L'AI Act, et ce qu'il demande à qui déploie une IA
Le règlement européen sur l'intelligence artificielle ne s'adresse pas qu'aux éditeurs. Une entreprise qui met un assistant entre les mains de ses équipes a, elle aussi, des choses à pouvoir montrer.
En bref
L'AI Act est le règlement européen 2024/1689 sur l'intelligence artificielle. Il classe les usages par niveau de risque et distingue le fournisseur du système de celui qui le déploie. Une entreprise qui utilise un assistant interne est le plus souvent un déployeur : ses obligations portent sur la supervision humaine, l'information des personnes, la compétence des utilisateurs et la conservation des traces. Aucune de ces obligations ne se satisfait par un outil seul, mais un outil peut les rendre documentables.
Que change l'AI Act pour une entreprise qui utilise l'IA ?
Le règlement européen 2024/1689, appelé AI Act, est entré en vigueur en août 2024. Son calendrier d'application est échelonné, et la référence en la matière reste le texte publié au Journal officiel de l'Union européenne plutôt que le résumé qu'en fait un éditeur.
Ce qu'il faut en retenir tient en une idée. Le règlement ne classe pas les technologies, il classe les usages, par niveau de risque. Le même modèle de langage peut relever d'un régime très léger ou très exigeant selon ce qu'on lui fait faire. C'est une bonne nouvelle pour une DSI : la question n'est pas « avons-nous le droit d'utiliser l'IA », elle est « pour quoi, et avec quelles garanties ».
La seconde idée est la distinction des rôles. Le règlement ne traite pas de la même façon celui qui fabrique un système d'IA et celui qui s'en sert. Une entreprise qui déploie un assistant interne appartient presque toujours à la seconde catégorie.
Fournisseur ou déployeur, quel rôle est le vôtre ?
| Fournisseur | Déployeur | |
|---|---|---|
| Qui | Celui qui développe le système et le met sur le marché sous son nom | Celui qui l'utilise sous sa propre autorité |
| Dans notre cas | L'éditeur de la plateforme | Votre entreprise |
| Charge des obligations | Lourde, surtout en haut risque | Nettement plus légère |
| Ce qui reste à faire | Documentation technique, évaluation, gestion des risques | Supervision humaine, information, compétence, conservation des traces |
La colonne de droite est celle qui vous concerne, et elle est plus courte que la réputation du règlement ne le laisse croire. Le point d'attention est ailleurs : certaines décisions font basculer un déployeur vers le statut de fournisseur, notamment diffuser le système sous sa propre marque ou le modifier substantiellement. Cette qualification se tranche avec un juriste.
Quels usages sont hors périmètre, et lesquels demandent des garanties ?
Les usages documentaires ordinaires, chercher dans des documents internes, retrouver l'historique d'un client, préparer un récapitulatif, ne figurent pas parmi les catégories à haut risque du règlement. Celles-ci visent des domaines nommément désignés, parmi lesquels l'emploi, l'accès aux services essentiels, l'éducation et la justice.
Le risque réel, pour une entreprise, n'est donc pas de raccorder ses documents à un assistant. C'est la dérive d'usage, et elle est silencieuse : un assistant installé pour la documentation technique se met un jour à servir au tri de candidatures ou à la préparation d'un entretien d'évaluation. L'outil n'a pas changé, le régime applicable, si.
De cette observation découle la seule recommandation vraiment utile : tenir la liste de ce que l'IA fait chez vous, et la tenir à jour. Ce registre des cas d'usage n'est pas une formalité administrative, c'est ce qui permet de voir arriver la bascule avant un contrôle.
Ce que le règlement demande de pouvoir montrer
| Attendu côté déployeur | Ce qui existe dans la plateforme | Où cela se voit |
|---|---|---|
| Savoir qui a utilisé le système, quand et pour quoi | Journal d'audit des questions posées, avec l'auteur, le moment et le modèle sollicité | Console d'audit, réservée aux rôles qui en ont le droit |
| Produire ces traces à un tiers | Export du journal en CSV et en JSON | Interface d'administration |
| Permettre une supervision humaine | Étape d'approbation dans les automatisations : la machine prépare, une personne valide avant tout effet | Éditeur de scénarios |
| Vérifier ce sur quoi une réponse se fonde | Chaque affirmation renvoie au document ou à l'objet qui la justifie | Citations dans la réponse |
| Restreindre qui accède à quoi | Droits par rôle et par action, appliqués pendant la recherche | Gouvernance des accès |
| Maîtriser où sont traitées les données | Trois modes d'installation, dont un entièrement sur votre infrastructure, modèle de langage compris | Modes d'installation |
Ce tableau décrit des fonctions de la plateforme, pas un certificat. Il répond à une question précise et limitée : le jour où il faut documenter un usage, les éléments existent-ils, ou faut-il les reconstituer.
Comment la traçabilité se construit-elle en pratique ?
Une trace utile répond à « qui a vu quoi, et quand ». La plateforme enregistre les questions posées et les traitements exécutés, avec leur auteur, leur résultat et, en cas d'échec, sa cause. Les journaux sont cherchables et regroupés par cause, et l'export existe parce qu'une trace qu'on ne peut pas sortir de l'outil ne sert à rien devant un auditeur.
La supervision humaine suit la même logique. Dans les automatisations, une étape d'approbation transforme un scénario en proposition : rien ne part avant qu'une personne ait validé. C'est le réglage qui rend acceptable l'automatisation d'un sujet sensible, et c'est aussi ce qui se montre le plus facilement.
Enfin, la vérifiabilité des réponses relève du même sujet. Un assistant dont chaque affirmation porte sa source permet à son utilisateur d'exercer le jugement que le règlement attend de lui. C'est le sujet de la page consacrée à la fiabilité des réponses.
Et la question de l'hébergement ?
L'AI Act et le RGPD sont deux textes distincts, et les confondre mène à des conversations confuses. Le RGPD encadre le traitement des données personnelles, l'AI Act encadre la mise sur le marché et l'usage des systèmes d'IA.
Ils se rejoignent sur un point pratique : l'endroit où les traitements ont lieu. Une installation où le modèle de langage tourne sur votre propre infrastructure supprime la question du transfert, pour les deux textes à la fois. C'est l'objet de la page sur l'IA souveraine, qui détaille les trois modes d'installation.
Ce que cette page ne dit pas
Elle ne constitue pas un avis juridique, et elle ne prétend pas que la plateforme rendrait un usage conforme par sa seule présence. La conformité s'apprécie usage par usage, dans votre contexte, et elle relève de votre organisation autant que de vos outils.
Elle ne revendique par ailleurs aucune certification. Il n'existe pas, à ce jour, de label que l'on afficherait pour clore le sujet, et se méfier de qui en promet un est un bon réflexe.
Ce qu'elle affirme est plus étroit, et vérifiable : les éléments qu'un déployeur doit pouvoir produire, notamment les traces d'utilisation et le point de validation humaine, existent dans la plateforme et s'exportent.
Par où commencer
Trois questions suffisent à cadrer le sujet, et aucune n'est technique.
Quels usages de l'IA existent déjà dans l'entreprise, y compris ceux que personne n'a déclarés. Qui en est responsable, nommément. Et parmi eux, lesquels touchent à une décision concernant une personne.
Les deux premières se répondent en interne. La troisième mérite un juriste. Une fois ce cadre posé, la conversation technique devient simple, parce qu'elle porte sur des cas précis au lieu de porter sur l'IA en général.
Parlons de vos cas d'usage, nous vous dirons ce qui se documente et ce qui reste à votre charge.