L'AI Act expliqué simplement : ce qui te concerne

Une gérante de magasin de bricolage utilise un chatbot pour rédiger ses fiches produits, un autre sur son site pour répondre aux questions des clients, et elle vient de tester un outil qui trie les CV reçus. Elle a entendu dire que « l'Europe a voté une loi sur l'IA » et se demande si elle est en faute. Elle ne l'est probablement pas, mais l'un de ces trois usages mérite plus d'attention que les deux autres.

Cet article donne le cadre général du règlement européen sur l'IA, souvent appelé AI Act. Il ne remplace ni le texte, ni un conseil juridique. Une partie du calendrier a été modifiée par des textes plus récents : vérifie toujours les dates sur les sites officiels avant de prendre une décision.

Ce que c'est, en trois lignes

Le règlement (UE) 2024/1689 est une loi européenne qui encadre la mise sur le marché et l'utilisation des systèmes d'IA. Son principe est simple : plus l'usage est risqué pour les personnes, plus les obligations sont fortes. Il ne cherche pas à encadrer le fonctionnement interne de chaque modèle, mais ce que l'on en fait.

Il distingue deux rôles qui comptent pour toi :

• Le fournisseur développe un système d'IA ou le met sur le marché sous son nom : une entreprise qui construit un chatbot, ou un éditeur qui vend un logiciel de tri de CV.
• Le déployeur utilise un système d'IA dans un cadre professionnel. La gérante de bricolage qui branche un chatbot sur son site est déployeuse.

Un usage strictement personnel et non professionnel ne relève pas de la loi. Si tu utilises un chatbot pour t'aider à rédiger une lettre à ton propriétaire, tu n'as aucune démarche à faire.

Quatre niveaux de risque

La plupart des usages décrits dans notre blog relèvent de la dernière ligne ou de la ligne « transparence ». Les interdictions s'appliquent depuis février 2025. Pour le reste, les dates d'application sont échelonnées et ont été retouchées par des textes ultérieurs, notamment pour les systèmes à haut risque : consulte le calendrier à jour sur le site de la Commission européenne ou de la CNIL.

Ce qui te concerne si tu es un professionnel

Savoir ce que tu fais avec l'IA

Le règlement demande aux entreprises qui utilisent l'IA de prendre des mesures pour que leurs équipes la comprennent suffisamment, selon leur rôle. La rédaction exacte de cette obligation a évolué, mais le principe reste de former les gens qui s'en servent. Concrètement, une petite structure peut commencer par une page interne : quels outils sont autorisés, quelles données on n'y met jamais (voir ce qu'il vaut mieux ne jamais coller), qui vérifie les résultats. Les erreurs de débutant fournissent une base de discussion.

Informer quand c'est nécessaire

Si ton site propose un chatbot, les personnes qui l'utilisent doivent savoir qu'elles parlent à une IA, sauf si c'est évident. Un contenu qui imite des personnes ou des événements réels (image, vidéo, audio) doit être signalé comme généré ou modifié, avec des exceptions, par exemple pour les œuvres artistiques ou satiriques où la mention peut être discrète. Un texte d'intérêt public publié pour informer peut aussi être concerné. Pour les images, lis aussi l'usage commercial des images IA.

Faire attention aux usages à haut risque

Trier des CV, noter des candidats, évaluer des salariés, décider de l'accès à un crédit ou à une formation : ces usages tombent dans la catégorie haut risque. Si tu es déployeur, tu dois notamment suivre les instructions du fournisseur, garder une supervision humaine réelle et informer les personnes concernées. Si tu envisages un tel outil, exige de ton fournisseur ce qu'il doit te fournir, et fais valider l'usage par un juriste ou un délégué à la protection des données. Le RGPD s'applique en plus. Notre article sur les biais de l'IA montre pourquoi ce domaine est sensible.

Faire l'inventaire de tes usages

La première étape pratique est de savoir ce que vous faites avec l'IA. Voici un prompt pour dresser cette liste avec les personnes de l'équipe, qui servira de base à une discussion avec un juriste. L'IA n'est pas un conseiller juridique : ce qu'elle classe est une hypothèse à vérifier.

Je dirige un magasin de bricolage de 12 salariés. Voici la liste des usages de l'IA dans notre entreprise :

1. [USAGE 1, EX. : RÉDACTION DES FICHES PRODUITS AVEC UN CHATBOT GRAND PUBLIC]
2. [USAGE 2, EX. : CHATBOT DE RÉPONSE AUX CLIENTS SUR LE SITE]
3. [USAGE 3, EX. : OUTIL DE TRI DES CV REÇUS]

Pour chaque usage, remplis un tableau : usage, mon rôle (fournisseur ou déployeur), niveau de risque probable selon le règlement européen sur l'IA (interdit, haut risque, transparence, minimal), obligation possible, question à poser à un juriste.
Ne cite aucun article ni aucune date précise : pour ces points, indique « à vérifier dans le texte à jour ». Si un usage est trop flou pour être classé, pose-moi la question au lieu de deviner.

Garde la dernière consigne : le calendrier a changé plusieurs fois, et l'IA a tendance à citer des dates anciennes avec assurance. Vérifie chaque réponse dans le texte officiel ou auprès d'un professionnel.

Ce que tu n'as pas à faire

Tu n'as pas à auditer le modèle derrière ChatGPT, Claude ou Mistral : les obligations qui pèsent sur les concepteurs de modèles généraux leur reviennent, pas à leurs utilisateurs. Tu n'as pas non plus à tout interrompre : la grande majorité des usages d'écriture, de synthèse ou de recherche d'idées relèvent du risque minimal.

Tu as en revanche à savoir ce que tu utilises, à former les personnes qui s'en servent et à ne pas confier à une IA une décision qui concerne la vie professionnelle ou financière d'une personne sans contrôle humain.

Pour cette semaine

Dresse la liste de tous les outils d'IA que ton équipe utilise, y compris ceux que les salariés ont ouverts de leur propre initiative : demande-leur directement. Passe-la dans le prompt ci-dessus, puis soumets les usages classés « haut risque » ou « transparence » à ton juriste ou à ton délégué à la protection des données, avec la date du jour sur ta liste.