AI Act : les 7 règles à respecter dès maintenant (et les 2 à venir)
Entre les obligations déjà en vigueur et celles à venir, les entreprises peinent à comprendre l’AI Act. Le second volet de cette législation a commencé à s’appliquer partiellement le 2 août dernier, mais la majorité des exigences concernant les systèmes d’IA dits à haut risque a été repoussée à l’année prochaine. Ce report est dû au vote du Digital Omnibus, qui déplace une grande partie des obligations de l’AI Act. Initialement, les entreprises devaient se conformer aux règles sur les IA à haut risque dès août 2026, mais l’absence de normes techniques et de dispositifs de certification a conduit à ce changement.
Les obligations déjà en vigueur
Le premier volet de l’AI Act est applicable depuis le 2 février 2025.
Formation des employés : Les entreprises doivent s’asr que leurs salariés possèdent un niveau de maîtrise de l’IA adéquat, adapté aux outils qu’ils utilisent, à leur fonction et aux risques associés. Cela implique de sensibiliser les collaborateurs aux risques juridiques, éthiques et opérationnels.
Interdiction de pratiques à risque : Plusieurs pratiques d’IA considérées comme présentant un risque inacceptable sont prohibées, telles que les systèmes basés sur des techniques de manipulation subliminale ou trompeuse, et l’exploitation des vulnérabilités liées à l’âge ou au handicap.
Restrictions sur le profilage : Certaines formes de profilage, comme celles utilisées pour prédire le risque d’infraction ou la collecte massive d’images pour la reconnaissance faciale, sont interdites. L’identification biométrique à distance dans l’espace public est également prohibée, sauf pour des exceptions strictement encadrées.
Les règles de transparence depuis le 2 août
Depuis le 2 août 2026, bien que les obligations liées aux systèmes d’IA à haut risque soient reportées, certaines règles de transparence sont déjà en vigueur.
Information sur les chatbots : Lorsqu’un utilisateur interagit avec un chatbot, il doit être clairement informé qu’il dialogue avec une intelligence artificielle et non avec un humain.
Détection des contenus générés par IA : Les fournisseurs de systèmes génératifs doivent rendre les contenus produits par IA détectables dans un format lisible par machine, via un marquage technique.
Watermarks visibles : L’article 50 impose un watermark visible pour les deepfakes et les textes publiés pour informer le public sur des sujets d’intérêt général, sauf si le contenu a été contrôlé par un humain.
Les mes applicables en décembre 2027
Les obligations réglementaires concernant les systèmes d’IA à haut risque ont été reportées au 2 décembre 2027. Huit types d’IA sont concernés, notamment celles utilisées dans la biométrie, l’éducation, le recrutement et l’accès aux services essentiels.
Déclaration des systèmes : Les entreprises devront déclarer les systèmes concernés dans une base européenne, encore à créer.
Documentation précise : Elles devront également documenter leur fonctionnement, incluant les données utilisées, les décisions proposées, et les biais détectés.
Conclusion
Les entreprises doivent dès à présent cartographier leurs systèmes d’IA et établir une gouvernance adaptée pour se conformer à ces nouvelles obligations. L’importance de cette démarche est accentuée par la décentralisation rapide des usages de l’IA, où de nombreux collaborateurs développent leurs propres agents. Si les entreprises ne mettent pas en place des règles de gouvernance rapidement, elles risquent d’être dépassées lors de la mise en œuvre des nouvelles normes.
Source : JDN / ChatGPT
