Le règlement (UE) 2024/1689 sur l'intelligence artificielle est entré en vigueur en 2024. Il s'applique à un champ très large : fournisseurs d'algorithmes mis sur le marché européen, mais aussi déployeurs, c'est-à-dire toute entreprise qui intègre ou utilise un système d'IA dans ses produits ou services.

Contrairement au RGPD, il vise directement les fabricants de systèmes d'IA, même s'ils ne traitent pas eux-mêmes de données personnelles.

Si vous utilisez un outil d'IA dans votre activité (même un outil tiers qu'il s'agisse d'une IA généraliste ou spécifique) vous êtes probablement concerné.

Les risques sont multiples et cumulatifs. Sur le plan administratif, des amendes peuvent être prononcées par les autorités de contrôle compétentes, dont la CNIL. Sur le plan civil, votre entreprise s'expose à des actions en dommages-intérêts si un dommage est causé par un système d'IA non conforme. Sur le plan pénal, la responsabilité des dirigeants peut être engagée. Sans compter l'atteinte à la réputation, difficile à chiffrer mais souvent plus coûteuse que la sanction elle-même.

À l'inverse, des frais juridiques importants peuvent être engagés inutilement si votre entreprise n'est en réalité pas soumise à l'AI Act ce qui arrive trop fréquemment faute de qualification juridique préalable.

La première étape est donc toujours d'évaluer précisément si votre système entre dans le périmètre du règlement, et dans quelle catégorie de risque il se situe.

Un consultant peut vous aider sur les aspects organisationnels et techniques de la conformité. Seul un avocat peut qualifier juridiquement votre situation, engager sa responsabilité sur une analyse de risque, rédiger des contrats opposables, vous représenter en cas de contrôle ou de contentieux.

Pour toutes ces missions, il vous garantie également la confidentialité de vos échanges sous le sceau du secret professionnel.

Dans un domaine aussi évolutif que l'IA, cette sécurité juridique est déterminante.

C'est l'une des distinctions fondamentales de l'AI Act, et elle conditionne l'étendue de vos obligations.

Le fournisseur est celui qui conçoit et met sur le marché le système d'IA : il supporte les obligations les plus lourdes (notamment la conformité, robustesse, sécurité, transparence, évaluation des risques, documentation technique).

Le déployeur est celui qui intègre ou utilise ce système dans ses produits ou services : il est tenu de respecter les instructions d'utilisation, d'en faire un usage conforme, et de gérer les dommages liés à une utilisation inappropriée.

Cette distinction est décisive pour deux raisons. D'abord, une entreprise peut être simultanément fournisseur et déployeur selon les systèmes qu'elle utilise. Ensuite, un contrat mal rédigé entre fournisseur et déployeur peut laisser des zones grises sur la responsabilité en cas de défaillance ou de dommage causé par le système avec des conséquences potentiellement très lourdes pour les deux parties.

Votre avocat structure cette répartition contractuellement : matrice des risques, clauses d'indemnisation, recours en garantie du déployeur contre le fournisseur en cas de non-conformité.

L'AI Act établit une classification fondée sur les risques. Sont notamment qualifiés à haut risque les systèmes utilisés dans les secteurs de la justice, de la santé, des ressources humaines, de l'éducation, des infrastructures critiques ou du contrôle aux frontières.

Si votre outil entre dans l'une de ces catégories, des obligations renforcées s'appliquent (évaluation de conformité, documentation technique, registre, supervision humaine).

Votre avocat peut vous aider à qualifier votre système et à identifier les obligations qui s'y rattachent.

Oui, potentiellement. L'AI Act ne vise pas uniquement ceux qui développent des systèmes d'IA : il s'applique aussi aux déployeurs, c'est-à-dire à toute entreprise qui intègre ou utilise un système d'IA dans ses produits ou services — même un outil tiers.

Mais au-delà de la question réglementaire, l'utilisation d'outils d'IA grand public dans un contexte professionnel pose un risque souvent sous-estimé : celui de la confidentialité. Envoyer des données sensibles vers une IA généraliste non maîtrisée, stocker des documents sur des clouds non adaptés, ou confier des informations couvertes par le secret professionnel à un outil grand public peut exposer votre entreprise à des violations graves.

Il est recommandé de mettre en place une politique interne encadrant les usages de l'IA (chartes, clauses de confidentialité avec les prestataires, procédures d'anonymisation) avant même de s'interroger sur l'applicabilité formelle de l'AI Act.