surveiller le fonctionnement, signaler les incidents.
• Conserver les journaux générés automatiquement, au moins six mois.
• Informer les représentants du personnel et les salariés concernés avant de le mettre en service sur le lieu de travail.

Les sanctions

• Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites.
• Jusqu'à 15 millions d'euros ou 3 % pour les autres manquements.
• Jusqu'à 7,5 millions d'euros ou 1 % pour des informations inexactes fournies aux autorités.

Par où commencer

• Faire l'inventaire des outils et des agents d'IA réellement utilisés, y compris ceux que personne n'a déclarés.
• Classer chaque usage selon son niveau de risque, et repérer les usages à haut risque.
• Publier des règles d'usage claires, et former les utilisateurs.
• Désigner des responsables, et garder la trace des décisions.

Avertissement

Ce guide résume le règlement (UE) 2024/1689 à des fins d'information. Il ne constitue pas un avis juridique : faites valider votre situation par votre DPO ou votre conseil.