Votre entreprise utilise ChatGPT ? Ce que l’AI Act vous oblige désormais à faire
ChatGPT est entré dans l’entreprise avant que l’entreprise ait réellement eu le temps de décider comment elle souhaitait l’utiliser. Un salarié lui demande de corriger un courriel, un commercial fait traduire une proposition, le service marketing lui confie la rédaction d’une publication LinkedIn, un dirigeant lui transmet un contrat à résumer et, parfois, un recruteur lui demande même de comparer plusieurs curriculum vitae.
Juridiquement, ces situations ne se valent pourtant absolument pas.
Depuis le 2 août 2026, une partie substantielle du règlement européen sur l’intelligence artificielle, le règlement (UE) 2024/1689 dit « AI Act » ou « RIA », est entrée en application. Le texte a en outre été sensiblement modifié par le règlement (UE) 2026/1744 du 8 juillet 2026, entré en vigueur le 27 juillet 2026. La réforme a notamment allégé certaines obligations et reporté l'application du régime des systèmes d'IA à haut risque, sans remettre en cause le principe essentiel du texte : l'entreprise qui utilise un système d'IA peut elle-même devenir un acteur réglementé, même lorsqu'elle n'a développé aucun algorithme.
C'est précisément ce qui rend le sujet beaucoup plus concret qu'il n'y paraît. Une PME française qui utilise ChatGPT, Microsoft Copilot, Gemini, Claude ou un autre outil d'intelligence artificielle n'a évidemment pas les mêmes obligations que l'entreprise qui développe le modèle. Mais elle ne peut plus considérer l'IA comme un simple logiciel bureautique dont l'utilisation serait juridiquement neutre.
L'article 3 du règlement qualifie de « déployeur » toute personne physique ou morale qui utilise un système d'IA sous son autorité, sauf lorsqu'il s'agit d'une activité personnelle non professionnelle. Une société dont les salariés utilisent ChatGPT dans le cadre de leur travail entre donc, en principe, dans cette logique de déploiement. La Commission européenne l'a d'ailleurs confirmé de manière particulièrement concrète : une entreprise dont les salariés utilisent ChatGPT pour rédiger des textes publicitaires ou effectuer des traductions est concernée par l'obligation de maîtrise de l'IA prévue à l'article 4.
La question n'est donc plus véritablement de savoir si les entreprises peuvent utiliser ChatGPT. Elles le peuvent. La question est de savoir comment elles doivent désormais organiser cette utilisation.
Et la réponse suppose de distinguer deux situations très différentes : utiliser ChatGPT comme assistant de travail n'est pas la même chose que lui déléguer une décision concernant un salarié, un candidat, un client ou une personne physique.
I. Utiliser ChatGPT dans l'entreprise fait entrer l'IA dans le champ de la conformité, sans transformer pour autant tout usage en activité « à haut risque »
A. L'entreprise qui utilise ChatGPT devient généralement un « déployeur » d'IA
L'une des erreurs les plus fréquentes consiste à penser que l'AI Act concernerait principalement OpenAI, Microsoft, Google, Anthropic ou les autres sociétés qui développent les modèles.
C'est seulement partiellement exact.
Le règlement distingue plusieurs acteurs : fournisseurs, importateurs, distributeurs et déployeurs. Le fournisseur conçoit ou fait concevoir un système d'IA et le met sur le marché sous son nom ou sa marque. Le déployeur, beaucoup plus simplement, est celui qui utilise un système d'IA sous son autorité dans un cadre professionnel.
Lorsqu'une entreprise souscrit quelques licences ChatGPT et les met à disposition de ses salariés, elle ne devient évidemment pas pour autant le développeur de GPT. Elle ne supporte donc pas les obligations imposées à OpenAI en sa qualité de fournisseur d'un modèle d'IA à usage général.
En revanche, elle devient juridiquement responsable de sa propre manière d'utiliser le système.
La distinction est essentielle.
Prenons l'exemple d'une PME de cinquante salariés.
Le service communication utilise ChatGPT pour reformuler des articles et préparer des publications pour les réseaux sociaux.
Le service commercial traduit des courriels en anglais et rédige des réponses à des appels d'offres.
La direction utilise l'outil pour résumer un rapport de 150 pages.
