AI Act européen pour les entreprises : ce qu'il faut savoir

AI Act européen pour entreprises : le guide complet pour comprendre et anticiper

L’intelligence artificielle transforme déjà le quotidien des entreprises. Automatisation, apprentissage automatique, analyse de données, reconnaissance faciale... Mais chaque nouvel usage soulève aussi des questions de gouvernance, de contrôle et de responsabilité. Afin d'établir un cadre juridique commun au sein de l’Union européenne, l’AI Act impose désormais des règles adaptées au niveau de risque de chaque système. PME, grandes entreprises, fournisseurs... De nombreux acteurs devront revoir leur politique interne et renforcer leur gestion des risques. Quelles obligations vous concernent ? Quel calendrier anticiper ? Et comment mettre votre organisation en conformité sans freiner son développement ? Voici un aperçu des mesures essentielles pour comprendre l’AI Act européen pour les entreprises et préparer votre plan d’action.

Qu'est-ce que l'AI Act européen et en quoi concerne-t-il les entreprises ?

Une réglementation européenne pionnière

Adopté en mai 2024 et entré en vigueur le 1er août 2024, le règlement européen sur l’IA constitue le premier cadre juridique complet consacré à l’intelligence artificielle. Fondé sur une approche par les risques, il classe les systèmes d’IA en plusieurs catégories et prévoit des règles adaptées à chaque niveau de risque. Cette réglementation vise à favoriser le développement d’une IA digne de confiance, tout en protégeant les droits fondamentaux des citoyens européens.

Les objectifs de cette loi sur l'IA

Le cadre réglementaire européen poursuit trois objectifs principaux afin d’encadrer le développement et l’utilisation de l’intelligence artificielle.

• Protéger les citoyens : le règlement prévoit des exigences strictes pour limiter les risques de discrimination et garantir une supervision humaine, notamment lorsque l’IA est utilisée dans des secteurs sensibles.

• Encourager une innovation responsable : les bacs à sable réglementaires permettent aux entreprises de tester leurs solutions dans un environnement encadré, avec l’accompagnement des autorités nationales compétentes.

• Harmoniser le marché européen : l’application de règles communes dans tous les États membres facilite le déploiement des outils d’IA au sein de l’Union européenne et renforce la compétitivité de ses acteurs.

Quelles sont les différentes catégories de systèmes d'IA et leur niveau de risque ?

Systèmes à risque inacceptable : interdiction totale

Depuis le 2 février 2025, certaines pratiques reposant sur l’IA sont interdites, car elles présentent une menace jugée inacceptable pour les droits et libertés des personnes. Sont notamment concernées certaines formes de notation sociale, l’exploitation des vulnérabilités liées à l’âge ou au handicap et, sauf exceptions strictement encadrées, l’identification biométrique à distance en temps réel dans les espaces publics à des fins répressives.

Les entreprises qui développent ou utilisent ces systèmes s’exposent aux sanctions les plus lourdes prévues par le règlement. Autrement dit, jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial. Ces interdictions fixent ainsi des limites claires afin de protéger les droits fondamentaux.

IA à haut risque : obligations strictes

Les systèmes d’IA à haut risque concernent plusieurs domaines sensibles recensés par l’annexe III. Il s’agit, par exemple, du recrutement, de l’éducation, des services essentiels ou de l’évaluation du crédit.

Ces systèmes sont soumis à des exigences strictes avant leur mise sur le marché ou leur utilisation dans l’Union européenne. Parmi ces exigences, la gestion des risques, la qualité des données et la supervision humaine occupent une place centrale. Les fournisseurs doivent aussi assurer la traçabilité du système et produire une documentation technique complète.

Les déployeurs, c’est-à-dire les organisations qui utilisent ces technologies, ont également des obligations. Ils doivent suivre les instructions d’utilisation, surveiller le fonctionnement du système et conserver certains journaux générés automatiquement. En cas de risque ou d’incident grave, ils doivent alerter les acteurs concernés et, si nécessaire, les autorités compétentes.

Le non-respect de certaines obligations peut entraîner une amende atteignant 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial. Une conformité rigoureuse limite ce risque et renforce la confiance de vos parties prenantes.

Systèmes à risque limité ou minimal

La grande majorité des systèmes d’IA utilisés dans les entreprises présentent un risque limité ou minimal. Ils sont donc soumis à des règles moins contraignantes.

