Êtes-vous concerné par l'AI Act ? La méthode pour le savoir en 5 minutes

Oui, si vous utilisez l'IA pour décider, recommander ou évaluer, vous êtes très probablement concerné par l'AI Act, mais pas forcément au niveau le plus lourd. La bonne nouvelle, c'est que vous pouvez le vérifier vous-même en quelques minutes, en répondant à quatre questions dans l'ordre. Beaucoup de dirigeants restent bloqués sur une fausse alternative : « soit ça ne nous concerne pas, soit on est dans le pire des cas ». La réalité est plus nuancée, et c'est cette nuance que la méthode ci-dessous vous permet de trancher sans jargon.

Le problème : « concerné » ne veut pas dire « tous au même niveau »

Le règlement européen sur l'IA ne fonctionne pas en tout ou rien. Il pose deux questions distinctes que l'on confond souvent. La première : entrez-vous dans le champ d'application du texte ? La seconde : si oui, à quel niveau d'exigence vos usages se situent-ils ? On peut très bien être dans le champ du règlement tout en n'ayant presque aucune obligation, ou au contraire déclencher un socle d'obligations strictes avec un seul cas d'usage.

Le scénario que je vois revenir : une entreprise se rassure en se disant « nous ne faisons pas d'IA », alors qu'un outil de tri de candidatures ou un module de détection de fraude tourne déjà chez elle. Le risque n'est pas d'être concerné, c'est de l'ignorer et de découvrir ses obligations dans l'urgence d'un contrôle.

La méthode en 4 questions

Posez-vous ces quatre questions dans l'ordre, pour chacun de vos outils d'IA pris séparément. Chaque réponse vous fait avancer d'un cran vers votre périmètre réel.

Question 1 : utilisez-vous un système d'IA ?

Le règlement vise les « systèmes d'IA », au sens large : un logiciel qui, à partir de données, génère des prédictions, des recommandations, du contenu ou des décisions. Cela inclut un assistant conversationnel, un moteur de scoring, un outil de tri, un module de détection ou un générateur de texte. Le bon réflexe est de lister tousles usages, y compris ceux que vos équipes ont adoptés sans validation, ce que l'on appelle le « Shadow AI ». On ne classe pas ce que l'on ne voit pas.

Si vous ne faites que consommer un service tiers (un correcteur orthographique, un filtre anti-spam), vous restez dans le champ, mais vos obligations seront le plus souvent minimales. Le simple fait d'utiliser l'IA ne suffit donc pas à conclure : il faut passer à la question suivante.

Question 2 : quel est votre rôle ?

Le texte distingue plusieurs rôles, et vos obligations en dépendent directement. Les deux qui concernent la plupart des entreprises sont le fournisseur(vous concevez ou faites concevoir un système d'IA, puis vous le mettez sur le marché sous votre nom) et le déployeur(vous utilisez, sous votre autorité, un système d'IA dans le cadre de votre activité).

• Vous êtes déployeursi vous achetez une solution du marché et l'intégrez à vos processus. C'est le cas le plus fréquent.
• Vous êtes fournisseur si vous développez votre propre modèle, ou si vous reprenez un outil existant et le commercialisez sous votre marque. Les obligations y sont plus lourdes.

Attention au piège : en personnalisant fortement un outil tiers, ou en le rebaptisant, vous pouvez basculer du statut de déployeur à celui de fournisseur, avec les responsabilités qui vont avec.

Question 3 : l'usage vise-t-il le marché de l'UE ?

Le règlement s'applique selon un critère territorial, pas selon votre nationalité. Dès que le système est mis sur le marché de l'Union, ou que ses résultats sont utilisés dans l'Union, vous entrez dans le champ, même si votre siège est ailleurs. Pour une entreprise établie en France qui sert des clients européens, la réponse est presque toujours « oui ». Cette question sert surtout à clarifier les montages internationaux et les sous-traitances hors UE.

Question 4 : dans quel niveau de risque tombe l'usage ?

C'est la question qui détermine le poids réel de vos obligations. Le règlement classe chaque usage dans l'un de quatre niveaux. Repérez le vôtre dans ce tableau :

Si vous êtes dans la banque, l'assurance, la santé, le recrutement ou le secteur public, vos usages tombent très souvent dans le « haut risque ». Pour creuser ce point précis, je détaille les critères de classement dans mon article sur les entreprises concernées par l'IA à haut risque.

Le résultat : votre fiche de périmètre

En appliquant ces quatre questions à chacun de vos outils, vous obtenez une petite fiche de synthèse : pour chaque usage, votre rôle, votre niveau de risque et la nature de vos obligations. C'est exactement le point de départ d'une mise en conformité, et cela tient souvent sur une page. Vous passez ainsi d'une inquiétude floue à une liste d'actions hiérarchisée.

Ce travail de cadrage est aussi ce qui vous protège financièrement. Tant que vous ne connaissez pas votre périmètre, vous ne pouvez pas estimer ce que vous risquez : j'explique comment le chiffrer dans mon article sur le montant réel des sanctions. Pour la suite, les étapes opérationnelles sont décrites dans mon guide sur ce que l'EU AI Act exige de votre entreprise.

Plutôt que de deviner, vous pouvez situer votre exposition lors d'un premier échange : on regarde vos usages IA réels et vos risques majeurs, sans engagement.

Questions fréquentes

Je n'ai qu'un seul outil d'IA, suis-je quand même concerné ?

Oui. Le règlement ne dépend pas du nombre d'outils ni de la taille de votre structure, mais de l'usage. Un seul système de tri de candidatures suffit à vous faire entrer dans le haut risque, avec les obligations associées.

Si je n'utilise qu'un assistant conversationnel du marché, que dois-je faire ?

Vous êtes le plus souvent déployeur en risque limité : votre obligation principale est d'informer vos interlocuteurs qu'ils échangent avec une IA. Mais dès que vous branchez cet assistant sur une décision sensible, l'usage peut changer de niveau. Reprenez les quatre questions pour ce cas précis.

Mon prestataire est-il responsable à ma place ?

Non, les responsabilités se partagent selon les rôles. Le fournisseur a ses obligations, le déployeur a les siennes. Vous restez responsable de l'usage que vous faites du système, même si vous ne l'avez pas conçu. D'où l'importance de bien identifier votre rôle à la question 2.

En combien de temps puis-je établir mon périmètre ?

Pour une cartographie de premier niveau, comptez quelques minutes par usage avec cette méthode, et une à deux semaines pour une fiche complète et documentée sur l'ensemble de votre parc. C'est précisément l'objet d'un audit de conformité.

Cet article a une visée pédagogique et ne constitue pas un conseil juridique. Chaque situation mérite une analyse au cas par cas.