Ce que l'IA Act change concrètement pour les projets internes
Le règlement européen sur l'intelligence artificielle (IA Act), entré en application progressive depuis 2024, n'interdit pas grand-chose à la plupart des entreprises — mais il impose un cadre de classification et de documentation que peu d'organisations ont aujourd'hui en place.
La logique est simple : chaque système IA déployé en interne ou proposé en externe doit être classé par niveau de risque (inacceptable, élevé, limité, minimal), documenté en conséquence, et suivi dans le temps. Cette mécanique s'ajoute aux obligations RGPD existantes — elle ne les remplace pas.
Les quatre niveaux de risque IA Act
La classification IA Act distingue :
- Risque inacceptable : interdits (notation sociale, manipulation comportementale, etc.).
- Risque élevé : autorisés sous conditions strictes (RH, éducation, infrastructures critiques).
- Risque limité : obligations de transparence (chatbots, deepfakes).
- Risque minimal : pas d'obligation spécifique (la majorité des usages bureautiques).
Le rôle du DPO et de la direction juridique
Dans la plupart des organisations, c'est le DPO qui hérite naturellement du sujet IA Act. Ce choix a une logique (proximité avec le RGPD, culture de la documentation) mais il a une limite : le DPO ne peut pas porter seul l'opérationnalisation. Il a besoin d'un binôme côté métier (l'AI Manager) et d'un sponsor (le COMEX) pour arbitrer les conflits entre conformité et déploiement.
Sans ce trio, deux dérives apparaissent : le DPO devient un goulot d'étranglement qui bloque tous les projets, ou — à l'inverse — le DPO se fait court-circuiter par les équipes qui avancent sans lui.
Cadrer par cas d'usage, pas par outil
Une erreur fréquente consiste à classer les outils (ChatGPT, Claude, Copilot) par niveau de risque. Cette lecture est trompeuse : un même outil peut être à risque minimal pour une tâche de productivité personnelle, et à risque élevé pour une décision RH. C'est le cas d'usage qui détermine le risque, pas l'outil.
Le cadrage opérationnel passe donc par une fiche projet par cas d'usage : description, données traitées, niveau de risque, plan de mitigation, revue à 6 mois. Cette fiche tient en une page. Elle est revue par le DPO, validée par le sponsor, et archivée dans un registre unique.
Trame de fiche projet IA
La fiche que nous installons en mission contient :
- Nom du cas d'usage et direction porteuse.
- Description fonctionnelle en 3 lignes.
- Données entrantes et sortantes, sensibilité.
- Outil(s) utilisé(s) et localisation des données.
- Niveau de risque IA Act et justification.
- Plan de mitigation et indicateurs de suivi.
- Date de revue à 6 mois.
Lien avec l'audit IA et le conseil en déploiement
La conformité IA est l'un des angles d'attaque de notre audit IA. Il s'agit de cartographier l'existant — souvent en Shadow AI — d'identifier les cas d'usage sensibles et de proposer un plan de mise en conformité priorisé. C'est ensuite l'un des huit piliers de notre conseil en déploiement de l'IA en entreprise.