Conformité AI Act : ce que vous devez mettre en place

Le règlement (UE) 2024/1689, appelé AI Act, est le premier texte européen qui encadre de façon transversale la mise sur le marché et l'usage des systèmes d'intelligence artificielle. Il classe les systèmes par niveau de risque et fixe des obligations proportionnées à ce niveau.

Pour la grande majorité des entreprises, l'enjeu n'est pas d'être qualifiée de système à haut risque : c'est de respecter les obligations de transparence qui s'appliquent aux contenus produits par IA générative.

• Les textes publiés dans le but d'informer le public sur des sujets d'intérêt général.
• Les images, vidéos et sons générés ou modifiés de manière substantielle par une IA.
• Les contenus de synthèse représentant des personnes, lieux ou événements réels (deepfakes).
• Les interactions où l'utilisateur pourrait croire échanger avec un humain (agents conversationnels).

À l'inverse, un usage strictement interne, un brouillon non publié, ou un contenu substantiellement réécrit et validé éditorialement font l'objet d'appréciations différentes. C'est précisément cette zone grise qui rend la documentation utile.

L'article 50 du règlement structure deux séries d'obligations : celles des fournisseurs de systèmes d'IA (marquage technique des sorties, dans un format lisible par machine) et celles des déployeurs, c'est-à-dire des organisations qui utilisent ces systèmes et diffusent le résultat.

Côté déployeur, trois exigences pratiques :

• Informer : indiquer clairement que le contenu a été généré ou manipulé par une IA.
• Rendre l'information accessible : au moment de la consultation, sans action particulière de l'utilisateur.
• Rester intelligible : une formulation compréhensible par un lecteur non spécialiste.

Le règlement prévoit un régime de sanctions administratives dont les plafonds sont exprimés en montant fixe ou en pourcentage du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Les manquements aux obligations de transparence relèvent d'un plafond inférieur à celui des pratiques interdites, mais restent significatifs.

Les autorités nationales de surveillance désignées par chaque État membre sont compétentes pour le contrôle. En pratique, le premier réflexe d'un contrôle est de demander la procédure interne et les traces de son application.

• Recenser les outils d'IA générative réellement utilisés dans l'organisation.
• Écrire une règle interne simple : quand une mention est obligatoire, et sous quelle forme.
• Standardiser la formulation de la mention et son emplacement.
• Auditer les contenus publiés, y compris les archives.
• Conserver une trace horodatée de chaque vérification.
• Réexaminer la procédure à chaque nouvel outil introduit.