Les systèmes à risque limité, comme les IA génératives, doivent surtout respecter des obligations de transparence. Par exemple, les utilisateurs d’un chatbot doivent être informés qu’ils interagissent avec une intelligence artificielle, sauf si cela est évident. Des règles d’information s’appliquent aussi à certains contenus générés ou manipulés par l’IA. C’est notamment le cas des hypertrucages, plus souvent appelés « deepfakes ».

Les entreprises peuvent néanmoins adopter volontairement des codes de bonnes pratiques. Les autres règles applicables, notamment le RGPD, doivent également être respectées. Ce cadre offre aux entreprises une réelle marge d’innovation, tout en favorisant des usages transparents et responsables.

Quelles sont les obligations clés des entreprises pour se conformer à l’AI Act ?

Vos obligations dépendent de votre rôle dans la chaîne de valeur. Le règlement distingue notamment les fournisseurs, les déployeurs, les importateurs et les distributeurs.

• Fournisseurs : ils conçoivent ou commercialisent des systèmes d’IA sous leur nom. Pour les systèmes à haut risque, ils doivent organiser une gestion continue des risques. Ils doivent aussi contrôler la qualité des données, assurer la traçabilité et produire une documentation technique complète.

• Importateurs : ils vérifient la conformité des systèmes provenant de pays situés hors de l’Union européenne. Ils doivent notamment contrôler le marquage CE, la documentation et l’identité du représentant autorisé.

• Distributeurs : ils s’assurent que les vérifications requises ont été réalisées avant de proposer un système sur le marché. Ils doivent aussi préserver sa conformité pendant le stockage et le transport.

• Déployeurs : ils utilisent des systèmes d’IA dans un cadre professionnel. Ils doivent suivre les instructions du fournisseur et garantir une supervision humaine adaptée. Ils surveillent aussi le fonctionnement des systèmes et conservent certains journaux d’activité.

Les fournisseurs et les déployeurs doivent également veiller à développer un niveau suffisant de maîtrise de l’IA au sein de leurs équipes. Une mise en conformité efficace suppose donc de clarifier votre rôle, vos responsabilités et celles de vos partenaires. Vos contrats doivent refléter précisément cette répartition.

L’impact de l’AI Act sur la propriété intellectuelle et le secret des affaires

L’AI Act ne refond pas les règles européennes de propriété intellectuelle. Il impose toutefois certaines obligations de transparence et de conformité aux fournisseurs de modèles GPAI. Ces derniers doivent notamment adopter une politique conforme au droit d’auteur européen. Ils doivent aussi publier un résumé suffisamment détaillé des contenus utilisés pour l’entraînement. Cette mesure facilite le contrôle par les titulaires de droits. Elle doit néanmoins préserver les secrets d’affaires et les informations commerciales confidentielles des fournisseurs.

Droits d’auteur et intervention humaine créative

Une production créée exclusivement par une intelligence artificielle ne bénéficie pas automatiquement de la protection accordée par le droit d’auteur. En Europe, une œuvre doit refléter des choix libres et créatifs réalisés par une personne. Une simple instruction générale donnée à un outil peut donc être insuffisante. En revanche, une intervention humaine substantielle peut renforcer la possibilité d’obtenir une protection. L’utilisateur peut, par exemple, définir la structure, sélectionner les éléments ou modifier précisément le résultat. Toutefois, il doit être en mesure de démontrer ses propres choix créatifs.

L’AI Act ne détermine pas personnellement qui détient les droits sur un contenu généré. Cette question dépend du droit applicable et des conditions d’utilisation de l’outil. Chaque entreprise doit donc mettre en place une gouvernance claire. Celle-ci peut préciser les usages autorisés, le niveau de contrôle humain et les règles de validation. Il est également utile de conserver les différentes versions du contenu. Les instructions, corrections et validations constituent un aperçu concret de l’intervention humaine.

Risques de contrefaçon et protection des contenus

Un contenu généré par l’IA peut reproduire des éléments protégés par le droit d’auteur. Le risque existe pour un texte, une image, un code informatique ou une création marketing. Avant toute publication, un contrôle humain reste donc nécessaire. L’entreprise peut notamment vérifier l’originalité du résultat et rechercher d’éventuelles ressemblances avec des œuvres existantes. Cette vigilance est essentielle avant une diffusion sur un site web ou les réseaux sociaux.

La protection du secret des affaires appelle la même vigilance. Les collaborateurs ne doivent pas saisir d’informations confidentielles dans un outil sans encadrement préalable. Cela concerne les projets de recherche, les données commerciales, les codes sources ou les futurs plans de développement. Une politique interne doit fixer les règles d’accès et les outils autorisés. Des mesures de cybersécurité peuvent également compléter ce dispositif. La limitation des accès et la traçabilité des usages réduisent le risque de divulgation.

