Conformité à l'EU AI Act pour les entreprises qui utilisent déjà l'IA

Oui, si l'entreprise utilise ou vend des systèmes d'IA qui ont un effet sur des personnes dans l'UE. Les obligations dépendent du risque du système, pas de la taille de l'entreprise. Les PME et les petites entreprises à moyenne capitalisation bénéficient d'amendes maximales réduites, d'une documentation technique simplifiée et d'un accès prioritaire aux bacs à sable réglementaires. Toutefois, les interdictions, l'obligation de maîtrise de l'IA et les obligations de transparence s'appliquent pleinement.

Oui. Un chatbot ou un agent vocal qui parle aux clients doit indiquer clairement qu'il s'agit d'une IA, dès le premier message ou les premières secondes d'un appel, et les personnes qui l'exploitent doivent bénéficier de mesures de maîtrise de l'IA. Si le même assistant prend également des décisions produisant des effets juridiques ou tout aussi importants, par exemple pour sélectionner des candidats ou décider d'un crédit, il entre dans la catégorie à haut risque et est soumis à des obligations propres.

Le règlement européen sur l'IA ne l'exige pas. Le RGPD restreint le transfert de données personnelles hors de l'UE et les systèmes d'IA traitent des données personnelles dans les prompts, transcriptions et dossiers. Un hébergement dans l'UE auprès d'un fournisseur qui n'entraîne pas ses modèles sur vos données est donc la manière la plus simple d'éviter les évaluations de transfert pour ces données et de répondre aux questions des entreprises clientes et des appels d'offres. Nous spécifions un hébergement dans l'UE pour les systèmes que nous déployons et documentons toute exception.

Article 99: jusqu'à 35 millions d'EUR ou 7% du chiffre d'affaires annuel mondial pour les pratiques interdites, jusqu'à 15 millions d'EUR ou 3% pour la violation de la plupart des autres obligations et jusqu'à 7,5 millions d'EUR ou 1% pour la communication d'informations inexactes aux autorités. Pour les PME et les petites entreprises à moyenne capitalisation, le montant le plus faible s'applique. Les amendes sont imposées par les autorités nationales de surveillance du marché.

Ils s'appliquent côte à côte. Le RGPD régit les données personnelles traitées par un système d'IA: base juridique, information de la personne concernée, analyses d'impact et transferts. Le règlement européen sur l'IA régit le système lui-même: s'il est autorisé, comment il doit être conçu et documenté, et comment les personnes sont informées et supervisées. Un même inventaire et un même ensemble de documents peuvent servir aux deux. C'est pourquoi le règlement européen sur l'IA est plus simple pour les entreprises qui disposent d'un programme RGPD opérationnel.

Le Digital Omnibus sur l'IA (règlement (UE) 2026/1744), adopté en juin 2026 et en vigueur depuis le 27 juillet 2026, a reporté les obligations relatives aux systèmes à haut risque au 2 décembre 2027 pour les systèmes autonomes et au 2 août 2028 pour l'IA intégrée dans des produits réglementés. Il a ajouté deux pratiques interdites, transformé l'obligation de maîtrise de l'IA en obligation de moyens, étendu les allègements accordés aux PME aux petites entreprises à moyenne capitalisation, donné aux systèmes déjà commercialisés jusqu'au 2 décembre 2026 pour adopter un marquage lisible par machine et renforcé le Bureau de l'IA. Il n'a supprimé aucune règle déjà en vigueur: les interdictions, la maîtrise de l'IA et les obligations de transparence applicables aux chatbots et au contenu généré restent en place.

Nous recensons vos systèmes d'IA, y intégrons les contrôles d'information, de surveillance, de journalisation et d'hébergement, rédigeons la documentation technique et les instructions d'utilisation, formons votre personnel et suivons ensuite leur statut. Nous ne donnons pas de conseils juridiques. Lorsqu'une interprétation du droit est nécessaire, nous travaillons avec vos conseils juridiques et leur remettons un dossier complet et à jour.