Règlement européen sur l'IA : mon entreprise est-elle concernée ?

Le règlement européen sur l'IA suscite de l'incertitude au sein des PME. Beaucoup se demandent s'il faut désormais craindre un monstre bureaucratique, simplement parce qu'on automatise un peu. La réponse courte : pour la grande majorité des usages du quotidien, la situation est plus sereine que ne le laissent penser les gros titres.

Ce qu'est le règlement européen sur l'IA

Le règlement sur l'IA est le texte européen qui encadre l'usage de l'IA en fonction du risque. Il ne s'applique pas d'un seul coup, mais de façon échelonnée sur plusieurs échéances. Plus le risque d'un usage pour les personnes est élevé, plus les obligations sont strictes. C'est tout le principe.

Les quatre catégories de risque

Le règlement sur l'IA classe grossièrement les usages en quatre niveaux :

• Interdit : l'IA qui, par exemple, manipule les personnes ou les note socialement. Sans objet pour les entreprises ordinaires.
• Haut risque : l'IA dans des domaines sensibles comme le recrutement ou les infrastructures critiques. Des obligations strictes s'appliquent ici.
• Risque limité : par exemple les chatbots. C'est surtout une obligation de transparence qui s'applique, c'est-à-dire le fait d'indiquer que l'on parle à une IA.
• Risque minimal : la majeure partie de l'automatisation au quotidien, du traitement des factures au reporting. Pratiquement aucune obligation particulière.

Quand cela vous concerne concrètement

Le règlement sur l'IA devient pertinent pour vous lorsque l'IA prend ou prépare des décisions concernant des personnes, par exemple pour les candidatures, la solvabilité ou l'accès à des prestations importantes. En revanche, qui comptabilise des justificatifs, établit des rapports ou répond à des questions internes reste presque toujours dans le domaine non critique.

Ce qu'il est judicieux de faire dès maintenant

La panique est mauvaise conseillère, mais l'ignorance aussi. Un simple état des lieux est judicieux : où utilisons-nous l'IA, et dans quelle catégorie de risque cela se range-t-il ? Cette vue d'ensemble apporte de la clarté et constitue la base si un usage devait malgré tout déclencher des obligations plus strictes. Concrètement, une courte liste de tous les usages de l'IA dans l'entreprise suffit, chacun avec sa finalité et sa catégorie de risque. Cette demi-page vaut, en cas de doute, plus que toute inquiétude préventive, car elle montre noir sur blanc là où une action est réellement nécessaire et là où elle ne l'est pas.

Pour le classement et la préparation, nous vous accompagnons dans le cadre de notre conseil en IA. Cet article est une orientation, non un conseil juridique : l'évaluation contraignante au cas par cas relève de mains expertes.

Comment classer un usage en pratique

Le classement est moins compliqué qu'il n'y paraît. Prenez un agent qui lit et comptabilise les factures entrantes : il ne décide pas à propos des personnes, il relève donc de la catégorie à risque minimal, sans aucune obligation particulière. Un chatbot sur votre site web relève du risque limité ; ici, il suffit d'indiquer que l'on parle à un assistant. Ce n'est qu'un système qui présélectionne des candidatures qui se retrouve dans le domaine à haut risque, avec de réelles exigences. Le même outil, trois cas d'usage, trois niveaux d'obligations.

La transparence est l'obligation la plus fréquente

Pour la plupart des entreprises, tout se résume à une seule obligation pratique : indiquer là où l'IA intervient. Qui utilise un chatbot ou un agent vocal signale qu'il s'agit d'une IA. Cette transparence est rapide à mettre en œuvre et constitue en règle générale tout l'obstacle.

Fournisseur ou déployeur : quel est votre rôle

Le règlement sur l'IA distingue si vous développez et mettez sur le marché une IA vous-même ou si vous utilisez une IA prête à l'emploi dans votre propre entreprise. Pour les PME, c'est presque toujours le second rôle qui s'applique : vous êtes déployeur, non fournisseur. C'est important, car les obligations les plus strictes incombent au fournisseur, tandis que le déployeur est soumis à des exigences plus limitées, avant tout l'usage conforme à la destination et la transparence envers les personnes. Concrètement, documenter ne signifie pas pour vous certifier techniquement un modèle, mais consigner quelle IA vous utilisez et à quelles fins, quelles données y entrent et qui en interne en est responsable. Cette courte vue d'ensemble est, en cas de doute, votre preuve la plus importante que vous utilisez l'IA de manière consciente et maîtrisée, et elle se tient avec un effort raisonnable.

Questions fréquentes

À partir de quand le règlement européen sur l'IA s'applique-t-il ?

Le règlement sur l'IA s'applique de façon échelonnée sur plusieurs échéances entre 2025 et 2027. Les premières interdictions s'appliquent déjà, d'autres obligations s'ajoutent progressivement. L'échéance qui compte pour vous dépend de l'usage.

Ma PME est-elle concernée par le règlement européen sur l'IA ?

Vous êtes concerné au sens d'obligations strictes surtout si vous utilisez une IA à haut risque, par exemple pour le recrutement. La simple automatisation de processus relève le plus souvent de la catégorie non critique aux exigences minimales.

Ai-je besoin d'un avocat dès maintenant ?

Pour un premier classement, un état des lieux soigné de vos usages de l'IA suffit. Si l'un d'eux est qualifié de haut risque, un conseil juridique est judicieux. Nous vous aidons à établir une vue d'ensemble.