Conformité IA et AI Act – obligations pour les entreprises

L’AI Act distingue notamment selon le rôle de l’entreprise et le niveau de risque du système d’intelligence artificielle concerné. Une entreprise peut notamment être considérée comme fournisseur ou déployeur d’un système d’IA. Les obligations applicables peuvent ainsi varier selon le système utilisé et son usage.

Certaines règles sont déjà applicables, notamment l’interdiction de certaines pratiques d’IA et les obligations relatives à la maîtrise de l’intelligence artificielle au sein de l’entreprise. Depuis le 2 août 2026, des obligations de transparence s’appliquent également à certains systèmes d’IA et à certains contenus générés ou manipulés par l’IA. Les systèmes d’IA à haut risque sont soumis à des obligations spécifiques dont l’entrée en application dépend de leur catégorie.

Nos avocats en compliance analysent le rôle de votre entreprise au regard de l’AI Act et déterminent les obligations applicables aux systèmes d’IA utilisés.

L’AI Act repose sur une approche fondée sur les risques. De nombreux outils d’intelligence artificielle utilisés dans les entreprises ne sont soumis à aucune exigence particulière au titre des règles applicables aux systèmes à haut risque. Certaines applications sont toutefois interdites ou soumises à des obligations renforcées.

Une attention particulière doit notamment être portée aux usages de l’IA dans le domaine des ressources humaines. Certains systèmes destinés au recrutement, à l’évaluation ou à la gestion des salariés peuvent relever de la catégorie des systèmes d’IA à haut risque. Certaines pratiques, comme certaines formes de reconnaissance des émotions sur le lieu de travail, sont par ailleurs interdites.

Les entreprises devraient donc commencer par identifier les outils d’IA utilisés, leur finalité et les personnes concernées, avant de procéder à une évaluation juridique des risques.

Nos avocats vous accompagnent dans la classification des systèmes d’IA et dans l’analyse des usages autorisés. Pour les questions relatives à l’utilisation de l’IA dans les relations de travail, consultez également notre page Human Resources.

Les outils d’intelligence artificielle générative, les logiciels de traduction, les outils d’analyse ou les assistants automatisés sont désormais couramment utilisés par les salariés. Les entreprises doivent donc définir clairement quels outils peuvent être utilisés et quelles informations peuvent être saisies dans ces systèmes.

L’AI Act impose en outre aux fournisseurs et aux déployeurs de systèmes d’IA de prendre des mesures afin d’assurer un niveau suffisant de maîtrise de l’IA par les personnes qui utilisent ces systèmes pour leur compte. Les mesures mises en place doivent tenir compte notamment des connaissances des salariés, du contexte d’utilisation et des caractéristiques du système concerné.

En pratique, les entreprises devraient prévoir des formations adaptées, des règles internes claires, des responsabilités définies et une sensibilisation aux principaux risques juridiques liés à l’utilisation de l’IA.

Nos avocats accompagnent les entreprises dans la conception de formations et de mesures de compliance adaptées à l’usage professionnel de l’intelligence artificielle.

Une politique interne relative à l’intelligence artificielle doit définir quels outils peuvent être utilisés, par quelles personnes et à quelles fins. Elle doit être adaptée aux activités et aux processus réels de l’entreprise.

Une telle politique peut notamment prévoir :

• les systèmes d’IA autorisés et interdits ;
• les règles applicables aux informations confidentielles et aux secrets d’affaires ;
• les conditions de traitement des données personnelles ;
• les modalités de contrôle des résultats produits par l’IA ;
• les éventuelles obligations d’information ou de marquage ;
• les règles relatives aux textes, images et autres contenus générés par l’IA ;
• les responsabilités internes et les procédures d’autorisation ;
• les procédures de documentation et de signalement des risques ou incidents.

Cette politique doit être intégrée au dispositif global de compliance de l’entreprise et régulièrement adaptée aux évolutions technologiques et réglementaires.

Nos avocats élaborent avec les entreprises des politiques d’utilisation de l’IA et des structures de gouvernance adaptées à leurs besoins.

La mise en place d’un dispositif efficace de conformité IA commence par un inventaire des systèmes d’intelligence artificielle utilisés au sein de l’entreprise. Sur cette base, il convient d’identifier le rôle juridique de l’entreprise, les risques associés aux différents usages et les obligations applicables.

En pratique, un dispositif de conformité IA peut notamment comprendre :

• un inventaire interne des systèmes d’IA utilisés ;
• une classification des systèmes en fonction de leur rôle et de leur niveau de risque ;
• la définition de responsabilités claires en matière de gouvernance de l’IA ;
• une politique interne relative à l’utilisation de l’intelligence artificielle ;
• une procédure de validation des nouveaux outils d’IA avant leur utilisation ;
• des formations adaptées pour les salariés ;
• des contrôles en matière de protection des données et de sécurité de l’information ;
• des exigences contractuelles à l’égard des fournisseurs de solutions d’IA ;
• des procédures de documentation et de contrôle ;
• une révision régulière du dispositif.

Dans les groupes internationaux, ces processus doivent également être coordonnés à l’échelle du groupe tout en tenant compte des exigences juridiques applicables dans les différents pays.

Nos avocats en droit numérique vous accompagnent dans la conception et la mise en œuvre d’un dispositif de conformité IA adapté à votre entreprise.

L’AI Act ne remplace pas le Règlement général sur la protection des données (RGPD). Lorsqu’un système d’IA traite des données personnelles, les exigences du RGPD continuent donc de s’appliquer.

Selon l’utilisation envisagée, il convient notamment d’examiner la base juridique du traitement, les obligations de transparence, la minimisation des données, le recours à des sous-traitants, les transferts internationaux de données et, le cas échéant, la nécessité de réaliser une analyse d’impact relative à la protection des données.

Les entreprises doivent également protéger leurs secrets d’affaires et leurs informations confidentielles. Lorsqu’elles utilisent des services externes d’intelligence artificielle générative, il est notamment nécessaire de vérifier quelles informations sont enregistrées, traitées ou utilisées par le fournisseur pour améliorer ses systèmes.

Nos avocats vous accompagnent dans l’articulation entre conformité IA et protection des données ainsi que dans l’analyse juridique des prestataires et outils d’intelligence artificielle utilisés.