AI Act 2026 : que doit documenter votre entreprise si elle utilise l'IA ?

AI Act 2026 : que doit documenter votre entreprise si elle utilise l'IA ?

L'AI Act européen est la première législation complète sur l'intelligence artificielle au monde, et les premières obligations entrent en application en août 2026. Si votre entreprise utilise des outils d'IA comme Microsoft Copilot, ChatGPT ou la prise de décision automatisée, vous devez agir. Les géants de la tech ne sont pas les seuls concernés : toute organisation qui recourt à l'IA devra répondre à des obligations de documentation et de transparence.

Points clés (en bref)

• Les premières obligations de l'AI Act 2026 démarrent le 2 août 2026 pour les systèmes d'IA à risque limité, y compris les obligations de transparence
• Quatre catégories de risque : inacceptable, haut risque, limité et minimal ; elles déterminent les obligations applicables
• Obligation de documentation : les entreprises doivent consigner où l'IA est utilisée, quelles données sont traitées et qui en assure la supervision
• Pas seulement pour les entreprises tech : les PME qui utilisent des outils d'IA pour le service client, le recrutement ou la cybersécurité sont aussi soumises aux règles
• Recoupements avec NIS2 et DORA : les organisations qui travaillent déjà sur ces cadres ont une longueur d'avance pour se conformer à l'AI Act
• Amendes jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les infractions les plus graves
• Il faut commencer maintenant : un inventaire de l'IA et une analyse des risques prennent du temps, et l'échéance approche vite

Qu'est-ce que l'AI Act européen et quand s'applique-t-il ?

L'AI Act (Règlement (UE) 2024/1689) est un règlement européen qui encadre le développement, la mise sur le marché et l'utilisation des systèmes d'IA. Il est entré en vigueur le 1er août 2024, mais ses obligations s'appliquent de manière progressive.

Calendrier des obligations de l'AI Act 2026 :

Pour la plupart des entreprises néerlandaises, le 2 août 2026 est la date décisive. À partir de ce jour, les obligations de l'AI Act 2026 en matière de transparence, de documentation et de contrôle humain s'appliquent à l'utilisation des systèmes d'IA.

Pourquoi votre PME est-elle aussi concernée ?

L'AI Act ne s'applique pas uniquement aux entreprises qui développent de l'IA. L'article 3 définit également le « déployeur » (l'utilisateur) de systèmes d'IA. Vous utilisez Microsoft 365 Copilot pour répondre à vos e-mails, un chatbot IA pour le service client ou un tri automatisé des candidatures ? Vous êtes alors un déployeur, et vous avez des obligations.

Exemples concrets d'utilisation de l'IA soumise à l'AI Act :

• Microsoft Copilot pour générer des documents et des analyses
• ChatGPT ou des outils similaires pour la communication avec les clients
• Une supervision de la sécurité pilotée par l'IA au sein de vos solutions de cybersécurité
• Le tri automatisé de CV lors du recrutement
• Des chatbots IA sur votre site web pour le service client
• L'analyse prédictive pour les décisions d'entreprise

Ce n'est pas la taille de votre entreprise qui compte, mais le type d'IA que vous utilisez et le risque qu'il comporte.

Quelles sont les catégories de risque de l'AI Act ?

Le cœur de l'AI Act est une approche fondée sur les risques. L'article 6 et l'annexe III classent les systèmes d'IA en quatre catégories, qui déterminent les obligations de l'AI Act 2026 applicables à votre organisation.

Risque inacceptable (interdit)

Les applications d'IA jugées inacceptables sont interdites depuis le 2 février 2025. Il s'agit notamment de la notation sociale par les pouvoirs publics, de l'IA manipulatrice qui exploite les vulnérabilités et de l'identification biométrique en temps réel dans l'espace public.

