Il y a deux types de r\u00e9actions quand je prononce \u201cAI Act\u201d en r\u00e9union :<\/p>\n\n\n\n
Respirons.<\/p>\n\n\n\n
L\u2019AI Act n\u2019est pas l\u00e0 pour \u201ctuer l\u2019IA\u201d. Il est l\u00e0 pour arr\u00eater certains usages<\/strong>, encadrer les usages sensibles<\/strong>, et forcer un minimum de s\u00e9rieux<\/strong> quand une IA peut impacter des droits, une sant\u00e9, une carri\u00e8re, un cr\u00e9dit, une justice.<\/p>\n\n\n\n Et franchement ? Sur le principe\u2026 c\u2019est plut\u00f4t sain.<\/p>\n\n\n\n 1. L\u2019AI Act ne vise pas \u201cl\u2019IA\u201d en g\u00e9n\u00e9ral : il vise des usages.<\/strong> 2. C\u2019est une logique \u201crisque\u201d.<\/strong> 3. Certaines obligations sont d\u00e9j\u00e0 en vigueur, d\u2019autres arrivent (et tr\u00e8s vite).<\/strong> L\u2019AI Act, c\u2019est un r\u00e8glement europ\u00e9en qui pose un cadre commun<\/strong> pour d\u00e9velopper, commercialiser et utiliser des syst\u00e8mes d\u2019IA dans l\u2019UE. L\u2019objectif affich\u00e9 : une IA digne de confiance<\/strong>, sans emp\u00eacher l\u2019innovation. (EUR-Lex<\/a>)<\/p>\n\n\n\n Ce que ce n\u2019est pas<\/strong> :<\/p>\n\n\n\n En fait, l\u2019AI Act ressemble beaucoup \u00e0 un truc que les industriels connaissent d\u00e9j\u00e0 : L\u2019AI Act classe les syst\u00e8mes d\u2019IA selon 4 niveaux<\/strong>. (Strat\u00e9gie num\u00e9rique de l’UE<\/a>)<\/p>\n\n\n\n C\u2019est le \u201cnon\u201d ferme. Pas \u201con verra\u201d. Pas \u201con mettra une charte\u201d. Interdit. (Strat\u00e9gie num\u00e9rique de l’UE<\/a>)<\/p>\n\n\n\n C\u2019est le gros morceau : sant\u00e9, s\u00e9curit\u00e9, droits fondamentaux. L\u00e0, on veut du s\u00e9rieux avant mise en service : gestion des risques, qualit\u00e9 des donn\u00e9es, logs, documentation, supervision humaine, robustesse, cybers\u00e9curit\u00e9\u2026 (Strat\u00e9gie num\u00e9rique de l’UE<\/a>)<\/p>\n\n\n\n Typiquement : chatbots, contenus g\u00e9n\u00e9r\u00e9s, deepfakes. L\u2019id\u00e9e : les gens doivent savoir<\/strong> quand ils interagissent avec une machine ou consomment du contenu synth\u00e9tique. (Strat\u00e9gie num\u00e9rique de l’UE<\/a>)<\/p>\n\n\n\n La majorit\u00e9 des IA entrent ici (ex : jeux vid\u00e9o, filtres anti-spam). (Strat\u00e9gie num\u00e9rique de l’UE<\/a>)<\/p>\n\n\n\n Et l\u00e0, petit moment v\u00e9rit\u00e9 :<\/p>\n\n\n\n Si votre \u201cIA\u201d ne peut pas concr\u00e8tement nuire \u00e0 quelqu\u2019un, il y a de fortes chances que vous ne soyez pas dans la zone rouge.<\/p>\n<\/blockquote>\n\n\n\n L\u2019AI Act interdit 8 pratiques<\/strong> consid\u00e9r\u00e9es comme une menace claire pour les droits, la s\u00e9curit\u00e9 ou la dignit\u00e9 des personnes. (Strat\u00e9gie num\u00e9rique de l’UE<\/a>)<\/p>\n\n\n\n Sans faire l\u2019int\u00e9gralit\u00e9 du roman, voici le genre de choses vis\u00e9es :<\/p>\n\n\n\n Et si tu te dis : \u201cOk, moi je fais juste un assistant pour r\u00e9diger des mails\u201d\u2026 Quand on parle d\u2019IA \u201c\u00e0 haut risque\u201d, les gens imaginent souvent un robot juge, ou une IA qui pilote un h\u00f4pital.