Depuis la semaine dernière, l’AI Act (le règlement européen sur l’intelligence artificielle) s’est encore élargi. Le 2 août, les règles de transparence sont entrées en vigueur, et elles concernent d’emblée beaucoup de PME. Vous avez un chatbot sur votre site ? Vous publiez des images ou des textes créés par l’IA ? Alors quelque chose s’applique à vous désormais.
C’est donc le bon moment pour s’arrêter sur la question autour de laquelle tourne tout l’AI Act : quel rôle jouez-vous ?
Deux rôles, et pourquoi ça compte
L’AI Act part de ce que vous faites avec un système d’IA. Vous l’utilisez dans votre propre entreprise, ou vous le mettez sur le marché pour que d’autres s’en servent ? Ces deux situations reçoivent un ensemble de règles différent, et la différence est grande.
Dans le texte, ces rôles s’appellent déployeur et fournisseur (deployer et provider en anglais). En langage courant : vous utilisez l’IA, ou vous vendez de l’IA.
Rôle 1 : vous utilisez l’IA
C’est de loin la situation la plus courante. Vous faites résumer vos e-mails par un outil. Vous mettez sur votre site un chatbot qui répond aux questions sur vos horaires d’ouverture. Vous utilisez un logiciel qui lit automatiquement les factures et les saisit dans votre comptabilité.
Ce qu’on attend alors de vous :
- Vos équipes doivent savoir ce qu’elles font. Le règlement appelle cela la maîtrise de l’IA. Concrètement : qui travaille avec l’IA doit comprendre ce que l’outil sait faire ou non, et quand il vaut mieux revérifier le résultat. C’est en vigueur depuis février 2025.
- Vous êtes transparent envers ceux qui y sont confrontés. Si un visiteur parle à un bot, il doit le savoir. Une photo ou une vidéo générée par l’IA qui peut passer pour réelle reçoit une étiquette. C’est la règle entrée en vigueur la semaine dernière.
- Vous utilisez l’outil comme prévu. Vous suivez la notice du fournisseur et vous maintenez le contrôle humain qu’elle prévoit. S’il est écrit quelque part qu’un humain doit vérifier le résultat, vous le faites.
Pour la plupart des usages dans une PME, ça s’arrête là. Rédiger des devis, écrire des textes, traduire, répondre aux questions des clients : tout cela relève de ce que le règlement appelle un risque minimal, et aucune obligation supplémentaire n’y est attachée.
Ça devient plus lourd quand l’IA participe à des décisions sur des personnes. Pensez à un logiciel qui trie des CV, évalue les performances des salariés, ou estime si quelqu’un est solvable. L’Europe appelle cela le haut risque. Si vous utilisez un tel système, vous devez entre autres fournir des données de qualité, conserver les journaux et informer vos salariés que le système fonctionne. Ces règles entrent en vigueur le 2 décembre 2027.
Ces obligations s’ajoutent au RGPD, qui continue de s’appliquer dès que des données personnelles sont en jeu. Ce que ces règles signifient pour une PME, nous l’expliquons dans Le RGPD concerne-t-il aussi votre PME ?
Rôle 2 : vous vendez de l’IA
Ici, le tableau change. Vous construisez un système d’IA et le mettez sur le marché sous votre propre nom. À partir de ce moment, vous répondez de ce que fait ce système chez tous ceux qui l’utilisent.
Si vous vendez quelque chose à risque limité, ça reste gérable : indiquer clairement qu’il y a de l’IA dedans, et fournir une documentation sérieuse à vos clients.
Si vous vendez quelque chose qui relève de la catégorie à haut risque, il y a beaucoup plus à faire. Vous devez notamment :
- cartographier ce qui peut mal tourner, et continuer à le suivre tant que votre produit existe
- pouvoir démontrer d’où viennent vos données et si elles sont représentatives (un outil de tri de CV entraîné uniquement sur des profils masculins favorisera les hommes)
- tenir une documentation technique et enregistrer ce que fait le système
- faire en sorte qu’un humain puisse intervenir, prévu dans la conception même
- démontrer que le système est suffisamment précis et sûr
- passer une évaluation de conformité : un contrôle formel à l’issue duquel vous pouvez apposer le marquage CE sur votre produit, comme pour les machines ou les dispositifs médicaux
- faire enregistrer votre système dans une base de données européenne
- continuer à surveiller après le lancement et signaler les incidents graves
C’est un ensemble sérieux. L’échéance est le 2 décembre 2027.
Par où commencer quand on est une PME ?
Faites la liste de chaque application d’IA utilisée dans votre entreprise. Pour chacune, notez deux choses : l’utilisez-vous vous-même ou la revendez-vous, et participe-t-elle à des décisions sur des personnes ? Avec ces deux colonnes, vous savez tout de suite sous quel régime vous êtes.
S’il y a encore peu de choses sur cette liste, ce n’est pas un problème en soi. Commencez par une application qui fait déjà gagner du temps aujourd’hui, et construisez à partir de là. Comment s’y prendre, vous le lirez dans L’IA dans votre entreprise : commencer petit, voir grand.
Notre approche chez Tandem Studio
Chez Tandem Studio, nous construisons des logiciels pour des PME, souvent avec de l’IA dedans. La question de savoir qui est en fait le fournisseur arrive presque toujours sur la table dès le premier entretien. La réponse détermine la façon de construire.
Un outil qui tourne en interne, où un humain prend toujours la décision finale, relève d’un autre régime qu’un outil que vous vendez à des tiers et qui juge de façon autonome. C’est un choix de conception, et il vaut mieux le faire consciemment, au début d’un projet.
Parfois, la conclusion d’un tel entretien est que l’IA n’est pas le bon choix ici. Nous le disons aussi, et nous avons rassemblé ces scénarios dans Quand l’IA n’est pas la solution.
Curieux de savoir où se situe votre application d’IA ? Envoyez-nous un message.