Haut risque

Il s'agit des systèmes d'IA qui présentent un risque important pour la santé, la sécurité ou les droits fondamentaux. Par exemple : l'IA dans le recrutement, l'évaluation de la solvabilité, l'éducation et le maintien de l'ordre. Ce sont ici les obligations les plus lourdes qui s'appliquent : système de gestion des risques, exigences de qualité des données, documentation technique, journalisation, transparence et contrôle humain.

Risque limité

Les systèmes d'IA qui interagissent avec des personnes, comme les chatbots et les contenus générés par IA. Une obligation de transparence s'applique : les utilisateurs doivent savoir qu'ils ont affaire à une IA. Cela concerne de nombreuses PME qui utilisent des chatbots sur leur site web.

Risque minimal

Les applications d'IA sans risque significatif, comme les filtres antispam et les recommandations par IA dans le divertissement. Aucune obligation spécifique ne s'applique, mais les codes de conduite volontaires sont encouragés.

Que doit documenter votre entreprise ?

Pour les entreprises qui utilisent des systèmes d'IA à risque élevé ou limité, l'AI Act impose des obligations précises en matière de documentation et de gouvernance. Voici les quatre domaines clés à consigner.

1. Où l'IA est-elle utilisée dans l'organisation ?

Établissez un registre complet de toutes les applications d'IA au sein de votre entreprise. Pour chaque système, documentez la finalité, le fournisseur, la catégorie de risque et le service qui l'utilise. Ce registre de l'IA constitue la base de toutes les actions de conformité qui suivront.

2. Quelles données sont traitées ?

Pour chaque système d'IA, consignez les données personnelles et les données d'entreprise traitées, leur provenance et la manière dont leur qualité est garantie. Cela rejoint les obligations du RGPD que vous connaissez probablement déjà.

3. Qui supervise les décisions prises par l'IA ?

L'article 14 de l'AI Act exige un contrôle humain des systèmes d'IA à haut risque. Vous devez documenter qui est chargé de surveiller les résultats produits par l'IA, qui est habilité à passer outre une décision de l'IA et comment fonctionne le processus d'escalade.

4. Quel est le rôle de l'humain dans les processus d'IA ?

Vous devez décrire comment fonctionne l'interaction entre l'humain et le système d'IA. Les suggestions de l'IA sont-elles appliquées automatiquement, ou font-elles l'objet d'une revue humaine ? Comment les erreurs sont-elles détectées et corrigées ? C'est particulièrement important si vous utilisez l'IA pour des décisions qui touchent des personnes.

Exemples concrets : qu'est-ce que cela signifie pour votre entreprise ?

Les obligations de l'AI Act 2026 deviennent concrètes lorsqu'on les applique aux outils d'IA couramment utilisés par les PME néerlandaises.

Microsoft Copilot dans votre environnement Microsoft 365 : Copilot utilisé pour rédiger des e-mails et des documents relève du risque minimal. En revanche, si vous utilisez Copilot pour analyser des données de collaborateurs ou prendre des décisions RH, il peut être classé à haut risque. Documentez la finalité d'utilisation par service.

ChatGPT pour le service client : un chatbot qui répond aux clients relève du risque limité. Vous devez informer les clients qu'ils communiquent avec une IA. Affichez une mention claire sur votre site web et décrivez la manière dont le système est supervisé.

L'IA dans le recrutement : vous utilisez des outils d'IA pour trier des CV ou classer des candidats ? C'est explicitement un usage à haut risque selon l'annexe III de l'AI Act. Il vous faut une analyse des risques complète, une garantie de la qualité des données et un contrôle humain.

L'IA pour la supervision de la cybersécurité : les outils de sécurité qui utilisent l'IA pour détecter les menaces relèvent généralement du risque minimal. Documentez néanmoins quels systèmes prennent des décisions pilotées par l'IA, par exemple le blocage automatique de trafic réseau.

Comment l'AI Act s'articule-t-il avec NIS2 et DORA ?

L'AI Act ne fonctionne pas en vase clos. Il recoupe largement d'autres réglementations européennes, ce qui constitue à la fois un défi et une opportunité.

