EU AI Act (règlement européen sur l’intelligence artificielle)

Définition

L’EU AI Act (règlement européen 2024/1689 sur l’intelligence artificielle) est le premier cadre juridique général encadrant les systèmes d’IA selon leur niveau de risque : pratiques interdites, systèmes à haut risque fortement encadrés, obligations de transparence pour les autres. Entré en vigueur le 1er août 2024, il s’applique par paliers, avec l’essentiel des obligations pour les systèmes à haut risque à partir d’août 2026.

Enjeux et pratique

Pour les entreprises qui achètent ou intègrent de l’IA sans en développer, l’EU AI Act est d’abord un sujet contractuel. Le règlement répartit les obligations entre fournisseurs et déployeurs de systèmes d’IA : le déployeur (l’entreprise utilisatrice) doit notamment utiliser le système conformément à sa notice, assurer une surveillance humaine et vérifier la qualité des données qu’il maîtrise. Sa capacité à tenir ces obligations dépend des engagements obtenus de son fournisseur.

Concrètement, trois chantiers contractuels s’imposent. L’inventaire : identifier dans le parc fournisseurs les contrats qui embarquent de l’IA, y compris lorsque l’IA est arrivée par mise à jour d’un logiciel existant, sans renégociation. La qualification : déterminer pour chaque cas le niveau de risque au sens du règlement et la répartition des rôles (fournisseur, déployeur, importateur). La contractualisation : intégrer aux contrats les clauses qui rendent la conformité possible : documentation technique, information sur les capacités et limites du système, notification des incidents, coopération en cas de contrôle, et répartition des responsabilités en cas de sanction.

Le risque le plus répandu n’est pas la sanction directe, mais l’engagement aveugle : des dizaines de contrats SaaS qui intègrent désormais des fonctions d’IA, signés ou reconduits sans que personne n’ait évalué ce que l’entreprise s’engage à assumer. Là encore, la conformité commence par la connaissance de son propre parc contractuel.

Exemple concret

Une DRH utilise depuis deux ans un logiciel de tri de candidatures. Une mise à jour de l’éditeur y ajoute un scoring par IA, ce qui en fait un système à haut risque au sens du règlement (recrutement). Le contrat initial ne prévoit ni documentation, ni garantie de conformité, ni clause d’audit. L’entreprise doit renégocier ou désactiver la fonction avant l’échéance d’août 2026.

Question fréquente

L’EU AI Act s’applique-t-il aux entreprises qui ne font qu’utiliser de l’IA ?

Oui. L’utilisateur professionnel (déployeur) a ses propres obligations, surtout pour les systèmes à haut risque : surveillance humaine, usage conforme, information des personnes concernées. Il ne peut pas se reposer entièrement sur son fournisseur, mais il doit s’appuyer sur des engagements contractuels solides.