L'AI Act est entré en application par étapes, et la plupart des entreprises que nous rencontrons en surestiment les contraintes autant qu'elles en sous-estiment la documentation exigée.
La logique du texte : quatre niveaux de risque
Le règlement ne régule pas « l'IA » — il régule des usages, classés par risque. Les pratiques interdites (notation sociale, manipulation) ne concernent pas une entreprise normale. Le haut risque couvre des domaines précis : recrutement, crédit, éducation, infrastructures critiques. Le risque limité impose surtout de la transparence : un chatbot doit se déclarer comme tel. Tout le reste — la grande majorité des usages en entreprise — relève du risque minimal, sans obligation nouvelle.
Le piège du haut risque involontaire
Le cas qui surprend : un outil interne qui trie des CV ou évalue des collaborateurs est un système à haut risque, même s'il ne fait « que » pré-filtrer. Les obligations sont alors réelles : gestion des risques documentée, données de qualité démontrable, supervision humaine effective, journalisation, documentation technique.
Si vous utilisez de l'IA dans le recrutement ou l'évaluation RH, c'est le premier chantier à auditer. Pas parce que c'est interdit — parce que c'est encadré.
Ce que nous mettons en place par défaut
La bonne nouvelle : les exigences du règlement recoupent largement ce qu'un système bien construit fait déjà. Un registre des systèmes IA et de leur classification. La traçabilité des décisions — quelle version du modèle, quelles données, quel score de confiance. La supervision humaine avec un vrai pouvoir d'intervention, pas un tampon. Et une documentation qui décrit ce que le système sait et ne sait pas faire.
Ces quatre éléments coûtent peu quand ils sont intégrés dès la conception, et très cher en rattrapage.
Par où commencer
Un inventaire d'une page : chaque usage IA existant ou prévu, sa catégorie de risque, l'écart de conformité. Pour la plupart des PME, cet exercice tient en une journée et débouche sur trois actions concrètes. C'est nettement moins effrayant que la lecture du règlement — et c'est opposable, le jour où un client ou un auditeur pose la question.
