Réglementation européenne de l’intelligence artificielle

Réglementation européenne Intelligence Artificielle : Un générateur d’images intégré à une campagne, un assistant de rédaction connecté au CRM, un outil qui trie des CV ou un chatbot client : ces usages ne relèvent pas tous du même niveau de contrainte. La réglementation européenne de l’intelligence artificielle, portée par l’AI Act, oblige désormais les équipes produit, marketing, RH et développement à regarder au-delà de la qualité des prompts et du gain de temps.

Pour les professionnels français, l’enjeu n’est pas de devenir juriste. Il s’agit de savoir quand un outil IA crée une obligation, qui doit y répondre et comment conserver un workflow utile sans prendre de risque inutile. L’AI Act ne bloque pas l’innovation. Il rend certains usages plus documentés, plus transparents et plus contrôlables.

Ce que l’AI Act change concrètement

Entré en vigueur le 1er août 2024, le règlement européen sur l’IA s’applique par vagues. Les pratiques interdites et l’obligation de maîtrise de l’IA valent depuis le 2 février 2025, les règles applicables aux modèles à usage général depuis le 2 août 2025, et les obligations de transparence de l’article 50 depuis le 2 août 2026.

Le reste a bougé à l’été 2026. Le règlement (UE) 2026/1744 du 8 juillet 2026, dit « Digital Omnibus » et entré en vigueur le 27 juillet 2026, a reporté les obligations des systèmes à haut risque de l’annexe III — recrutement, éducation, crédit, biométrie — du 2 août 2026 au 2 décembre 2027, et celles des systèmes intégrés à des produits déjà réglementés au 2 août 2028. La réglementation européenne n’a pas changé de fond : elle a changé de calendrier. Notre article sur l’AI Act 2026 détaille échéance par échéance ce qui s’applique déjà.

La réglementation européenne fonctionne selon une logique de risque. Plus un système est susceptible d’affecter la sécurité, les droits fondamentaux ou l’accès d’une personne à une opportunité, plus les obligations sont élevées. Cette approche évite de traiter un outil de génération de slogans comme un logiciel qui évalue des candidats ou qui participe à une décision de crédit.

L’AI Act distingue notamment les pratiques interdites, les systèmes à haut risque, les systèmes soumis à des exigences de transparence et les usages présentant un risque limité. Pour une agence, un studio créatif ou une PME, la majorité des usages de l’IA générative se situent dans les deux dernières catégories. Mais cette apparente simplicité peut changer dès qu’un outil est utilisé pour recruter, noter, classer ou influencer une décision concernant une personne.

Les interdictions de la réglementation européenne sont déjà applicables depuis février 2025. Elles visent, entre autres, certaines formes de manipulation, le scoring social ou encore la reconnaissance des émotions dans des contextes sensibles comme l’école et le travail. Une fonctionnalité vendue comme anodine, par exemple l’analyse automatique de l’humeur d’un candidat en entretien vidéo, mérite donc une vigilance immédiate.

Réglementation européenne intelligence artificielle : qui est concerné ?

Face à la réglementation européenne, la première question à poser n’est pas seulement quel outil utilisez-vous, mais quel rôle jouez-vous. Un fournisseur développe ou met sur le marché un système IA. Un déployeur l’utilise dans son activité professionnelle. Un importateur, un distributeur ou un mandataire peut aussi avoir des responsabilités selon la chaîne de commercialisation.

Dans la pratique, une entreprise française qui utilise un modèle via une API ou une plateforme SaaS est souvent déployeur. Elle ne porte pas les mêmes obligations que l’éditeur du modèle. En revanche, elle reste responsable de son paramétrage, de ses données d’entrée, de la supervision humaine et de l’usage final. Reprendre sans contrôle la réponse d’un assistant dans un refus de candidature, une recommandation tarifaire ou un message adressé à un client n’est pas un simple détail opérationnel. Organiser cette responsabilité, données d’entrée comprises, relève de la gouvernance des données IA : nous en donnons la méthode en quatre questions.

Le cas se complexifie lorsque l’organisation modifie profondément un outil existant, le commercialise sous sa marque ou l’intègre dans une solution qui entre dans une catégorie à haut risque. Elle peut alors assumer tout ou partie des obligations d’un fournisseur. Pour un éditeur français qui construit un copilote métier, l’analyse réglementaire doit intervenir avant la mise en production, pas après le lancement commercial.

Les modèles d’IA à usage général, souvent appelés GPAI, font aussi l’objet d’un cadre spécifique. Les fournisseurs de ces modèles doivent fournir une documentation technique, respecter le droit d’auteur européen et publier un résumé suffisamment détaillé des contenus utilisés pour l’entraînement. Les modèles présentant un risque systémique sont soumis à des exigences supplémentaires de gestion des risques et d’évaluation. Pour les utilisateurs finaux, cela ne dispense pas d’examiner les conditions d’utilisation, la localisation des données et les garanties proposées par le prestataire.

