Le règlement IA de l'UE expliqué aux non-juristes : un guide pratique pour agir maintenant

Depuis août 2026, les premières obligations contraignantes de l'AI Act sont actives : l'interdiction de certaines pratiques à haut risque (manipulation subliminale, notation sociale généralisée) s'applique depuis février 2025, et les règles sur les systèmes à risque élevé entrent en vigueur par vagues jusqu'en août 2027. Les amendes peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les violations les plus graves. La question n'est donc plus "faut-il s'y préparer ?" mais "par où commencer sans un cabinet d'avocats à plein temps ?"

Ce guide s'adresse aux directeurs métier, aux chefs de produit, aux responsables RH ou finance qui utilisent ou achètent des outils d'IA, et qui doivent prendre des décisions sans forcément mamaUsing software to automate repetitive marketing tasks and campaigns, enabling personalisation at scale across channels like email, web, and social.Voir la définition complète →îtriser le droit européen.

Comprendre la logique du texte en quinze minutes

L'AI Act classe les systèmes d'IA en quatre niveaux de risque. Ce classement détermine presque tout.

Risque inacceptable : interdit pur et simple. Exemples concrets : un outil qui exploite les vulnérabilités psychologiques d'un individu pour modifier son comportement, ou un système de crcrThe percentage of visitors or prospects who complete a desired action (purchase, sign-up, contact form), calculated as conversions divided by total opportunities.Voir la définition complète →édit social à l'échelle d'une population. Si un fournisseur vous propose quelque chose qui ressemble à cela, le contrat ne vous protège pas.

Risque élevé : autorisé mais encadré strictement. Cette catégorie est longue et touche des secteurs précis : recrutement et évaluation des salariés, octroi de crédit, décisions médicales, contrôle aux frontières, administration de la justice. Si vous utilisez un ATS (applicant tracking system) alimenté par de l'IA pour trier des CV, vous êtes probablement dans cette catégorie.

Risque limité : obligations de transparence légères. Les chatbots doivent s'identifier comme tels. Les deepfakes doivent être étiquetés.

Risque minimal : quasi pas de contraintes. Les filtres anti-spam ou les moteurs de recommandation de contenu entrent généralement ici.

La distinction entre fournisseur (celui qui développe le système) et déployeur (celui qui l'utilise dans son organisation) est centrale. Si votre entreprise achète un outil RH à Workday ou à Oracle, Workday et Oracle sont fournisseurs. Vous êtes déployeur. Les obligations diffèrent, mais le déployeur n'est pas exempt : vous devez former vos équipes, surveiller l'usage, et conserver certains journaux d'activité.

Le playbook en cinq étapes

Étape 1 : cartographier vos usages IA

Listez tous les outils qui prennent des décisions ou produisent des recommandations qui affectent des personnes physiques. Pas seulement les projets internes, aussi les abonnements SaaS signés par les équipes métier sans passer par la DSI. Un tableau simple suffit : outil, fournisseur, usage, population concernée (clients, salariés, tiers), décision produite.

Cette cartographie prend deux à trois jours si vous impliquez un référent par département. Sans elle, vous ne pouvez pas faire le reste.

Étape 2 : classer chaque outil par niveau de risque

Pour chaque outil de votre liste, posez deux questions. La décision produite affecte-t-elle l'accès à un emploi, à un crédit, à un soin ou à un service public ? Si oui, risque élevé probable. Le système agit-il sur des personnes sans qu'elles le sachent ? Si oui, vérifiez si vous tombez dans les pratiques interdites.

L'annexe III du règlement liste les cas de risque élevé avec une précision suffisante pour qu'un non-juriste s'y retrouve. Elle est disponible en français sur EUR-Lex, gratuitement.

Étape 3 : auditer vos contrats fournisseurs

Pour chaque outil classé à risque élevé, relisez les conditions générales ou le contrat de service. Cherchez ces quatre points : le fournisseur affirme-t-il la conformité à l'AI Act ? Vous fournit-il une documentation technique et des logs exploitables ? Y a-t-il une clause d'indemnisation si son système non conforme vous expose à une sanction ? Vous donne-t-il accès à un mécanisme de réclamation humain ?

Si un fournisseur ne peut pas répondre à ces questions d'ici la fin 2026, c'est un signal d'alerte. Les grands éditeurs comme SAP, Salesforce ou Microsoft ont publié des engagements de conformité AI Act sur leurs sites officiels. Ces déclarations viennent des éditeurs eux-mêmes, elles méritent d'être croisées avec les certifications indépendantes quand elles existent.

Étape 4 : mettre en place la gouvernance minimale

Pour les systèmes à risque élevé, l'AI Act exige une supervision humaine effective. Cela signifie qu'un algorithme de tri de candidatures ne peut pas décider seul : un humain doit pouvoir comprendre la recommandation, la contester et l'invalider. Organisez cela concrètement dans vos processus, pas seulement sur le papier.

Désignez un référent IA par domaine métier. Ce n'est pas un poste à plein temps dans une PME, mais quelqu'un doit être responsable de tenir à jour la cartographie et de signaler les dérives.

Étape 5 : former les équipes qui utilisent ces outils

Le règlement mentionne explicitement l'obligation de formation des utilisateurs pour les systèmes à risque élevé. Une formation d'une heure sur "ce que fait cet outil, ce qu'il ne fait pas, et quand ne pas lui faire confiance" est une base raisonnable. Le contenu doit être spécifique à l'outil, pas une présentation générale sur l'IA.

Les erreurs qui coûtent cher

Confondre fournisseur et déployeur pour reporter toute responsabilité. Si votre usage d'un outil RH provoque une discrimination à l'embauche, l'argument "c'est la faute du logiciel" ne suffit pas. Le déployeur a des obligations propres.

Attendre la certification pour agir. Il n'existe pas encore de schéma de certification officiel et universel pour tous les cas. Construire vos processus en attendant un tampon externe, c'est prendre du retard réglementaire.

Traiter l'AI Act comme un projet juridique isolé. Si seul le service juridique porte le sujet, les équipes produit et RH continueront d'acheter des outils sans évaluation de risque. La conformité se pilote depuis les métiers, pas depuis le service juridique uniquement.

Sous-estimer les obligations de transparence envers les individus. Si un salarié vous demande comment l'IA a contribué à une décision qui le concerne (promotion refusée, évaluation de performance), vous devez pouvoir