Une entreprise peut aujourd’hui utiliser de l’intelligence artificielle sans avoir décidé, formellement, d’en déployer une.
Un éditeur ajoute un assistant dans son logiciel. Un CRM commence à qualifier automatiquement des prospects. Un outil de visioconférence produit des comptes rendus. Une plateforme de recrutement propose un classement des candidatures. Un collaborateur utilise un service d’IA générative pour gagner du temps.
Chacun de ces usages peut sembler anodin. Pourtant, à partir du 2 août 2026, une nouvelle étape importante du règlement européen sur l’intelligence artificielle, plus connu sous le nom d’AI Act ou de RIA, entre en application. Elle comprend notamment des obligations de transparence pour certains systèmes d’IA.
Cela ne signifie pas que toutes les entreprises utilisant ChatGPT ou un logiciel intégrant de l’IA deviennent soudainement hors-la-loi. Cela signifie en revanche qu’il devient difficile de piloter correctement les risques, les données et les obligations de l’entreprise si personne ne sait précisément où l’intelligence artificielle intervient.
Avant même de parler de conformité, la première question est donc très concrète : quelles intelligences artificielles votre entreprise utilise-t-elle réellement aujourd’hui ?
Ce qui change avec l’AI Act le 2 août 2026
L’AI Act ne s’applique pas en une seule fois. Ses différentes dispositions entrent progressivement en application selon un calendrier défini au niveau européen.
Le 2 août 2026 constitue une étape majeure. À cette date, les autorités européennes et nationales commencent notamment à assurer pleinement la mise en œuvre, la surveillance et le contrôle du règlement. Les obligations de transparence prévues par l’article 50 deviennent également applicables.
La Commission européenne présente le calendrier général de mise en œuvre de l’AI Act et publie des ressources destinées à aider les organisations à comprendre les règles qui les concernent.
L’objectif des obligations de transparence est simple dans son principe : une personne doit pouvoir savoir, dans certaines situations, qu’elle échange avec une intelligence artificielle ou qu’elle est exposée à un contenu généré ou manipulé artificiellement.
Le périmètre réel reste toutefois plus nuancé qu’un simple message « généré par IA » ajouté partout. Les obligations diffèrent selon le système utilisé, le rôle de l’entreprise, le type de contenu et les personnes concernées.
Éditeur, intégrateur, client : qui porte quelle responsabilité ?
Pour comprendre l’AI Act, il faut distinguer deux rôles.
Le fournisseur du système d’IA
Le fournisseur est, de manière simplifiée, l’acteur qui développe un système d’IA ou le fait développer, puis le met sur le marché sous son nom ou sa marque. Lorsqu’une fonctionnalité d’IA est ajoutée à un logiciel SaaS, l’éditeur porte donc une part importante des obligations liées à sa conception et aux moyens techniques permettant d’informer les utilisateurs ou de détecter certains contenus artificiels.
Le déployeur du système d’IA
Le déployeur est l’organisation qui utilise un système d’IA sous sa propre autorité dans le cadre de son activité professionnelle. Une entreprise qui met un chatbot à disposition de ses clients, utilise un outil de reconnaissance des émotions ou publie certains contenus générés par IA peut donc être concernée, même si elle n’a pas développé la technologie.
Le fait qu’une fonctionnalité soit fournie par un éditeur ne fait pas disparaître les responsabilités liées à son utilisation. Inversement, l’entreprise cliente ne devient pas responsable de toutes les obligations techniques du fournisseur.
La Commission européenne a publié des lignes directrices consacrées aux obligations de transparence afin de préciser les rôles et les situations couvertes.
Quels usages de l’IA sont concernés par les obligations de transparence ?
L’article 50 de l’AI Act vise plusieurs situations particulières. Elles ne concernent pas toutes les entreprises de la même manière.
Les chatbots et assistants qui échangent directement avec une personne
Lorsqu’une personne interagit directement avec un système d’IA, elle doit en principe être informée qu’elle échange avec une machine, sauf lorsque cela est déjà évident compte tenu du contexte et du point de vue d’une personne raisonnablement informée et attentive.