<\/p>\n\n\n\n Sauf que\u2026 l\u2019IA \u201chaut risque\u201d peut \u00eatre tr\u00e8s banale.<\/p>\n\n\n\n Exemples typiques (tir\u00e9s des cat\u00e9gories vis\u00e9es) :<\/p>\n\n\n\n Ce n\u2019est pas \u201cfuturiste\u201d. Avant mise sur le march\u00e9 \/ mise en service, il faut notamment : (Strat\u00e9gie num\u00e9rique de l’UE<\/a>)<\/p>\n\n\n\n Traduction terrain :<\/p>\n\n\n\n \u201cTu ne balances pas un mod\u00e8le opaque dans un process sensible en mode YOLO.\u201d<\/p>\n<\/blockquote>\n\n\n\n La transparence, c\u2019est la zone \u201c\u00e7a a l\u2019air simple\u2026 jusqu\u2019\u00e0 ce que \u00e7a ne le soit plus\u201d.<\/p>\n\n\n\n L\u2019AI Act pr\u00e9voit des obligations pour que les gens sachent :<\/p>\n\n\n\n Donc oui : votre \u00e9quipe com\u2019 qui poste une vid\u00e9o \u201ctrop r\u00e9elle\u201d g\u00e9n\u00e9r\u00e9e par IA\u2026 va devoir apprendre un nouveau r\u00e9flexe.<\/p>\n\n\n\n Et non : \u201ctout le monde le fait\u201d n\u2019est pas un argument. Depuis le 2 ao\u00fbt 2025<\/strong>, les r\u00e8gles concernant les mod\u00e8les d\u2019IA \u00e0 usage g\u00e9n\u00e9ral (GPAI)<\/strong> sont applicables. (Strat\u00e9gie num\u00e9rique de l’UE<\/a>)<\/p>\n\n\n\n L\u2019id\u00e9e : ces mod\u00e8les servent de \u201cbriques de base\u201d \u00e0 plein de syst\u00e8mes.<\/p>\n\n\n\n Et donc l\u2019AI Act pr\u00e9voit des obligations sp\u00e9cifiques pour les fournisseurs de GPAI<\/strong>, notamment :<\/p>\n\n\n\n Tr\u00e8s souvent, tu es plut\u00f4t :<\/p>\n\n\n\n Et l\u00e0, le sujet devient : Le point int\u00e9ressant : la Commission a publi\u00e9 des instruments de support (guidelines, code de pratique GPAI, mod\u00e8le de \u201cpublic summary\u201d des donn\u00e9es d\u2019entra\u00eenement) pour aider \u00e0 se conformer. (Strat\u00e9gie num\u00e9rique de l’UE<\/a>)<\/p>\n\n\n\n Mais (plot twist), il y a eu pas mal de d\u00e9bats sur le calendrier et sur la disponibilit\u00e9 des outils de \u201ccode of practice\u201d. (Reuters<\/a>)<\/p>\n\n\n\n Voici le calendrier \u00e0 conna\u00eetre, avec des dates claires<\/strong> :<\/p>\n\n\n\n On est le 15 f\u00e9vrier 2026<\/strong> :<\/p>\n\n\n\n Donc si ton organisation a des usages sensibles\u2026 c\u2019est le moment d\u2019\u00eatre adulte.<\/p>\n\n\n\n Depuis le 2 f\u00e9vrier 2025<\/strong>, l\u2019AI Act met aussi l\u2019accent sur la \u201cAI literacy\u201d<\/strong> (culture\/comp\u00e9tences IA) \u2013 en gros : s\u2019assurer que les personnes qui utilisent de l\u2019IA comprennent suffisamment ce qu\u2019elles font. (Strat\u00e9gie num\u00e9rique de l’UE<\/a>)<\/p>\n\n\n\n Et l\u00e0, je vois venir le grand classique :<\/p>\n\n\n\n \u201cOn va acheter une formation e-learning de 6 heures et cocher la case.\u201d<\/p>\n<\/blockquote>\n\n\n\n Mauvaise approche.