Études & Réflexions › Le règlement européen sur l'IA, pour l'entreprise qui utilise l'IA

La plupart des entreprises n'ont jamais développé un système d'intelligence artificielle. Elles en utilisent, souvent plusieurs : un assistant de rédaction, un outil d'analyse des appels, un logiciel de recrutement qui trie les candidatures. Le règlement européen sur l'IA les vise aussi.

Cet article décrit ce que le texte demande à cette entreprise utilisatrice, article par article, dans sa rédaction en vigueur au 21 octobre 2026, c'est-à-dire après sa modification par le règlement (UE) 2026/1744. C'est une méthode de lecture et d'organisation, pas un avis juridique : pour un cas précis, le texte et un conseil font foi.

Fournisseur ou déployeur : savoir qui l'on est

Le règlement (UE) 2024/1689 répartit ses obligations entre plusieurs acteurs. Deux comptent pour une entreprise ordinaire.

Le fournisseur est « une personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui développe ou fait développer un système d'IA ou un modèle d'IA à usage général et le met sur le marché ou met le système d'IA en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit » (article 3, point 3).

Le déployeur est « une personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d'IA sauf lorsque ce système est utilisé dans le cadre d'une activité personnelle à caractère non professionnel » (article 3, point 4).

L'entreprise qui achète un abonnement à un assistant de rédaction et le met à disposition de ses équipes est déployeur. Celle qui fait développer un outil d'IA par un prestataire, puis le met en service sous son propre nom, devient fournisseur de cet outil : ses obligations changent de nature. La première chose à faire est donc un inventaire :

• chaque outil d'IA utilisé dans l'entreprise, y compris ceux qu'un salarié a adoptés seul ;
• qui l'a développé, et sous quel nom il est mis en service ;
• qui l'utilise, pour quelle tâche, et sur quelles données.

Cet inventaire sert à tout le reste de l'article. Les usages qui échappent à la direction en font partie : ils sont traités dans l'article sur le shadow AI.

La maîtrise de l'IA (article 4)

C'est l'obligation qui touche toutes les entreprises utilisatrices, quelle que soit leur taille. Elle s'applique depuis le 2 février 2025 (article 113, point a). Le règlement (UE) 2026/1744 l'a réécrite. Le paragraphe 1 dit désormais :

« Les fournisseurs et les déployeurs de systèmes d'IA prennent des mesures pour favoriser le développement de la maîtrise de l'IA par leur personnel et les autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d'IA sont destinés à être utilisés [...]. »

La nouvelle rédaction précise : « Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l'IA par un individu. » Le paragraphe 2 ajoute que la Commission et les États membres soutiennent les entreprises, « en particulier les PME », et que la Commission publie des exemples pratiques sur la manière de respecter cette obligation.

Il s'agit donc de prendre des mesures adaptées, pas de certifier chaque salarié. En pratique, trois questions suffisent à les construire :

• Qui utilise quel outil, pour quelle décision. C'est l'inventaire de la section précédente.
• Ce que chacun doit savoir des limites de l'outil. Un modèle de langage peut produire un énoncé faux avec assurance ; une personne qui l'ignore prend des risques qu'aucune règle ne couvre. Ce point est développé dans l'article sur la fiabilité de l'IA dans un processus de gestion.
• Comment on le vérifie, et où on le note. Une présentation courte, datée, remise à jour quand un outil change, et la liste de qui l'a reçue.

Les pratiques interdites (article 5)

Certaines pratiques sont interdites depuis le 2 février 2025, pour le fournisseur qui met le système sur le marché comme pour le déployeur qui l'utilise. Parmi elles :

• les techniques subliminales ou délibérément manipulatrices qui altèrent le comportement d'une personne ;
• l'exploitation des vulnérabilités dues à l'âge, au handicap ou à la situation sociale ou économique ;
• la notation sociale ;
• les systèmes destinés à « inférer les émotions d'une personne physique sur le lieu de travail et dans les établissements d'enseignement, sauf lorsque l'utilisation du système d'IA est destinée à être mise en place ou mise sur le marché pour des raisons médicales ou de sécurité » ;
• la catégorisation biométrique qui déduit des caractéristiques sensibles, et le moissonnage non ciblé d'images faciales.

Le règlement (UE) 2026/1744 ajoute deux interdictions (points b bis et b ter) : les systèmes qui génèrent ou manipulent des images, des vidéos ou des sons intimes réalistes d'une personne identifiable sans son consentement, et ceux qui génèrent du matériel d'abus sexuels sur enfants. Elles s'appliquent à partir du 2 décembre 2026.

Pour une entreprise utilisatrice, le risque concret est l'inférence des émotions au travail. Elle se cache parfois dans un outil acheté pour autre chose : mesure de l'« engagement », analyse des appels ou des entretiens vidéo. Avant l'achat, il faut demander au fournisseur ce que fait réellement l'outil, et le noter.

La transparence (article 50)

Les obligations de transparence s'appliquent depuis le 2 août 2026, date d'application générale du règlement (article 113). Elles diffèrent selon le rôle.

Pour le déployeur, deux cas visent l'entreprise utilisatrice (paragraphe 4) :

• les déployeurs d'un système qui génère ou manipule des images ou des contenus audio ou vidéo constituant un hypertrucage « indiquent que les contenus ont été générés ou manipulés par une IA ». Pour une œuvre manifestement artistique, créative, satirique ou fictive, l'obligation se limite à signaler l'existence de ces contenus d'une manière qui n'entrave pas l'œuvre ;
• les déployeurs d'un système qui génère ou manipule des textes publiés « dans le but d'informer le public sur des questions d'intérêt public » indiquent que le texte a été généré ou manipulé par une IA, sauf « lorsque le contenu généré par l'IA a fait l'objet d'un processus d'examen humain ou de contrôle éditorial et lorsqu'une personne physique ou morale assume la responsabilité éditoriale de la publication du contenu ».