Directive NIS2 : NIS2 impose des analyses de risques et une documentation des systèmes informatiques. Les systèmes d'IA qui font partie de la sécurité de vos réseaux et de vos informations doivent être documentés à la fois au titre de NIS2 et de l'AI Act. L'analyse de risques réalisée pour NIS2 peut être complétée par des éléments propres à l'IA.

DORA : pour les établissements financiers, les systèmes d'IA utilisés dans les processus opérationnels relèvent aussi de DORA. Le cadre de gestion du risque informatique de DORA constitue une bonne base pour la conformité à l'AI Act.

Les organisations qui travaillent déjà sur leur conformité NIS2 ou DORA ont une longueur d'avance. De nombreuses exigences de documentation et de gouvernance se recoupent. Une approche intégrée fait gagner du temps et évite les doublons.

Quelles mesures prendre dès maintenant ?

N'attendez pas août 2026. Les obligations de l'AI Act 2026 demandent une préparation de plusieurs mois. Voici un plan d'action pratique pour vous lancer dès aujourd'hui.

Étape 1 : inventaire de l'IA (ce mois-ci)

Recensez toutes les applications d'IA de votre organisation. Demandez à chaque service quels outils d'IA il utilise, y compris le shadow IT. Beaucoup de collaborateurs utilisent ChatGPT ou d'autres outils d'IA sans que le service informatique le sache.

Étape 2 : analyse des risques (sous 3 mois)

Classez chaque système d'IA selon les quatre catégories de risque de l'AI Act. Déterminez les obligations applicables à chaque système. Un partenaire informatique doté d'une expertise en sécurité peut vous accompagner dans cette démarche.

Étape 3 : mettre en place un cadre documentaire (sous 6 mois)

Créez des modèles et des processus pour la documentation exigée : registre de l'IA, évaluations des risques, rapports sur la qualité des données et procédures de supervision. Reliez-les aux processus d'infogérance existants.

Étape 4 : gouvernance et responsabilités (sous 6 mois)

Désignez un responsable de l'IA au sein de votre organisation. Définissez qui supervise quels systèmes d'IA et comment fonctionne l'escalade. Intégrez la gouvernance de l'IA à votre gouvernance informatique existante.

Étape 5 : formation et sensibilisation (en continu)

Formez vos collaborateurs à un usage responsable de l'IA : pas seulement aux aspects techniques, mais aussi au cadre légal. Ils doivent savoir quand ils peuvent recourir à l'IA et quelles règles s'appliquent.

Étape 6 : revue et audit (chaque trimestre)

Planifiez des revues trimestrielles de votre registre de l'IA et de vos évaluations des risques. Les usages de l'IA évoluent vite : de nouveaux outils sont adoptés et les outils existants gagnent de nouvelles fonctionnalités. Tenez votre documentation à jour.

TRON Group : votre partenaire pour une informatique conforme à l'AI Act

Chez TRON Group, nous associons une connaissance approfondie de l'infogérance, de la cybersécurité et de Microsoft 365 à une expérience concrète des projets de conformité. Nous aidons les entreprises néerlandaises à utiliser l'IA de manière responsable, dans le cadre de l'AI Act, de NIS2 et de DORA.

Ce que nous faisons pour vous :

• Inventaire de l'IA et analyse des risques de votre environnement informatique actuel
• Mise en place de cadres documentaires adaptés à vos processus existants
• Organisation de la gouvernance et des mécanismes de supervision
• Sécurisation des systèmes d'IA au sein de votre environnement Microsoft 365
• Formation et sensibilisation de vos équipes
• Supervision continue et revues trimestrielles

Vous voulez savoir où en est votre organisation ? Demandez un Quick Scan gratuit et obtenez en une semaine une vision claire de vos usages de l'IA et de vos risques de conformité. Ou contactez-nous directement pour un échange sans engagement. Appelez le +31 85 303 5869 ou planifiez un rendez-vous via notre page de contact. Découvrez aussi qui nous sommes et comment nous travaillons.