Le service des ressources humaines lui communique vingt CV et lui demande : « Classe ces candidats du meilleur au moins bon pour ce poste. »
Il s'agit toujours de ChatGPT. Pourtant, juridiquement, le quatrième usage est sans commune mesure avec les trois premiers.
L'AI Act ne raisonne en effet pas principalement à partir du nom du logiciel. Il raisonne à partir de l'usage qui est fait de l'intelligence artificielle et du risque que cet usage fait peser sur les personnes.
Cette approche explique pourquoi il serait excessif d'affirmer que toute entreprise utilisant ChatGPT doit immédiatement mettre en place une lourde procédure de conformité comparable à celle prévue par le RGPD.
Un salarié qui demande à ChatGPT de reformuler une phrase, de corriger une faute d'orthographe ou de traduire un texte ne fait normalement pas entrer son entreprise dans le régime des systèmes d'IA à haut risque.
La CNIL rappelle d'ailleurs que la grande majorité des systèmes d'IA actuellement utilisés dans l'Union relèvent d'usages présentant un risque minimal et ne supportent pas, de ce seul fait, les obligations renforcées prévues pour les systèmes à haut risque.
Cela ne signifie cependant pas « aucune règle ».
Une première obligation existe déjà : la maîtrise de l'IA
L'article 4 de l'AI Act mérite ici une attention particulière.
Depuis le 2 février 2025, les fournisseurs et les déployeurs doivent prendre des mesures destinées à soutenir le développement de la maîtrise de l'IA de leur personnel et des autres personnes utilisant des systèmes d'IA pour leur compte.
Le règlement demande notamment de prendre en considération les connaissances techniques des intéressés, leur expérience, leur formation, le contexte dans lequel l'IA est utilisée et les personnes susceptibles d'être affectées. Après la réforme de juillet 2026, le texte précise cependant qu'il n'est pas nécessaire de garantir qu'un salarié déterminé ait atteint un niveau uniforme ou certifié de compétence.
C'est un changement important par rapport à certaines présentations très alarmistes de l'AI Act.
L'article 4 n'impose ni diplôme en intelligence artificielle, ni certification européenne obligatoire, ni formation standardisée de vingt heures, ni nomination automatique d'un « AI Officer ».
La Commission européenne confirme qu'aucun certificat spécifique n'est nécessaire et qu'aucune structure de gouvernance particulière n'est imposée pour satisfaire à l'article 4.
Une entreprise peut parfaitement assurer cette maîtrise de l'IA par des ressources internes, à condition que les mesures soient adaptées aux outils et aux usages concernés. Elle peut également conserver une trace interne des formations, consignes et actions de sensibilisation mises en œuvre.
L'exemple donné par la Commission est presque exactement celui qui nous intéresse ici : une entreprise dont les employés utilisent ChatGPT pour rédiger des textes publicitaires ou effectuer des traductions doit prendre en compte les risques spécifiques de l'outil, notamment celui des « hallucinations », c'est-à-dire la production d'informations incorrectes présentées de manière apparemment convaincante.
La bonne conclusion n'est donc pas : « toutes les entreprises doivent envoyer leurs salariés en formation certifiante ».
Elle est beaucoup plus pragmatique : une entreprise ne devrait plus laisser ses salariés utiliser professionnellement une IA générative sans leur avoir expliqué au minimum ce que l'outil sait faire, ce qu'il ne sait pas faire et les risques associés à son utilisation.
Un comptable qui utilise une IA pour rédiger un courrier n'a pas nécessairement besoin du même niveau d'information qu'un développeur qui l'intègre dans un logiciel métier. Un recruteur qui l'utilise pour analyser des candidatures doit en revanche comprendre les problèmes de biais, d'automatisation et de décision individuelle que cet usage peut entraîner.
C'est exactement la logique retenue par le règlement.
La conformité commence donc bien avant les systèmes « à haut risque »
Pour beaucoup d'entreprises, l'obligation la plus immédiate n'est donc pas d'organiser une procédure complexe d'évaluation de conformité. Elle consiste d'abord à savoir où l'IA est utilisée dans l'entreprise.
Or cette première étape est souvent absente.
La direction a éventuellement souscrit une licence Copilot, mais des salariés utilisent parallèlement leurs comptes personnels ChatGPT, Gemini ou Claude. Certains téléchargent des documents professionnels. D'autres utilisent des applications spécialisées intégrant en réalité un modèle d'IA fourni par un tiers. D'autres encore ont connecté une IA à leur messagerie ou à leurs outils commerciaux.