Un chatbot présent sur un site internet, un assistant de support client ou un agent conversationnel intégré dans un parcours commercial doivent donc être examinés avec attention.
L’information doit être claire, accessible et donnée au plus tard lors de la première interaction. Une mention cachée dans des conditions générales que presque personne ne lit ne répond pas nécessairement à l’objectif recherché.
Les contenus générés ou manipulés par une intelligence artificielle
Les fournisseurs de systèmes générant des textes, images, sons ou vidéos synthétiques doivent mettre en place des moyens permettant de marquer leurs productions dans un format lisible par une machine et de détecter leur origine artificielle.
Une période transitoire limitée est prévue pour certains systèmes déjà présents sur le marché avant le 2 août 2026 : l’obligation technique de marquage peut, dans ces cas, ne s’appliquer qu’à partir du 2 décembre 2026. La foire aux questions officielle consacrée à l’article 50 détaille cette transition.
Les deepfakes et certains contenus d’intérêt public
Une entreprise ou une organisation qui utilise une IA pour produire ou manipuler une image, un enregistrement audio ou une vidéo pouvant être confondu avec un contenu authentique doit, dans les situations prévues par le règlement, signaler sa nature artificielle.
Des obligations existent également pour certains textes générés ou manipulés par IA lorsqu’ils informent le public sur des sujets d’intérêt général. Une exception est notamment prévue lorsqu’un véritable contrôle humain est réalisé et qu’une personne assume la responsabilité éditoriale de la publication.
La reconnaissance des émotions et la catégorisation biométrique
Lorsqu’une organisation utilise certains systèmes de reconnaissance des émotions ou de catégorisation biométrique, les personnes exposées doivent en être informées.
Ces usages peuvent se retrouver dans des outils d’analyse vidéo, de mesure de l’attention ou d’évaluation d’entretiens. Ils sont beaucoup plus sensibles qu’une aide à la rédaction et peuvent également soulever d’importantes questions au regard du RGPD, du droit du travail et des droits fondamentaux.
Non, il ne faut pas étiqueter chaque document produit avec l’aide d’une IA
L’une des erreurs les plus fréquentes consiste à résumer les nouvelles règles ainsi : « tout contenu réalisé avec une IA devra porter une mention ».
Ce n’est pas ce que prévoit l’article 50.
Reformuler une phrase ou préparer le plan d’une présentation ne place pas l’entreprise dans la même situation que la publication d’un faux témoignage vidéo, l’automatisation complète d’un article d’actualité ou un chatbot se présentant comme un conseiller humain.
La transparence attendue dépend notamment :
- du type de système utilisé ;
- de la manière dont l’IA intervient ;
- du public exposé ;
- de la nature du contenu ;
- de l’existence d’un contrôle humain réel ;
- du rôle de l’entreprise dans la chaîne de valeur.
Le texte complet du règlement européen sur l’intelligence artificielle reste la référence juridique. Pour les situations présentant un enjeu important, une analyse spécifique peut être nécessaire.
Pourquoi l’IA peut-elle être présente sans que la direction le sache ?
Dans de nombreuses entreprises, le système d’information évolue progressivement, au rythme des besoins, des abonnements SaaS et des habitudes prises par les équipes. L’intelligence artificielle suit le même chemin.
Elle peut entrer dans l’entreprise de plusieurs manières :
- un collaborateur crée un compte sur un service d’IA générative sans en informer son responsable ;
- un éditeur active automatiquement une nouvelle fonctionnalité dans un logiciel existant ;
- un prestataire ajoute un chatbot ou un outil d’analyse dans un site internet ;
- un CRM commence à noter les prospects ou à suggérer des actions ;
- un outil RH automatise une partie du tri ou de l’analyse des candidatures ;
- un service de réunion enregistre, transcrit et résume les échanges ;
- une plateforme marketing génère des images, des textes ou des variantes publicitaires ;
- une fonction présentée comme « intelligente » repose sur un système d’IA.