<\/p>\n\n\n\n La bonne approche, c\u2019est \u201cjuste assez de rigueur\u201d :<\/p>\n\n\n\n L\u2019objectif n\u2019est pas de transformer tout le monde en data scientist. On va \u00eatre clair : les plafonds d\u2019amende sont dissuasifs.<\/p>\n\n\n\n Selon l\u2019infraction, on parle notamment de : (ai-act-service-desk.ec.europa.eu<\/a>)<\/p>\n\n\n\n Et l\u2019AI Act pr\u00e9cise que pour les PME, le plafond est \u201cle plus bas\u201d entre montant fixe et pourcentage (ce qui \u00e9vite certains sc\u00e9narios absurdes). (ai-act-service-desk.ec.europa.eu<\/a>)<\/p>\n\n\n\n Mais le vrai sujet n\u2019est pas \u201cle montant\u201d. En clair : si tu peux montrer que tu as identifi\u00e9 tes cas d\u2019usage, class\u00e9 les risques, mis des garde-fous, form\u00e9 les \u00e9quipes, et document\u00e9 ce qui doit l\u2019\u00eatre\u2026 tu n\u2019es pas dans la posture \u201con a jou\u00e9 avec une tron\u00e7onneuse les yeux ferm\u00e9s\u201d.<\/p>\n\n\n\n Je te propose une d\u00e9marche simple, orient\u00e9e terrain.<\/p>\n\n\n\n Liste :<\/p>\n\n\n\n Spoiler : la moiti\u00e9 des usages IA sont souvent \u201cinformels\u201d (et donc risqu\u00e9s).<\/p>\n\n\n\n Tu n\u2019as pas besoin d\u2019un cabinet \u00e0 1 200 \u20ac\/jour pour faire une premi\u00e8re passe.<\/p>\n\n\n\n Demande (au minimum) :<\/p>\n\n\n\n Pas 30 pages. Ce que l\u2019AI Act demande, au fond, c\u2019est :<\/p>\n\n\n\n Et si tu fais \u00e7a bien\u2026 tu gagnes aussi :<\/p>\n\n\n\n Bref : ce n\u2019est pas juste une contrainte. \u201cL\u2019AI Act ne nous demande pas d\u2019arr\u00eater l\u2019IA. Il nous demande d\u2019arr\u00eater l\u2019IA floue, non ma\u00eetris\u00e9e, et potentiellement injuste. Donc : on cartographie, on classe le risque, on met des garde-fous, et on avance.\u201d<\/p>\n<\/blockquote>\n\n\n\n
\n\n\n\n0) Avant de rentrer dans le dur : 3 id\u00e9es simples \u00e0 garder en t\u00eate<\/h2>\n\n\n\n
Tu peux faire de l\u2019IA \u201ctranquille\u201d (filtre anti-spam, recommandations de produits, am\u00e9lioration d\u2019un process interne) sans tomber dans la cat\u00e9gorie \u201cfilm d\u2019horreur r\u00e9glementaire\u201d.<\/p>\n\n\n\n
Plus ton syst\u00e8me peut faire des d\u00e9g\u00e2ts, plus tu dois documenter, contr\u00f4ler, tracer, superviser<\/strong>. (Strat\u00e9gie num\u00e9rique de l’UE<\/a>)<\/p>\n\n\n\n
Notamment : interdictions<\/strong> + AI literacy<\/strong> depuis le 2 f\u00e9vrier 2025<\/strong>, et r\u00e8gles GPAI<\/strong> depuis le 2 ao\u00fbt 2025<\/strong>. (Strat\u00e9gie num\u00e9rique de l’UE<\/a>)<\/p>\n\n\n\n
\n\n\n\n1) L\u2019AI Act, c\u2019est quoi (et ce que ce n\u2019est pas)<\/h2>\n\n\n\n
\n
un cadre type \u201cmise sur le march\u00e9 + conformit\u00e9 + surveillance\u201d.<\/strong>
Sauf que l\u00e0\u2026 l\u2019objet, c\u2019est une IA.<\/p>\n\n\n\n
\n\n\n\n2) La m\u00e9canique centrale : 4 niveaux de risque (et un bon sens assez brutal)<\/h2>\n\n\n\n
1) Risque inacceptable : interdit<\/strong><\/h3>\n\n\n\n
2) Haut risque : autoris\u00e9 mais tr\u00e8s encadr\u00e9<\/strong><\/h3>\n\n\n\n
