Guide AI Act : conformité des entreprises françaises au droit de l'intelligence artificielle

Pourquoi le droit de l'intelligence artificielle concerne désormais toutes les entreprises

Le règlement (UE) 2024/1689 — communément appelé AI Act — est entré en vigueur le 1er août 2024. Il instaure le premier cadre juridique horizontal du droit de l'intelligence artificielle au niveau mondial. Contrairement à une idée répandue, il ne s'applique pas qu'aux géants de la tech : toute entreprise qui développe, intègre, distribue ou utilise un système d'IA sur le marché européen est concernée, y compris les PME, ETI et startups françaises.

L'enjeu pour le dirigeant n'est plus théorique. Les premières obligations sont applicables depuis le 2 février 2025 (interdictions et obligations de littératie IA), le régime des modèles d'IA à usage général s'applique depuis le 2 août 2025, et le bloc principal — systèmes à haut risque — devient pleinement opposable le 2 août 2026, puis le 2 août 2027 pour certains produits régulés.

L'approche par les risques : la grille de lecture à connaître

L'AI Act classe les systèmes d'IA en quatre niveaux, qui déterminent l'intensité des obligations.

1. Pratiques d'IA interdites (article 5)

Sont prohibées depuis le 2 février 2025, notamment :

• les techniques subliminales ou manipulatrices exploitant la vulnérabilité d'une personne,
• la notation sociale par les autorités publiques,
• la police prédictive fondée uniquement sur le profilage,
• l'identification biométrique à distance en temps réel dans l'espace public (sauf exceptions strictement encadrées),
• le scraping non ciblé d'images faciales pour constituer des bases de reconnaissance,
• la reconnaissance d'émotions au travail et en milieu scolaire.

Une entreprise qui intègre dans son SI une solution comportant l'une de ces fonctions s'expose à des sanctions immédiates.

2. Systèmes d'IA à haut risque (annexe III)

C'est le cœur du dispositif. Sont visés les systèmes utilisés pour :

• le recrutement et la gestion RH (tri de CV, évaluation de la performance),
• l'accès aux services essentiels (crédit, assurance, services publics),
• l'éducation et la formation professionnelle,
• la sécurité des produits réglementés,
• la justice, la sécurité, les infrastructures critiques.

Les obligations sont lourdes : système de gestion des risques, gouvernance des données d'entraînement, documentation technique, journalisation, transparence, supervision humaine, robustesse et cybersécurité, marquage CE, déclaration UE de conformité, enregistrement dans la base européenne.

3. Systèmes à risque limité (obligations de transparence)

Chatbots, agents conversationnels, deepfakes, systèmes de reconnaissance d'émotions ou de catégorisation biométrique : l'utilisateur doit être informé qu'il interagit avec une IA ou que le contenu est généré artificiellement. Les contenus de synthèse doivent être marqués de manière lisible par machine.

4. Risque minimal

Filtres anti-spam, IA dans les jeux vidéo : aucune obligation spécifique, mais l'adhésion volontaire à des codes de conduite est encouragée.

Modèles d'IA à usage général (GPAI) : un régime distinct

Depuis le 2 août 2025, les fournisseurs de modèles d'IA à usage général (LLM, modèles fondationnels) doivent publier une documentation technique, un résumé des données d'entraînement et respecter le droit d'auteur de l'Union. Les modèles présentant un risque systémique (puissance de calcul d'entraînement supérieure à 10^25 FLOPs) subissent un régime renforcé : évaluation des risques, tests adversariaux, reporting des incidents graves, cybersécurité.

Pour les entreprises françaises déployeuses de ces modèles (intégration d'une API GPT, Claude, Mistral, Gemini dans un produit), la responsabilité dépend de l'usage : la simple intégration ne fait pas du déployeur un fournisseur, mais une modification substantielle ou un rebranding peut basculer la qualification — et donc les obligations.