Le véritable risque tient alors à ce que l'entreprise réglemente seulement les outils qu'elle a officiellement achetés et ignore les usages réels.
On retrouve ici un problème déjà connu en matière informatique avec le shadow IT. Il existe désormais un véritable « shadow AI » : l'utilisation d'intelligences artificielles par les salariés sans décision formelle de la direction et parfois sans connaissance du service informatique, du responsable de la sécurité ou du délégué à la protection des données.
L'AI Act donne donc une raison supplémentaire de cartographier ces usages.
Mais le RGPD, la protection du secret des affaires et les obligations de confidentialité en fournissent d'autres.
La CNIL recommande expressément aux organismes d'encadrer l'utilisation des systèmes d'IA générative par des politiques ou chartes internes définissant les usages autorisés et interdits. Elle attire notamment l'attention sur la transmission de données confidentielles ou personnelles à des systèmes dont les conditions d'utilisation peuvent prévoir certaines réutilisations des informations communiquées.
L'AI Act ne doit donc pas être lu isolément.
Un salarié qui copie dans ChatGPT un tableau contenant le nom de cinquante clients, leurs coordonnées et leurs difficultés financières pose peut-être une question d'AI Act, mais il pose immédiatement une question de RGPD, de confidentialité et éventuellement de secret des affaires.
L'entreprise qui s'intéresserait exclusivement à l'AI Act manquerait donc une grande partie du problème.
B. Tout dépend de ce que l'entreprise demande réellement à l'IA : rédiger un courriel n'est pas sélectionner un salarié
Le point décisif est le suivant : ChatGPT n'a pas une qualification juridique unique pour tous les usages qui peuvent en être faits.
L'AI Act réglemente notamment les modèles d'IA à usage général, précisément parce que le même modèle peut être utilisé pour accomplir des tâches extrêmement différentes.
Cette distinction entre le modèle et son utilisation est fondamentale pour les entreprises.
Demander :
« Corrige l'orthographe de ce texte »
n'est pas juridiquement équivalent à :
« Analyse ces vingt CV, détermine quels candidats paraissent les plus performants et classe-les par ordre de préférence. »
Dans le premier cas, l'IA est essentiellement utilisée comme outil rédactionnel.
Dans le second, elle intervient dans un processus ayant directement des conséquences sur l'accès d'une personne à l'emploi.
Or l'annexe III de l'AI Act vise expressément comme systèmes à haut risque les systèmes destinés à être utilisés pour le recrutement ou la sélection de personnes physiques, notamment pour publier des offres ciblées, analyser et filtrer des candidatures ou évaluer des candidats. Sont également visés certains systèmes utilisés pour prendre des décisions affectant les relations de travail, attribuer des tâches en fonction du comportement ou des caractéristiques individuelles ou surveiller et évaluer les performances des travailleurs.
Cette disposition fournit une frontière très utile.
Utiliser une IA pour rédiger l'annonce d'un poste à pourvoir n'est pas la même chose que l'utiliser pour décider qui doit obtenir ce poste.
Utiliser ChatGPT pour améliorer la formulation d'un entretien annuel n'est pas la même chose que lui demander d'analyser les performances de plusieurs salariés et de désigner celui qui doit être licencié.
Utiliser une IA pour expliquer une grille tarifaire à un client n'est pas nécessairement la même chose que lui confier une décision individualisée de solvabilité.
L'entreprise doit donc apprendre à raisonner non par logiciel, mais par cas d'usage.
Les obligations renforcées relatives aux systèmes à haut risque ont été reportées
Une précision de calendrier est indispensable, car beaucoup d'articles disponibles sur Internet sont déjà dépassés.
Le règlement omnibus de juillet 2026 a reporté l'application de plusieurs dispositions de l'AI Act concernant les systèmes à haut risque.
Pour les systèmes relevant de l'annexe III — ce qui comprend notamment le recrutement, certains usages dans l'emploi, l'éducation, l'accès à certains services essentiels, la biométrie ou l'administration de la justice — les règles correspondantes entreront en application le 2 décembre 2027.
Pour certains systèmes d'IA intégrés à des produits réglementés, l'échéance a été portée au 2 août 2028.
Une entreprise qui utilise actuellement de l'IA dans son processus de recrutement ne doit donc pas appliquer dès septembre 2026 l'intégralité du régime de l'article 26 comme s'il était déjà pleinement entré en vigueur pour les systèmes de l'annexe III.