3) Transparence : autoris\u00e9, mais tu dois l\u2019annoncer<\/strong><\/h3>\n\n\n\n
4) Risque minimal : rien de sp\u00e9cifique<\/strong><\/h3>\n\n\n\n
\n
\n\n\n\n3) Les 8 pratiques interdites : l\u00e0 o\u00f9 l\u2019Europe dit \u201cstop\u201d<\/h2>\n\n\n\n
\n
Bonne nouvelle : tu es probablement tr\u00e8s loin de ces cas.<\/p>\n\n\n\n
\n\n\n\n4) Le vrai sujet pour les entreprises : \u201chaut risque\u201d ne veut pas dire \u201cscience-fiction\u201d<\/h2>\n\n\n\n
\n
C\u2019est souvent\u2026 un logiciel RH, un outil bancaire, un module de contr\u00f4le, un scoring<\/strong>.<\/p>\n\n\n\nEt \u201chaut risque\u201d implique quoi, concr\u00e8tement ?<\/h3>\n\n\n\n
\n
\n
\n\n\n\n5) Transparence : le point qui va rattraper beaucoup de monde (marketing inclus)<\/h2>\n\n\n\n
\n
(Je vous renvoie \u00e0 mon autre marotte : les mots, la rigueur, tout \u00e7a.)<\/p>\n\n\n\n
\n\n\n\n6) GPAI \/ mod\u00e8les g\u00e9n\u00e9ralistes : \u201c\u00e7a concerne surtout les gros\u201d\u2026 jusqu\u2019au jour o\u00f9 vous \u00eates dans la cha\u00eene<\/h2>\n\n\n\n
\n
\u201cOk mais moi je suis une PME, je n\u2019entra\u00eene pas un mod\u00e8le\u201d<\/h3>\n\n\n\n
\n
qu\u2019est-ce que ton fournisseur te fournit comme garanties \/ docs \/ conditions d\u2019usage ?<\/strong><\/p>\n\n\n\n
\n\n\n\n7) Les dates : parce que \u201cbient\u00f4t\u201d ne sert \u00e0 rien<\/h2>\n\n\n\n
\n
\n
\n\n\n\n8) L\u2019obligation la plus sous-estim\u00e9e : l\u2019AI literacy (oui, c\u2019est d\u00e9j\u00e0 applicable)<\/h2>\n\n\n\n
\n
Un plan simple (et r\u00e9aliste)<\/h3>\n\n\n\n
\n
C\u2019est d\u2019\u00e9viter que quelqu\u2019un balance des donn\u00e9es sensibles dans un outil externe, ou prenne une d\u00e9cision RH sur la foi d\u2019un score magique.<\/p>\n\n\n\n
\n\n\n\n9) Les sanctions : oui, les chiffres piquent (et c\u2019est fait pour)<\/h2>\n\n\n\n
\n
Le vrai sujet c\u2019est : la capacit\u00e9 \u00e0 d\u00e9montrer que tu ma\u00eetrises tes usages<\/strong>.<\/p>\n\n\n\n
\n\n\n\n10) \u201cOk, on fait quoi ?\u201d Un plan anti-th\u00e9\u00e2tre en 6 \u00e9tapes<\/h2>\n\n\n\n
1) Faire l\u2019inventaire (oui, vraiment)<\/h3>\n\n\n\n
\n
2) Classer selon les 4 niveaux de risque<\/h3>\n\n\n\n
\n
3) Identifier ton r\u00f4le : fournisseur ou d\u00e9ployeur ?<\/h3>\n\n\n\n
\n
4) V\u00e9rifier les fournisseurs (le fameux \u201con veut les preuves\u201d)<\/h3>\n\n\n\n
\n
5) Mettre en place les garde-fous \u201chumains\u201d<\/h3>\n\n\n\n
\n
6) Former (AI literacy) + \u00e9crire une charte courte<\/h3>\n\n\n\n
Une page. Deux max.
Avec des exemples concrets.<\/p>\n\n\n\n
\n\n\n\nConclusion : l\u2019AI Act, ce n\u2019est pas \u201cun truc de juristes\u201d. C\u2019est un test de maturit\u00e9.<\/h2>\n\n\n\n
\n
\n
C\u2019est aussi une opportunit\u00e9 de sortir du \u201cvernis IA\u201d et de passer en mode pro.<\/p>\n\n\n\n
\n\n\n\n(Bonus) La phrase toute pr\u00eate \u00e0 ressortir en r\u00e9union<\/h3>\n\n\n\n
\n
\n\n\n\nSources et liens<\/h2>\n\n\n\n
\n