Articulation avec le RGPD : un cumul, pas un choix

L'AI Act ne remplace pas le RGPD : il s'y superpose. Tout système d'IA qui traite des données personnelles reste soumis au règlement (UE) 2016/679. En pratique, le DPO et le responsable conformité IA doivent travailler de concert :

• analyse d'impact RGPD (AIPD) ET évaluation des risques AI Act,
• base légale du traitement ET conformité à l'annexe III,
• droits des personnes (article 22 RGPD sur la décision automatisée) ET obligation de supervision humaine,
• registre des traitements ET enregistrement dans la base européenne IA.

Sanctions : des montants alignés sur le RGPD

L'AI Act prévoit trois plafonds :

• jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites,
• jusqu'à 15 M€ ou 3 % pour les manquements aux obligations des systèmes à haut risque et GPAI,
• jusqu'à 7,5 M€ ou 1 % pour la fourniture d'informations inexactes aux autorités.

Pour les PME et startups, les plafonds sont appliqués au montant le moins élevé entre la somme fixe et le pourcentage du CA, ce qui constitue un correctif de proportionnalité bienvenu.

Plan de mise en conformité : six étapes pratiques pour les entreprises françaises

Étape 1 — Cartographier les usages d'IA

Recenser tous les systèmes d'IA développés en interne ou utilisés via fournisseur. Inclure les outils SaaS dont une fonctionnalité IA est activée (CRM, ATS, outils marketing). La quasi-totalité des entreprises sous-estime ce périmètre.

Étape 2 — Qualifier chaque système

Pour chaque cas d'usage, déterminer le niveau de risque (interdit, haut risque, transparence, minimal) et le rôle de l'entreprise (fournisseur, déployeur, distributeur, importateur).

Étape 3 — Former les équipes (obligation de littératie IA — article 4)

Depuis le 2 février 2025, toute entreprise utilisant un système d'IA doit s'assurer que ses collaborateurs disposent d'un niveau suffisant de connaissance. Cette obligation est sous-estimée : elle vise toutes les entreprises, pas seulement celles qui déploient du haut risque.

Étape 4 — Mettre à jour les contrats

Clauses IA dans les contrats fournisseurs (allocation des responsabilités fournisseur/déployeur, garanties de conformité, audits), conditions générales d'utilisation des produits intégrant de l'IA, mentions de transparence dans les interfaces utilisateurs, clauses RH dans les contrats de travail si l'IA est utilisée pour évaluer la performance.

Étape 5 — Structurer la gouvernance interne

Désigner un référent IA, mettre en place une politique d'usage interne, articuler avec la fonction DPO, prévoir un comité de revue des nouveaux cas d'usage avant déploiement.

Étape 6 — Préparer la documentation technique

Pour les systèmes à haut risque : documentation conforme à l'annexe IV, système de gestion de la qualité, procédures d'évaluation de la conformité, plan de surveillance post-marché.

Le rôle de l'avocat dans la mise en conformité

L'AI Act mobilise plusieurs branches du droit : droit des contrats, droit du numérique, droit du travail, droit de la consommation, droit de la responsabilité. L'intervention d'un avocat permet de :

• arbitrer les qualifications juridiques sensibles (fournisseur vs déployeur, haut risque vs transparence),
• rédiger et négocier les clauses IA dans les contrats commerciaux,
• sécuriser les politiques internes et l'information des salariés,
• préparer les réponses aux contrôles des autorités nationales (en France, la CNIL est désignée autorité de surveillance pour la plupart des systèmes),
• défendre l'entreprise en cas de mise en cause.

Conclusion

Le droit de l'intelligence artificielle n'est plus une perspective : il est devenu un cadre opposable, avec un calendrier court et des sanctions significatives. Pour les PME et startups françaises, la fenêtre 2025–2026 est décisive pour structurer une conformité proportionnée, documentée et défendable. Anticiper coûte moins cher que régulariser.

Le cabinet accompagne les dirigeants et CTO dans la cartographie de leurs usages d'IA, la rédaction des clauses contractuelles, la formation à l'obligation de littératie et la préparation aux contrôles. Pour un premier échange sur votre situation, prenez rendez-vous ou contactez le cabinet.