Mais elle aurait tort d'en déduire qu'elle peut attendre décembre 2027 pour se poser la question.
D'abord parce que le RGPD, le droit du travail, les règles relatives aux discriminations et les principes applicables aux décisions automatisées existent déjà.
Ensuite parce que préparer la conformité d'un système intervenant dans le recrutement demande précisément de comprendre son fonctionnement, son fournisseur, les données utilisées et les responsabilités contractuelles.
Enfin parce que l'AI Act contient un mécanisme particulièrement important pour les entreprises qui transforment ou détournent un outil généraliste de son usage initial.
Transformer une IA généraliste peut faire changer l'entreprise de rôle juridique
L'article 25 mérite, à cet égard, d'être beaucoup plus connu.
Dans certaines circonstances, un déployeur peut être considéré comme le fournisseur d'un système à haut risque.
Cela peut notamment se produire lorsqu'il modifie la finalité d'un système d'IA, y compris d'un système à usage général, qui n'était pas initialement classé à haut risque, de telle manière que le système devienne lui-même un système à haut risque.
Ce mécanisme peut avoir des conséquences considérables.
Une entreprise qui se contente d'utiliser un service d'IA conformément à sa fonction générale demeure normalement déployeur.
Mais une entreprise qui construit sur un modèle généraliste une application interne spécifiquement destinée à filtrer automatiquement les CV, évaluer des candidats ou prendre une autre décision relevant d'une catégorie à haut risque peut, selon la configuration retenue, changer de position dans la chaîne réglementaire.
Elle ne peut donc pas toujours répondre : « Notre fournisseur est OpenAI, c'est à lui de respecter l'AI Act ».
Ce raisonnement risque de devenir particulièrement important avec l'arrivée des agents d'IA.
Une entreprise pourra bientôt ne plus simplement interroger un chatbot, mais autoriser un agent à consulter ses courriels, accéder à son CRM, préparer des réponses, exécuter certaines opérations et éventuellement décider d'une action à entreprendre.
La CNIL a d'ailleurs souligné en juillet 2026 que l'essor des systèmes d'IA agentique entraîne des chaînes de traitement complexes et parfois opaques, précisément parce que l'outil n'est plus seulement appelé à produire un texte mais à agir dans l'environnement de son utilisateur.
Le sujet de la conformité va donc se déplacer progressivement : moins « avons-nous le droit d'utiliser ChatGPT ? » que « jusqu'où avons-nous autorisé ChatGPT ou un agent fondé sur un modèle comparable à agir à notre place ? »
II. Une entreprise qui utilise ChatGPT devrait désormais organiser concrètement ses usages de l'IA
A. La première obligation pratique consiste à reprendre le contrôle : inventaire, règles internes, maîtrise de l'IA et vérification humaine
Il serait contre-productif de répondre à l'AI Act par une interdiction générale de l'intelligence artificielle.
Dans beaucoup d'entreprises, une telle interdiction serait d'ailleurs purement théorique. Les salariés continueraient probablement à utiliser des outils gratuits depuis un navigateur ou un téléphone personnel, mais l'entreprise perdrait toute capacité d'en contrôler les usages.
Une politique efficace consiste plutôt à distinguer ce qui est autorisé, ce qui doit être encadré et ce qui doit être interdit.
Cartographier avant de réglementer
La première question devrait être extrêmement simple : pourquoi utilisons-nous de l'IA ?
Dans une entreprise classique, les réponses peuvent rapidement devenir nombreuses : traduction, rédaction, synthèse documentaire, recherche, génération d'images, assistance au développement informatique, support client, marketing, analyse financière, préparation de présentations, recrutement, notation commerciale, gestion des stocks, analyse d'appels téléphoniques ou automatisation de tâches.
Ces usages doivent ensuite être rapprochés des données traitées et des personnes susceptibles d'être affectées.
Un usage peut être banal quant à sa finalité mais sensible quant aux données communiquées.
Faire résumer un document public ne pose pas le même problème que faire résumer un dossier médical, un dossier disciplinaire ou un projet d'acquisition confidentiel.
La conformité à l'AI Act ne remplace donc pas l'analyse du RGPD.
La CNIL rappelle qu'au stade de l'utilisation d'un système d'IA, le déployeur qui traite des données personnelles sera le plus souvent lui-même responsable du traitement au sens du RGPD.
