4.10 — Conformité : l'AI Act européen (et le RGPD)

Après les garde-fous techniques (4.3-4.7), voici les garde-fous légaux. Déployer une IA dans ton entreprise, c’est aussi respecter la loi. L’Europe a voté l’AI Act — le premier grand cadre légal sur l’IA. Bonne nouvelle : la plupart des usages business sont peu contraints.

🟢 En clair — l’AI Act classe les systèmes d’IA par niveau de risque pour les personnes. Plus le risque est élevé, plus les obligations sont lourdes. La grande majorité des usages courants tombe dans le niveau le plus bas (aucune obligation nouvelle).

🚦 Les 4 niveaux de risque.

• Inacceptable → interdit (depuis février 2025) : notation sociale, manipulation subliminale, reconnaissance des émotions au travail…
• Haut risque → obligations lourdes : IA de recrutement, scoring de crédit, biométrie… → documentation, supervision humaine, tests, journalisation.
• Risque limité → transparence : chatbots, IA générative → il faut dire que c’est une IA (et signaler les contenus générés).
• Risque minimal → rien : la grande majorité (filtres anti-spam, suggestions de produits…).

🧩 Exemple concret — ton agent de support client (un chatbot) = risque limité → une seule obligation simple : prévenir l’utilisateur qu’il parle à une IA. Mais un agent qui trie des candidatures pour un poste = haut risque → là, obligations sérieuses (documentation, contrôle humain, non-discrimination).

📅 Le calendrier (note de fraîcheur ⏳). Les interdictions s’appliquent depuis février 2025 ; les obligations des modèles génériques (GPAI, les grands modèles comme GPT/Claude) depuis août 2025 ; les obligations haut risque s’échelonnent en 2026-2027. ⚠️ Ces échéances sont régulièrement ajustées — vérifie la source officielle avant toute décision (liens en bas).

⚠️ Erreur fréquente — croire que « l’AI Act rend l’IA illégale » ou que « ça ne concerne que les grandes boîtes ». Faux : la plupart des usages sont peu contraints. En pratique, le vrai sujet au quotidien, c’est souvent le RGPD : dès que ton IA traite des données personnelles (emails clients, CV, coordonnées…), il s’applique — base légale, minimisation, et ne jamais envoyer de données personnelles sensibles à un modèle sans précaution (rappel : la « triade fatale », 4.4).

❓ Vérifie que tu as compris — ton agent trie des candidatures pour un poste. Quel niveau de risque au sens de l’AI Act, et quelle conséquence ?

Voir la réponse

Haut risque (le recrutement est explicitement visé). Conséquence : obligations sérieuses — documentation, supervision humaine (un humain décide, pas la machine seule), tests de non-discrimination, journalisation. C’est exactement le genre d’usage où le Human-in-the-Loop (4.6) n’est pas optionnel.

✅ En résumé

• L’AI Act classe les IA en 4 niveaux : inacceptable (interdit) · haut risque (lourd) · limité (transparence) · minimal (rien).
• La plupart des usages business = risque limité ou minimal → obligations légères.
• Usages sensibles (recrutement, crédit…) = haut risque → documentation + contrôle humain.
• Le RGPD s’applique dès qu’il y a des données personnelles — souvent le vrai sujet au quotidien.

🔎 Pour aller plus loin. Sanctions possibles (amendes importantes), texte et calendrier officiels : digital-strategy.ec.europa.eu et artificialintelligenceact.eu. Le domaine bouge vite : traite ces repères comme un point de départ, pas comme un avis juridique.