Droit d’opposition au Text and Data Mining (TDM)

Le Text and Data Mining, ou TDM, désigne l’analyse automatique de textes et de données. Cette technique permet notamment d’identifier des tendances ou d’entraîner certains modèles d’IA. La directive européenne sur le droit d’auteur autorise le TDM sous certaines conditions. L’accès aux contenus doit être légal et les titulaires peuvent réserver leurs droits.

Le droit d’opposition n’est donc pas automatique. Les éditeurs et créateurs doivent mettre en place une mention adaptée pour l’exercer efficacement. Les fournisseurs de modèles GPAI doivent, de leur côté, identifier et respecter ces réserves de droits. Cette obligation s’applique aussi lorsque l’entraînement est réalisé hors de l’Union européenne.

Calendrier de mise en œuvre de l’AI Act : dates clés pour les entreprises

L’AI Act s’applique progressivement depuis son entrée en vigueur. Plusieurs échéances doivent donc être intégrées à votre plan de conformité.

Sanctions et amendes en cas de non-conformité à l’AI Act

Le non-respect de l’AI Act peut entraîner des sanctions administratives importantes. Leur montant dépend alors de la nature, de la gravité et de la durée du manquement. Le règlement prévoit trois principaux niveaux d’amendes :

• 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques d’IA interdites ;

• 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial pour le non-respect des autres obligations ;

• 7,5 millions d’euros ou 1 % du chiffre d’affaires annuel mondial en cas d’informations inexactes, incomplètes ou trompeuses.

Pour les grandes entreprises, le montant le plus élevé entre le plafond fixe et le pourcentage est retenu. Pour les PME, le montant le plus faible s’applique. Ces seuils sont des plafonds. Les autorités tiennent aussi compte du caractère intentionnel de l’infraction, de ses conséquences et des mesures correctives adoptées.

Attention, l'amende ne constitue pas le seul coût de la non-conformité. L’entreprise peut devoir suspendre un système, modifier ses processus ou renforcer ses contrôles. Une infraction peut aussi fragiliser la confiance des clients et des partenaires. Elle risque enfin de retarder un projet ou de compliquer le renouvellement de certains contrats.

Comment Docusign facilite-t-il votre mise en conformité ?

La conformité à l’AI Act repose notamment sur une documentation accessible et des responsabilités clairement définies. Docusign IAM vous aide à centraliser vos accords avec les fournisseurs et partenaires technologiques.

De son côté, Docusign Iris peut extraire des informations clés et transformer vos contrats en données structurées. Vous retrouvez ainsi plus facilement les clauses, les obligations et les échéances utiles à votre suivi.

Les workflows automatisés permettent aussi d’uniformiser les processus de création, de validation et de signature. Vous pouvez attribuer certaines obligations, programmer des alertes et conserver une meilleure visibilité sur vos engagements.

Docusign IAM ne garantit pas, à lui seul, votre conformité à l’AI Act. La plateforme vous aide toutefois à mieux documenter vos décisions et à renforcer la gouvernance de vos accords.

Préparez dès maintenant vos accords à l’ère de l’IA !

L’AI Act s’applique progressivement, avec de nouvelles échéances prévues jusqu’en 2028. Il est donc temps d’adapter vos pratiques contractuelles.

Commencez par auditer les contrats conclus avec vos fournisseurs de solutions d’IA. Vérifiez les responsabilités, les obligations d’information, les mesures de contrôle et la gestion des incidents. Cette démarche vous aidera à repérer les clauses manquantes et à mieux répartir les rôles. Vous pourrez aussi renforcer votre traçabilité avant un éventuel contrôle.

Docusign IAM centralise vos accords et facilite l’analyse de leurs données clés. Notre plateforme vous aide également à automatiser vos validations et à suivre vos principales échéances.

Vous gagnez ainsi en visibilité sur vos engagements tout au long du cycle contractuel. Découvrez comment Docusign IAM peut moderniser la gestion de vos accords.

Questions fréquentes

Qu'est-ce que l'AI Act européen en résumé ?

L'AI Act est le premier règlement mondial contraignant consacré à l'intelligence artificielle, adopté par l'Union européenne pour établir un cadre clair encadrant la conception, la mise en place et l'usage des systèmes d'IA. Ce texte de loi européenne classe les systèmes d'IA selon leur niveau de risque et impose des obligations proportionnées aux fournisseurs de modèles comme aux entreprises utilisatrices, avec un impact significatif sur de nombreux secteurs.