Dire à un salarié « vous pouvez utiliser ChatGPT » ne suffit donc pas.
Il faut également déterminer ce qu'il peut lui communiquer.
Une charte IA devient difficilement évitable
Aucun article du règlement n'impose formellement à toutes les entreprises européennes de disposer d'un document portant le titre « Charte d'utilisation de l'intelligence artificielle ».
Pourtant, dans la pratique, un tel document constitue probablement l'un des moyens les plus simples de démontrer que l'entreprise a effectivement encadré ses usages.
La CNIL recommande elle-même le recours à des politiques ou chartes internes distinguant les usages autorisés et interdits.
Une charte utile ne devrait pas être une déclaration de principes abstraits sur « l'IA éthique ».
Elle devrait répondre à des questions beaucoup plus simples.
Quels outils sont autorisés ?
Peut-on utiliser un compte personnel ?
Peut-on communiquer une liste de clients ?
Peut-on télécharger un contrat confidentiel ?
Peut-on demander à l'IA de rédiger une réponse qui sera ensuite envoyée automatiquement ?
Qui doit vérifier une production avant son envoi ?
Une réponse générée peut-elle servir à évaluer un candidat ?
Peut-on générer une photographie réaliste d'une personne ?
Quand faut-il indiquer qu'un contenu a été produit ou modifié par IA ?
C'est à ce niveau que l'AI Act devient véritablement du droit de l'entreprise.
Former ne signifie pas nécessairement organiser une formation lourde
L'article 4 offre ici davantage de souplesse qu'on ne le croit.
Pour une entreprise dont les salariés utilisent uniquement une IA générative comme assistant rédactionnel, une sensibilisation adaptée peut probablement reposer sur un dispositif relativement simple : explication du fonctionnement général de l'outil, mise en garde contre les hallucinations, règles relatives aux informations confidentielles, nécessité d'une vérification humaine et présentation des usages interdits par la politique de l'entreprise.
La Commission précise qu'elle n'exige ni certificat déterminé ni mesure uniforme des connaissances de tous les salariés.
En revanche, l'intensité du dispositif devrait logiquement augmenter avec le risque.
Une personne qui utilise l'IA pour corriger l'orthographe de courriels n'a pas besoin du même accompagnement qu'une équipe qui développe un agent autonome ou qu'un service RH qui utilise un système pour filtrer des candidatures.
C'est d'ailleurs l'un des intérêts du nouveau texte de l'article 4 : il permet une démarche proportionnée.
La vérification humaine ne doit pas devenir une fiction
La nécessité d'une intervention humaine mérite néanmoins davantage qu'une mention dans une charte.
Le principal danger de l'IA générative n'est pas seulement qu'elle puisse se tromper. C'est qu'elle puisse se tromper avec suffisamment d'assurance pour que l'utilisateur ne vérifie plus.
La CNIL rappelle que les modèles génératifs fonctionnent selon une logique probabiliste et peuvent produire des informations inexactes tout en leur donnant une apparence plausible. Une confiance excessive dans leurs productions peut donc conduire à des décisions erronées.
Une politique interne sérieuse devrait donc définir les productions nécessitant impérativement une validation humaine.
Un brouillon de courriel interne n'appelle pas le même niveau de contrôle qu'un avis juridique, un calcul financier, une réponse adressée à une administration, une analyse médicale ou une décision concernant un salarié.
Le contrôle humain doit également être réel.
Demander au salarié de cliquer sur « valider » après avoir regardé pendant deux secondes un résultat produit automatiquement ne transforme pas une décision automatisée en décision véritablement humaine.
La valeur du contrôle dépend de la capacité de la personne à comprendre le résultat, à le critiquer et, surtout, à le rejeter.
B. L'entreprise doit identifier les trois zones dans lesquelles l'usage quotidien de ChatGPT peut changer de nature juridique
Une bonne politique d'IA peut être construite autour de trois seuils.
Le premier est celui des données.
Le deuxième est celui de la décision.
Le troisième est celui de la publication du contenu produit.
Premier seuil : introduire des données personnelles ou confidentielles dans le système
Cette question ne relève pas uniquement de l'AI Act, mais elle est probablement celle qui présente aujourd'hui le risque pratique le plus immédiat.