Les usages qui demandent une vigilance renforcée

Au regard de la réglementation européenne, un outil n’est pas automatiquement à haut risque parce qu’il utilise du machine learning ou un grand modèle de langage. Son contexte d’utilisation compte autant que sa technologie. Générer des variantes d’annonces publicitaires, résumer un entretien ou produire un storyboard n’a pas le même impact que présélectionner des candidatures.

Les cas les plus sensibles concernent notamment l’emploi, l’éducation, l’accès à certains services essentiels, la justice, les migrations ou les infrastructures critiques. Dans ces domaines, un système à haut risque doit répondre à des exigences précises : gestion des risques, qualité des données, documentation, traçabilité, supervision humaine, précision, cybersécurité et suivi après mise sur le marché.

Pour les équipes RH, le point de bascule est souvent le suivant : l’IA assiste-t-elle un recruteur ou contribue-t-elle à une décision qui écarte, classe ou note une personne ? Un outil qui aide à rédiger une offre n’appelle pas le même traitement qu’un moteur de scoring de CV. Dans le doute, il faut documenter la finalité réelle, les personnes touchées et la possibilité d’un recours humain.

Les obligations de transparence concernent aussi les interfaces conversationnelles et les contenus synthétiques. Lorsqu’une personne échange avec un chatbot, elle doit pouvoir savoir qu’elle interagit avec une IA, sauf si cela est évident dans le contexte. Les contenus manipulés ou générés pour ressembler à des personnes ou à des événements réels, souvent qualifiés de deepfakes, doivent être signalés dans les conditions prévues par le règlement. Pour une marque, cette transparence protège autant la conformité que la confiance du public.

Construire un workflow conforme sans ralentir la production

Le bon réflexe consiste à intégrer une couche de gouvernance légère dans les usages déjà en place. Un registre des outils IA est un excellent point de départ. Il doit indiquer le nom de l’outil, sa finalité, les équipes utilisatrices, les données traitées, le fournisseur, la présence éventuelle d’une décision automatisée et le niveau de validation humaine.

Ensuite, séparez les données selon leur sensibilité. Copier des données clients, des contrats, des informations RH ou du code propriétaire dans une interface grand public peut créer un problème de confidentialité, même si l’outil n’est pas concerné par les règles les plus lourdes de l’AI Act. Le RGPD, le secret des affaires et les engagements contractuels continuent de s’appliquer. La réglementation européenne s’ajoute à ce cadre, elle ne le remplace pas.

La formation compte également. L’article 4 de l’AI Act, dans sa rédaction issue du règlement (UE) 2026/1744, demande aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser la maîtrise de l’IA chez les personnes qui utilisent leurs systèmes, en tenant compte de leur niveau et du contexte. Depuis juillet 2026, c’est une obligation de moyens : la réglementation européenne ne réclame aucun niveau individuel garanti, aucun diplôme, aucun organisme imposé. Cela ne signifie pas organiser un cours théorique annuel. Une formation utile explique les limites d’un modèle, les biais possibles, les données à ne pas saisir, les règles de validation et les situations nécessitant une escalade vers un responsable.

Pour un workflow éditorial, cela peut se traduire par une règle simple : l’IA produit une première version, un professionnel vérifie les faits, les sources, le ton de marque et les éventuelles affirmations sensibles avant publication. Pour un workflow de développement, on ajoute une revue de code, des tests de sécurité et un contrôle des licences. Pour la création visuelle, on documente l’outil employé, le niveau de retouche et les conditions de diffusion lorsque le contenu peut être confondu avec une image réelle.

Enfin, ne cherchez pas une conformité abstraite. Conservez les éléments qui prouvent vos choix : politique interne, fiches d’outils, instructions aux équipes, validations et incidents rencontrés. Cette documentation doit rester proportionnée. Une TPE qui utilise un assistant de réunion n’a pas besoin de reproduire le dispositif d’un fournisseur de logiciel médical. En revanche, elle doit pouvoir démontrer qu’elle a identifié les risques essentiels et encadré ses usages.

Ne pas confondre AI Act, RGPD et droit d’auteur

L’erreur fréquente consiste à réduire la conformité IA à la protection des données personnelles. Le RGPD encadre les données permettant d’identifier directement ou indirectement une personne. L’AI Act encadre plus largement les risques liés aux systèmes IA, y compris lorsque les données ne sont pas personnelles. Une génération d’image à partir d’un brief sans nom ni adresse peut donc poser des questions de droit d’auteur, de transparence ou de pratiques commerciales, sans relever forcément du RGPD.

Le droit d’auteur reste un sujet distinct. L’obligation imposée aux fournisseurs de modèles d’adopter une politique de respect du droit d’auteur ne donne pas carte blanche aux utilisateurs pour réemployer une image, une voix ou un texte produit par une IA. Les droits sur les données d’entrée, les conditions de licence de l’outil et le risque de reproduction d’éléments protégés doivent être examinés au cas par cas.

La réglementation européenne impose une direction claire : utiliser l’IA avec une intention explicite, une supervision adaptée et une traçabilité suffisante. Pour les équipes créatives et produit, le meilleur avantage compétitif ne sera pas d’automatiser sans limite, mais de concevoir des workflows où la vitesse de la machine renforce réellement le jugement humain.