Ces usages ne sont pas nécessairement problématiques. Ils le deviennent lorsque personne ne les connaît, ne les contrôle ou ne sait quelles données leur sont transmises.
Cette situation rejoint une difficulté plus large : l’empilement progressif d’outils numériques peut rendre le fonctionnement de l’entreprise difficile à maîtriser. Notre univers consacré à l’optimisation du quotidien numérique présente justement une démarche permettant de cartographier les usages, les ressaisies et les points de friction avant d’ajouter de nouveaux outils.
Les quatre questions à poser avant de parler de conformité
Quelles intelligences artificielles utilisons-nous ?
Il faut recenser les outils officiellement déployés et les pratiques réelles. Un inventaire limité aux factures ou aux contrats manquera les comptes gratuits, les nouveautés et les usages individuels.
La démarche ne doit pas ressembler à une recherche de faute : si les salariés craignent une sanction, les usages resteront invisibles. L’objectif est de les comprendre pour mieux les encadrer.
Quelles données leur transmettons-nous ?
Un outil peut convenir pour produire une idée générale tout en étant inadapté au traitement d’un contrat client, d’un dossier RH, d’informations financières ou de données personnelles.
Pour chaque usage, l’entreprise doit savoir quelles informations sont envoyées, où elles sont traitées, combien de temps elles sont conservées et si elles peuvent être utilisées pour améliorer ou entraîner le service.
L’AI Act ne remplace pas le RGPD. Les deux cadres peuvent s’appliquer simultanément. Les fiches pratiques de la CNIL consacrées à l’intelligence artificielle fournissent des repères complémentaires sur la protection des données personnelles.
L’IA aide-t-elle ou décide-t-elle ?
Une IA qui propose un brouillon n’a pas le même impact qu’un système qui classe des candidats, refuse une demande, détermine une priorité ou influence l’accès à un service.
Plus l’outil influence une décision ayant des conséquences pour une personne, plus le niveau d’attention doit être élevé. Il faut identifier qui conserve la capacité de contrôler, contester ou corriger le résultat.
Notre article sur l’intelligence artificielle et le développement web revient également sur cette différence essentielle entre assistance technique et responsabilité humaine.
Les personnes concernées savent-elles qu’une IA intervient ?
Cette question doit être étudiée du point de vue de la personne exposée. Un client comprend-il qu’il échange avec un chatbot ? Un candidat sait-il qu’un outil participe à l’analyse de son dossier ? L’information apparaît-elle au bon moment et dans des mots compréhensibles ?
Une transparence utile ne consiste pas à ajouter une phrase juridique de plus. Elle permet de comprendre la place réelle de l’IA dans l’interaction.
Comment réaliser un inventaire simple des usages de l’IA ?
Une TPE ou une PME n’a pas besoin de commencer par un projet documentaire disproportionné. Un premier inventaire peut être réalisé progressivement.
1. Partir des outils déjà utilisés
Listez les logiciels métier, services SaaS, outils collaboratifs, plateformes marketing, solutions RH, CRM, outils de support, services de visioconférence et extensions de navigateur.
Consultez leurs paramètres et les notes de version. Les termes « assistant », « copilote », « résumé automatique », « recommandation », « scoring » ou « génération » peuvent signaler une fonction reposant sur l’IA.
2. Interroger les équipes sur les usages réels
Demandez quels outils servent à rédiger, traduire, analyser, résumer, créer des images, produire du code ou automatiser des tâches. Les usages les plus importants ne sont pas toujours ceux qui ont fait l’objet d’un achat officiel.
3. Décrire chaque usage en une ligne
Pour chaque système, notez au minimum :
- le nom de l’outil et son éditeur ;
- les personnes ou services qui l’utilisent ;
- la tâche réalisée ;
- les données transmises ;
- le résultat produit ;
- les personnes affectées par ce résultat ;
- l’existence d’un contrôle humain ;
- l’information éventuellement donnée aux personnes concernées.