Lorsqu'un salarié copie une information dans une IA générative, il ne devrait jamais considérer qu'il la communique à un simple traitement de texte local.
Il utilise un service informatique fourni par un tiers, soumis à des conditions contractuelles, à une architecture technique et à des règles relatives aux données qui doivent être connues.
Il faut donc examiner l'offre réellement souscrite par l'entreprise plutôt que raisonner abstraitement à partir du nom « ChatGPT ».
Une offre professionnelle comportant des garanties contractuelles précises n'est pas nécessairement comparable à un compte gratuit ouvert personnellement par un salarié.
C'est pourquoi le choix de l'outil fait lui-même partie de la conformité.
L'entreprise devrait vérifier les conditions relatives à l'utilisation des données, à leur conservation, aux éventuels transferts, aux sous-traitants, aux mesures de sécurité et aux possibilités d'administration des comptes.
Le raisonnement est comparable pour les informations couvertes par le secret des affaires ou par une obligation professionnelle de confidentialité.
Une société qui prépare une acquisition ne devrait évidemment pas permettre à un salarié de télécharger, sans aucun contrôle, une data room confidentielle dans n'importe quel service d'IA disponible gratuitement sur Internet.
Le risque réglementaire ne vient alors pas seulement de l'intelligence artificielle. Il vient du fait que l'IA rend extrêmement facile une communication de données qui aurait paru beaucoup plus manifestement problématique si le salarié avait dû les envoyer par courriel à une société tierce.
Deuxième seuil : demander à l'IA de participer à une décision concernant une personne
C'est probablement le meilleur test pratique.
Lorsque l'IA produit seulement un texte destiné à aider le salarié, le risque reste souvent limité.
Lorsque son résultat commence à déterminer ce qui va arriver à une personne physique, l'analyse doit changer.
Le recrutement fournit l'exemple le plus évident.
L'annexe III vise expressément l'analyse et le filtrage des candidatures ainsi que l'évaluation des candidats.
Mais la même logique existe pour certains systèmes qui influencent les promotions, les licenciements, l'attribution des tâches ou la surveillance du comportement et des performances des salariés.
À compter du 2 décembre 2027, les obligations applicables aux déployeurs de ces systèmes à haut risque seront particulièrement structurantes.
L'article 26 prévoit notamment une utilisation conforme aux instructions du fournisseur, une surveillance humaine confiée à des personnes compétentes et disposant de l'autorité nécessaire, un suivi du fonctionnement du système, la conservation de certains journaux lorsqu'ils sont sous le contrôle du déployeur et, pour les employeurs, l'information des représentants des travailleurs et des salariés concernés avant l'utilisation d'un système à haut risque sur le lieu de travail.
Le contrôle humain ne sera donc plus seulement une recommandation de bonne pratique dans ces situations : il fera partie de l'architecture réglementaire du système.
Il faut également éviter une confusion : l'analyse d'impact sur les droits fondamentaux prévue par l'article 27 ne concerne pas indistinctement toute entreprise utilisant un système à haut risque. Elle vise principalement certaines personnes publiques, les entités privées fournissant des services publics et certains déployeurs intervenant dans des secteurs spécialement désignés, notamment certaines évaluations de solvabilité et d'assurance.
Il faut donc examiner la qualification exacte du déployeur et du système plutôt que reproduire une « checklist AI Act » identique pour toutes les sociétés.
Troisième seuil : publier un contenu produit par l'intelligence artificielle
Depuis le 2 août 2026, les obligations de transparence de l'article 50 sont devenues beaucoup plus concrètes.
Le texte distingue ici encore le fournisseur du déployeur.
Le fournisseur d'un système destiné à interagir directement avec une personne doit, sauf si cela est évident, faire en sorte que celle-ci sache qu'elle interagit avec une IA.
Les fournisseurs de systèmes générant des contenus synthétiques doivent également mettre en place, sous certaines conditions, un marquage lisible par machine permettant de détecter l'origine artificielle du contenu. Une période transitoire existe cependant jusqu'au 2 décembre 2026 pour certains systèmes déjà mis sur le marché avant le 2 août.
Mais certaines obligations pèsent directement sur le déployeur.
Lorsqu'une entreprise publie une image, un enregistrement audio ou une vidéo constituant un deepfake, elle doit en principe indiquer que le contenu a été généré ou manipulé artificiellement.