Quelles sont les différences entre l’AI Act de l’UE et la convention-cadre sur l’IA du Conseil de l’Europe ?

L’AI Act est un règlement directement applicable dans l’UE. Il encadre la mise sur le marché et l’usage des systèmes d’IA selon leur niveau de risque. Il fixe aussi des obligations techniques, une gouvernance et des sanctions précises.

La convention-cadre du Conseil de l’Europe s’ouvre dans un nouvel onglet est un traité international. Son objectif principal est de protéger les droits humains, la démocratie et l’État de droit. Chaque État partie doit mettre en œuvre ses principes dans son droit national.

Les deux textes sont donc complémentaires. L’AI Act établit des règles opérationnelles pour le marché européen. La convention propose un cadre général pouvant être adopté au-delà de l’Union européenne.

Comment l’AI Act régule-t-il l’IA générative en entreprise ?

Les fournisseurs de modèles GPAI doivent produire une documentation technique. Ils doivent aussi publier un résumé des contenus utilisés pour l’entraînement et respecter le droit d’auteur européen. Des exigences supplémentaires concernent les modèles présentant un risque systémique. Elles portent notamment sur l’évaluation des risques, la sécurité, les tests et le signalement des incidents graves.

Les systèmes génératifs sont aussi soumis à des obligations de transparence. Les utilisateurs doivent être informés lorsqu’ils interagissent avec une IA. Certains contenus artificiels ou manipulés doivent également être signalés ou marqués dans un format lisible par machine.

À quelles entreprises s'applique la loi européenne sur l'IA ?

Le règlement s'applique à toute organisation qui développe, commercialise ou déploie des systèmes d'IA sur le marché européen, qu'elle soit établie dans l'Union européenne ou en dehors. Les fournisseurs de modèles, les importateurs, les distributeurs et les entreprises utilisatrices sont tous concernés. Les moyennes entreprises et les cabinets d'avocats ne sont pas exemptés, dès lors que leurs produits ou services ont un impact sur des personnes physiques situées en Europe.

Que sont les bacs à sable réglementaires prévus par l’AI Act et comment peuvent-ils aider les entreprises ?

Les bacs à sable réglementaires sont des environnements contrôlés par les autorités compétentes. Ils permettent de développer, tester et valider un système d’IA avant sa mise sur le marché. L’entreprise bénéficie d’un accompagnement pour mieux comprendre les exigences réglementaires. Elle peut ainsi repérer plus tôt les risques et préparer sa mise en conformité. Des essais en conditions réelles peuvent aussi être autorisés sous certaines garanties. Ils restent limités dans le temps et doivent respecter les droits des personnes concernées.

Quels systèmes d'IA sont interdits par l'AI Act ?

L’AI Act interdit certaines pratiques présentant un risque inacceptable. Sont notamment concernées certaines techniques de manipulation, l’exploitation préjudiciable de vulnérabilités et certaines formes de notation sociale. L’identification biométrique à distance en temps réel dans les espaces publics à des fins répressives est également interdite, sauf exceptions strictement encadrées. La portée de chaque interdiction dépend des conditions précises définies par le règlement.

Quelles sont les sanctions prévues en cas de non-conformité ?

Le non-respect de l'AI Act expose les entreprises à des amendes. Les violations les plus graves, notamment l'utilisation de systèmes d'IA interdits, peuvent entraîner des pénalités allant jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel. Pour les manquements aux obligations générales, les amendes atteignent 15 millions d'euros ou 3 % du chiffre d'affaires.

Quelles sont les grandes échéances de l'AI Act en 2026 ?

Depuis le 2 août 2026, la majorité des dispositions de l’AI Act sont devenues applicables. Les autorités disposent désormais de pouvoirs de contrôle et de sanction. Les obligations de transparence concernant certains contenus générés ou manipulés par l’IA s’appliquent également depuis cette date.

Comment préparer concrètement sa conformité à l'AI Act ?

La première étape consiste à cartographier tous les systèmes d'IA utilisés au sein de l'organisation afin de les classer par niveau de risque. Une fois cette cartographie établie, il faut vérifier que chaque outil respecte les exigences de protection des données et de transparence. Faire appel à des cabinets d'avocats spécialisés permet d'accélérer cette mise en conformité, notamment pour les entreprises dont les produits touchent à des domaines sensibles.