Le déployeur d'un système de reconnaissance des émotions ou de catégorisation biométrique, lorsque son usage est permis, informe les personnes qui y sont exposées du fonctionnement du système (paragraphe 3).

Pour le fournisseur, l'article 50 demande d'informer les personnes qu'elles interagissent avec une IA (paragraphe 1) et de marquer les contenus de synthèse dans un format lisible par machine (paragraphe 2). Les fournisseurs de systèmes génératifs mis sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026 pour ce marquage (article 111, paragraphe 4, ajouté en 2026).

La méthode pour l'entreprise utilisatrice : lister ce qu'elle publie avec l'aide d'une IA (visuels, vidéos, textes d'information) et décider, avant publication, de la mention ou de la relecture qui en assume la responsabilité.

L'IA à haut risque : ce qui attend l'employeur

L'annexe III dresse la liste des usages classés à haut risque. Pour une entreprise, le plus fréquent est le point 4, « Emploi, gestion de la main-d'œuvre et accès à l'emploi indépendant » :

• « systèmes d'IA destinés à être utilisés pour le recrutement ou la sélection de personnes physiques, en particulier pour publier des offres d'emploi ciblées, analyser et filtrer les candidatures et évaluer les candidats » ;
• « systèmes d'IA destinés à être utilisés pour prendre des décisions influant sur les conditions des relations professionnelles, la promotion ou le licenciement dans le cadre de relations professionnelles contractuelles, pour attribuer des tâches sur la base du comportement individuel, de traits de personnalité ou de caractéristiques personnelles ou pour suivre et évaluer les performances et le comportement de personnes dans le cadre de telles relations ».

L'annexe vise aussi, entre autres, l'évaluation de la solvabilité des personnes et la tarification en assurance vie et maladie (point 5).

Le déployeur d'un tel système a les obligations de l'article 26. Les principales :

• utiliser le système conformément à la notice d'utilisation qui l'accompagne (paragraphe 1) ;
• confier le contrôle humain « à des personnes physiques qui disposent des compétences, de la formation et de l'autorité nécessaires ainsi que du soutien nécessaire » (paragraphe 2) ;
• veiller à ce que les données d'entrée qu'il contrôle soient pertinentes et suffisamment représentatives (paragraphe 4) ;
• surveiller le fonctionnement du système, informer le fournisseur et suspendre l'utilisation en cas de risque (paragraphe 5) ;
• conserver les journaux générés automatiquement qui sont sous son contrôle, pendant une période adaptée et d'au moins six mois, sauf disposition contraire (paragraphe 6) ;
• avant de mettre le système en service sur le lieu de travail, informer « les représentants des travailleurs et les travailleurs concernés » (paragraphe 7) ;
• informer les personnes au sujet desquelles le système prend ou facilite des décisions qu'elles y sont soumises (paragraphe 11).

Le calendrier a été reporté par le règlement (UE) 2026/1744. Ces règles s'appliquent « du 2 décembre 2027 en ce qui concerne les systèmes d'IA classés comme étant à haut risque en vertu de l'article 6, paragraphe 2, et de l'annexe III » et « du 2 août 2028 en ce qui concerne les systèmes d'IA classés à haut risque en vertu de l'article 6, paragraphe 1, et de l'annexe I » (article 113, point c). La date initiale était le 2 août 2026.

Ce délai sert à se préparer : repérer dès maintenant les outils RH qui trient des candidatures ou évaluent des salariés, demander à leur fournisseur sa feuille de route de conformité et sa notice d'utilisation, et désigner qui exercera le contrôle humain.

Le calendrier, en une liste

• 2 février 2025 : maîtrise de l'IA (article 4) et pratiques interdites (article 5).
• 27 juillet 2026 : entrée en vigueur du règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026 ; nouvelle rédaction de l'article 4.
• 2 août 2026 : application générale du règlement, dont la transparence (article 50).
• 2 décembre 2026 : deux nouvelles pratiques interdites ; marquage des contenus de synthèse pour les systèmes génératifs mis sur le marché avant le 2 août 2026.
• 2 décembre 2027 : IA à haut risque de l'annexe III, dont le recrutement et la gestion du personnel.
• 2 août 2028 : IA à haut risque de l'article 6, paragraphe 1, et de l'annexe I (produits couverts par la législation d'harmonisation de l'Union qui y est listée).

Une grille de mise en conformité, en cinq lignes

Je recommande de tenir l'ensemble sur une page, revue chaque année et à chaque nouvel outil :

1. Inventaire : les outils, leur usage, leurs données, et le rôle de l'entreprise pour chacun (fournisseur ou déployeur).
2. Maîtrise de l'IA : qui reçoit quelle présentation, quand, et comment on le note.
3. Pratiques interdites : une question posée au fournisseur avant chaque achat, surtout pour les outils d'analyse des personnes.
4. Transparence : la règle de mention pour les visuels, vidéos et textes d'information publiés avec une IA.
5. Haut risque : la liste des outils concernés et l'échéancier jusqu'au 2 décembre 2027.

La forme écrite de ces règles, pour les équipes, est une charte d'usage. Un modèle commenté, article par article, est proposé dans la charte d'usage de l'IA commentée.

FAQ

Méthode : sources vérifiées, rédaction assistée par l'IA.

Brice Béchet

Consultant en pilotage des organisations

Structurer les données, choisir les indicateurs qui servent vraiment à décider et outiller le pilotage : du diagnostic du pilotage à l'optimisation de l'outillage, pour toutes les organisations.

En savoir plus LinkedIn