Article

AI Act : ce que les équipes techniques doivent préparer

Christophe Cosnefroy ·

Le règlement européen sur l’intelligence artificielle est souvent abordé comme un sujet juridique. Il l’est. Mais la plupart de ses exigences se traduisent en choix d’architecture, en documentation technique et en procédures d’exploitation. Autrement dit, en travail pour les équipes techniques.

Où en est le calendrier

L’AI Act est entré en vigueur le 1er août 2024 et s’applique par étapes :

  • depuis février 2025, les pratiques jugées inacceptables sont interdites, et les organisations doivent agir pour la maîtrise de l’IA par leurs équipes ;
  • depuis août 2025, les fournisseurs de modèles d’IA à usage général ont leurs propres obligations ;
  • les obligations de transparence (signaler qu’un contenu est généré par une IA, qu’on parle à un système d’IA) arrivent en 2026.

En 2026, le paquet dit « omnibus numérique » a repoussé les échéances des systèmes à haut risque : le 2 décembre 2027 pour les usages listés à l’annexe III (recrutement, crédit, éducation, accès aux services essentiels…), et le 2 août 2028 pour l’IA intégrée à des produits réglementés (annexe I).

Ce report ne change pas la nature du travail. Il donne simplement le temps de le faire correctement. Les organisations qui attendent fin 2027 pour commencer referont, dans l’urgence, des choix d’architecture qu’il aurait été simple de prendre aujourd’hui.

Ce calendrier a déjà évolué ; vérifiez toujours les textes en vigueur avec vos conseils juridiques.

Étape 1 : savoir ce que vous avez

Tout commence par un inventaire, et c’est souvent la partie la plus révélatrice. Il faut recenser :

  • les systèmes d’IA développés en interne ;
  • ceux intégrés à des logiciels achetés — un ATS qui trie les candidatures, un outil de scoring, un CRM avec des fonctions génératives ;
  • les usages non déclarés : les collaborateurs qui utilisent des assistants grand public avec des données de l’entreprise.

Ce dernier point dépasse l’AI Act : c’est d’abord un sujet de sécurité et de confidentialité.

Étape 2 : qualifier chaque système

Pour chaque système, deux questions déterminent vos obligations :

  1. Quel est votre rôle ? Vous êtes fournisseur si vous développez le système ou le mettez sur le marché sous votre nom, déployeur si vous l’utilisez dans votre activité. Les obligations sont très différentes.
  2. Quel est le niveau de risque ? Pratique interdite, haut risque, obligation de transparence, ou risque minimal. La grande majorité des usages en entreprise relèvent des deux dernières catégories, mais quelques cas — recrutement, évaluation des salariés, décisions sur l’accès à un service — basculent facilement en haut risque.

Étape 3 : traduire les exigences en architecture

Pour les systèmes à haut risque, les exigences du règlement ont une traduction technique directe :

  • gestion des risques : une analyse vivante, mise à jour à chaque évolution du système ;
  • qualité et gouvernance des données : savoir d’où viennent les données, comment elles ont été préparées, quels biais elles peuvent porter ;
  • documentation technique : décrire le système, ses limites, ses performances mesurées ;
  • journalisation : enregistrer automatiquement ce que fait le système, pour pouvoir le retracer ;
  • supervision humaine : concevoir le système pour qu’une personne puisse comprendre, contrôler et arrêter ses décisions ;
  • exactitude, robustesse et cybersécurité : mesurer la qualité, résister aux erreurs et aux attaques.

Aucune de ces exigences ne se règle par une politique écrite après coup. Toutes se règlent mieux dans la conception : une journalisation prévue dès l’origine, une évaluation continue de la qualité, des décisions d’architecture documentées.

La sécurité, l’angle mort fréquent

Les systèmes d’IA générative ouvrent des surfaces d’attaque nouvelles : injection de prompts dans des documents ou des pages web, fuite de données sensibles par les réponses du modèle, agents qui disposent de droits trop larges sur les outils qu’ils pilotent. L’AI Act exige un niveau de cybersécurité approprié, et c’est de toute façon une condition pour exploiter ces systèmes sereinement.

Par où commencer

Si vous ne deviez faire qu’une chose ce trimestre, faites l’inventaire. Il prend quelques semaines, il révèle presque toujours des surprises, et il conditionne tout le reste.

Je propose cet inventaire comme point de départ de l’offre AI Act Ready, complété par la qualification des systèmes et un plan de remédiation priorisé. L’analyse juridique reste le métier de vos conseils ; la lecture technique et architecturale, c’est le mien.