Le règlement traite également des textes produits ou manipulés par IA et publiés afin d'informer le public sur des questions d'intérêt public.
Sur ce point, une nuance essentielle est souvent oubliée : l'obligation de signalement ne s'applique pas lorsque le contenu généré par IA a fait l'objet d'un processus de revue humaine ou de contrôle éditorial et qu'une personne physique ou morale assume la responsabilité éditoriale de sa publication.
Cette exception est particulièrement importante pour les entreprises qui utilisent une IA pour assister la rédaction de contenus.
L'AI Act n'impose donc pas la mention « ce texte a été écrit par ChatGPT » sous chaque publication LinkedIn dont une phrase aurait été reformulée par une IA.
Il faut apprécier la nature du contenu, la finalité de sa publication et surtout le niveau de contrôle humain exercé.
Une entreprise qui conserve une véritable maîtrise éditoriale de ses publications ne se trouve pas dans la même situation qu'un site automatisé produisant des centaines d'articles sans lecture humaine.
Cette distinction est probablement appelée à prendre une importance croissante à mesure que la production de contenus automatisés devient techniquement plus facile.
L'entreprise n'a donc pas besoin d'interdire ChatGPT : elle doit être capable d'expliquer comment elle l'utilise
C'est probablement la conclusion la plus utile de l'AI Act pour une PME ou une entreprise de taille intermédiaire.
L'Europe n'a pas interdit l'utilisation professionnelle de ChatGPT.
Elle n'oblige pas davantage toutes les entreprises à créer immédiatement une direction juridique de l'intelligence artificielle.
Mais le temps où un dirigeant pouvait répondre « je ne sais pas exactement comment mes salariés utilisent ChatGPT » devient progressivement difficile à concilier avec une véritable politique de conformité.
En septembre 2026, une entreprise utilisant régulièrement des systèmes d'IA devrait au minimum pouvoir répondre à quelques questions simples :
Quels outils d'IA sont effectivement utilisés par nos salariés et pour quelles tâches ?
Quelles informations peuvent ou ne peuvent pas leur être communiquées ?
Nos salariés connaissent-ils les limites principales de ces outils, notamment le risque d'hallucination ?
Quels résultats nécessitent une validation humaine avant d'être utilisés ?
L'IA intervient-elle dans une décision concernant un candidat, un salarié, un client ou une autre personne physique ?
Produisons-nous des contenus pour lesquels les obligations de transparence de l'article 50 peuvent s'appliquer ?
Avons-nous conservé une trace raisonnable des règles, informations et actions de sensibilisation mises en place ?
Il n'est pas nécessaire de transformer ces sept questions en un système bureaucratique disproportionné.
En revanche, ne pas être capable d'y répondre constitue déjà un indicateur assez fiable d'un usage de l'IA qui n'est pas réellement maîtrisé.
Le montant maximal des sanctions prévues par l'AI Act explique également pourquoi le sujet ne doit pas être traité comme une simple question de bonnes pratiques. Une violation des pratiques interdites de l'article 5 peut être sanctionnée jusqu'à 35 millions d'euros ou, pour une entreprise, 7 % du chiffre d'affaires annuel mondial. Certains manquements aux obligations imposées aux opérateurs, notamment aux articles 26 et 50, peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial. Pour les PME, le règlement prévoit cependant que le plafond applicable est le plus faible entre le montant fixe et le pourcentage correspondant.
Ces montants maximaux ne doivent pas être utilisés pour créer artificiellement de l'inquiétude : toutes les obligations n'emportent pas les mêmes sanctions et le règlement impose de tenir compte de la gravité, de la durée, de la responsabilité de l'entreprise, de sa coopération et des mesures organisationnelles qu'elle avait effectivement mises en place.
C'est précisément pourquoi la politique interne compte.
Une entreprise qui a identifié ses outils, défini les usages autorisés, sensibilisé ses salariés, organisé la vérification humaine et distingué les usages ordinaires des usages sensibles se trouve dans une position très différente d'une entreprise ayant simplement laissé l'IA s'installer sans aucune règle.
L'AI Act transforme ainsi progressivement la question de l'intelligence artificielle en une question classique de gouvernance d'entreprise.
Le véritable enjeu n'est plus de savoir si les salariés utilisent ChatGPT. Dans beaucoup d'entreprises, la réponse est déjà oui. Il est de savoir si l'entreprise sait ce qu'ils en font.
Commentaires