Enjeux et pratique
Pour les entreprises qui achètent ou intègrent de l’IA sans en développer, l’EU AI Act est d’abord un sujet contractuel. Le règlement répartit les obligations entre fournisseurs et déployeurs de systèmes d’IA : le déployeur (l’entreprise utilisatrice) doit notamment utiliser le système conformément à sa notice, assurer une surveillance humaine et vérifier la qualité des données qu’il maîtrise. Sa capacité à tenir ces obligations dépend des engagements obtenus de son fournisseur.
Concrètement, trois chantiers contractuels s’imposent. L’inventaire : identifier dans le parc fournisseurs les contrats qui embarquent de l’IA, y compris lorsque l’IA est arrivée par mise à jour d’un logiciel existant, sans renégociation. La qualification : déterminer pour chaque cas le niveau de risque au sens du règlement et la répartition des rôles (fournisseur, déployeur, importateur). La contractualisation : intégrer aux contrats les clauses qui rendent la conformité possible : documentation technique, information sur les capacités et limites du système, notification des incidents, coopération en cas de contrôle, et répartition des responsabilités en cas de sanction.
Le risque le plus répandu n’est pas la sanction directe, mais l’engagement aveugle : des dizaines de contrats SaaS qui intègrent désormais des fonctions d’IA, signés ou reconduits sans que personne n’ait évalué ce que l’entreprise s’engage à assumer. Là encore, la conformité commence par la connaissance de son propre parc contractuel.
La montée en charge est progressive, ce qui crée un faux sentiment de sécurité. Les pratiques interdites sont visées les premières, les obligations des systèmes à haut risque suivent, et le calendrier laisse un délai qui incite à repousser l’analyse. Or la difficulté n’est pas de rédiger les clauses le moment venu, mais de savoir, aujourd’hui, où l’IA se trouve déjà dans le parc contractuel. Un rôle mérite une attention particulière : celui de déployeur, endossé sans le savoir dès lors qu’un logiciel métier ajoute une fonction d’IA. L’entreprise devient alors soumise à des obligations propres, indépendamment de ce que fait son fournisseur, et sans toujours en avoir conscience.
En pratique
Se préparer à l’EU AI Act relève d’abord d’un travail de recensement et de qualification, avant toute rédaction juridique.
Cherchez l’IA là où elle arrive sans bruit. Les cas les plus risqués ne sont pas les projets d’IA affichés, mais les fonctions ajoutées par mise à jour à des logiciels existants, sans renégociation. Passer en revue le parc SaaS et métier sous cet angle révèle des expositions ignorées.
Qualifiez l’usage, pas seulement la technologie. Un même outil peut être anodin ou à haut risque selon la finalité (recrutement, crédit, sécurité). La qualification se fait cas par cas, en fonction de l’emploi réel dans l’entreprise.
Réclamez au fournisseur de quoi tenir vos propres obligations. Documentation, information sur les limites du système, notification des incidents et coopération en cas de contrôle sont les engagements sans lesquels le déployeur ne peut pas être conforme. Ils se négocient à la signature ou au renouvellement, pas dans l’urgence d’un contrôle.
Reliez ce travail à la gestion du portefeuille contractuel. Savoir quels contrats embarquent de l’IA, dans quelle version et avec quelles clauses, est une requête que seul un référentiel contractuel tenu à jour permet de traiter sans reconstitution manuelle.
Exemple concret
Une DRH utilise depuis deux ans un logiciel de tri de candidatures. Une mise à jour de l’éditeur y ajoute un scoring par IA, ce qui en fait un système à haut risque au sens du règlement (recrutement). Le contrat initial ne prévoit ni documentation, ni garantie de conformité, ni clause d’audit. L’entreprise doit renégocier ou désactiver la fonction avant l’échéance d’août 2026.
À ne pas confondre avec
L’EU AI Act encadre les systèmes d’IA selon leur usage et leur niveau de risque ; il ne se confond pas avec le RGPD, qui protège les données personnelles et dont les obligations peuvent se cumuler avec les siennes lorsqu’un système d’IA traite de telles données. Il diffère de la responsabilité du fait des produits, qui vise la réparation des dommages causés, alors que le règlement organise avant tout la prévention et la mise sur le marché. Enfin, les rôles de fournisseur et de déployeur qu’il définit ne recoupent pas exactement ceux de responsable de traitement et de sous-traitant du RGPD : une même entreprise peut cumuler des qualités distinctes selon les deux textes.
Questions fréquentes
L’EU AI Act s’applique-t-il aux entreprises qui ne font qu’utiliser de l’IA ?
Oui. L’utilisateur professionnel (déployeur) a ses propres obligations, surtout pour les systèmes à haut risque : surveillance humaine, usage conforme, information des personnes concernées. Il ne peut pas se reposer entièrement sur son fournisseur, mais il doit s’appuyer sur des engagements contractuels solides. Sa conformité dépend donc de ce qu’il obtient dans ses contrats.
Comment savoir si un système d’IA est à haut risque ?
Le règlement définit le haut risque par des catégories d’usages listées, comme le recrutement, l’accès au crédit, certaines fonctions de sécurité ou de biométrie. Ce n’est pas la technologie qui est classée, mais l’usage qui en est fait dans un contexte donné. Un même logiciel peut ainsi basculer dans le haut risque selon la finalité pour laquelle l’entreprise l’emploie, ce qui impose une qualification cas par cas.
Quelles clauses prévoir avec un fournisseur d’IA ?
Les clauses utiles couvrent la documentation technique, l’information sur les capacités et les limites du système, la notification des incidents, la coopération en cas de contrôle et la répartition des responsabilités en cas de sanction. Elles doivent aussi anticiper les évolutions du système par mise à jour, qui peuvent changer son niveau de risque. Sans ces engagements, le déployeur supporte seul une conformité qu’il n’est pas en mesure d’assurer.
Sur le même thème
D'autres notions et pages du territoire proches de ce terme.