4. Classer les usages selon leur impact
Une aide à la reformulation ne doit pas être traitée avec la même urgence qu’un outil utilisant des données RH ou influençant une décision. Évaluez la sensibilité des données, les personnes concernées, l’autonomie du système et les conséquences possibles d’une erreur.
5. Vérifier les conditions proposées par l’éditeur
Examinez le fonctionnement de la fonctionnalité, les données utilisées, les paramètres d’activation, la conservation, les possibilités de désactivation et les moyens prévus pour respecter la transparence. Pour un outil important, documentez ces éléments et vérifiez le cadre contractuel.
6. Décider : autoriser, encadrer, corriger ou désactiver
L’inventaire n’a d’intérêt que s’il conduit à une décision claire.
Certains usages pourront être conservés. D’autres demanderont une information plus visible, un paramétrage différent, moins de données transmises, une validation humaine ou un autre outil. Si la fonction n’apporte pas de bénéfice réel ou reste trop opaque, la désactiver peut être la décision la plus raisonnable.
La transparence ne suffit pas : données et sécurité restent essentielles
Afficher qu’un chatbot repose sur une intelligence artificielle ne rend pas automatiquement son utilisation sûre ou conforme.
L’entreprise doit aussi s’intéresser aux accès, aux données envoyées, à la conservation des échanges, aux droits des utilisateurs, aux journaux d’activité et à la dépendance envers le fournisseur.
Un service peut respecter une obligation de transparence tout en étant mal configuré, inutilement exposé ou utilisé avec des données qui ne devraient jamais lui être transmises.
C’est pourquoi le recensement des IA doit être rapproché de la cartographie du système d’information et des pratiques de sécurité existantes. La démarche présentée dans notre univers Sécurisation et gestion du système d’information permet d’aborder ces questions à partir de l’environnement réel de l’entreprise.
Peut-on être responsable d’une IA dont on ignore l’existence ?
Un éditeur ne devrait pas pouvoir transférer toutes ses responsabilités à ses clients en ajoutant discrètement une fonctionnalité d’IA. Il lui appartient d’en expliquer le fonctionnement et de respecter les obligations correspondant à son rôle de fournisseur.
Mais une entreprise n’est pas automatiquement dégagée de toute responsabilité parce qu’elle n’a pas développé la technologie. Lorsqu’elle utilise un système dans ses processus ou l’expose à ses clients, elle doit comprendre ce qu’il fait et vérifier les obligations liées à son usage.
L’enjeu est de réduire la zone dans laquelle personne ne sait quelle intelligence artificielle intervient, avec quelles données et pour quelles conséquences.
Cette logique correspond plus largement à notre manière d’aborder la gestion et la conception des projets numériques : commencer par comprendre les usages, les acteurs, les données et les risques avant de choisir ou d’intégrer une technologie.
Reprendre le contrôle avant d’ajouter de nouvelles règles
L’AI Act ajoute un cadre nécessaire à des usages qui évoluent très vite. Pour les entreprises, la difficulté ne réside pourtant pas seulement dans la lecture du règlement. Elle consiste d’abord à reprendre le contrôle sur des outils parfois adoptés plus rapidement qu’ils n’ont été évalués.
Recenser les systèmes utilisés, comprendre les données transmises, distinguer l’assistance de la décision et informer clairement les personnes concernées constituent déjà une base solide.
L’intelligence artificielle peut apporter de réels gains de temps et ouvrir de nouvelles possibilités. Elle reste toutefois un outil intégré dans une organisation humaine, avec des responsabilités qui ne peuvent pas être entièrement automatisées.
Si vous avez identifié un usage de l’IA sans savoir comment l’évaluer ou l’intégrer proprement dans vos outils, un premier échange avec Isatis Concept peut permettre de clarifier la situation et de déterminer les prochaines étapes utiles.