AI Act européen : ce qui change pour vos automatisations IA

L'AI Act, c'est quoi exactement ?

Le règlement européen sur l'intelligence artificielle (AI Act) est la première législation au monde qui encadre spécifiquement l'utilisation de l'IA. Adopté en 2024, il entre en application progressivement :

2 février 2025 : interdiction des pratiques d'IA à risque inacceptable
2 août 2025 : obligations pour les modèles d'IA à usage général (GPAI)
2 août 2026 : obligations pour les systèmes d'IA à haut risque
2 août 2027 : systèmes d'IA à haut risque intégrés dans des produits réglementés (Annexe I)

Si vous utilisez de l'IA dans vos automatisations, et c'est de plus en plus courant avec n8n, vous êtes concerné.

Comment l'AI Act classe-t-il les niveaux de risque ?

L'AI Act classe les systèmes d'IA en 4 catégories :

Risque inacceptable (interdit)

Manipulation comportementale, notation sociale, certaines utilisations de la reconnaissance faciale en temps réel par les autorités dans l'espace public. Si vos automatisations font ça, vous avez d'autres problèmes que la réglementation.

Risque élevé (fortement encadré)

Systèmes d'IA utilisés pour le recrutement, l'évaluation de crédit, la justice, les infrastructures critiques. Ces systèmes doivent respecter des obligations strictes : évaluation de conformité, documentation technique, surveillance humaine, transparence.

Risque limité (obligations de transparence)

Chatbots, systèmes de génération de contenu, deepfakes. Obligation principale : informer l'utilisateur qu'il interagit avec une IA.

Risque minimal (pas de contrainte)

La grande majorité des automatisations d'entreprise. Filtres anti-spam, catégorisation de documents, suggestions de produits. Pas d'obligation spécifique.

Qu'est-ce qui concerne concrètement les PME ?

Vos automatisations IA classiques sont à risque minimal

Un workflow n8n qui utilise GPT-4 pour classer des emails, extraire des données de factures ou résumer des comptes-rendus de chantier tombe dans la catégorie "risque minimal". Pas de contrainte réglementaire spécifique.

Attention aux cas limites

Si vous utilisez l'IA pour prendre des décisions qui impactent directement des personnes, soyez vigilant :

Tri automatique de CV pour un recrutement : risque élevé
Scoring de solvabilité de clients : risque élevé
Évaluation automatique de la performance des employés : risque élevé

Dans ces cas, les systèmes à haut risque doivent intégrer un mécanisme de supervision humaine. Une supervision humaine est obligatoire.

L'obligation de transparence

Si vous déployez un chatbot sur votre site web ou si vos clients reçoivent des contenus générés par IA, vous devez les en informer. Une information claire indiquant que le contenu est généré par IA est requise. Les modalités exactes dépendent du contexte d'utilisation.

Comment se préparer à l'AI Act ?

1. Cartographiez vos usages IA

Listez tous les endroits où vous utilisez de l'IA dans vos processus. Workflows n8n, chatbots, outils SaaS avec fonctions IA intégrées. Vous serez surpris du nombre.

2. Classifiez le risque

Pour chaque usage, déterminez la catégorie de risque. Dans la plupart des cas pour une PME du BTP, les automatisations relèveront du risque minimal.

3. Documentez vos processus

Même si vos usages sont à risque minimal, documenter comment vous utilisez l'IA est une bonne pratique. C'est précisément l'objet de la phase d'audit de notre méthode en 4 étapes. En cas de contrôle ou de question d'un client, vous avez une réponse claire.

4. Gardez un humain dans la boucle

Pour toute décision impactante, assurez-vous qu'un humain valide la recommandation de l'IA. C'est du bon sens avant d'être une obligation légale.

Ce qu'il ne faut pas faire

Ne paniquez pas et ne supprimez pas vos automatisations IA par peur de la réglementation. L'AI Act cible principalement les usages à risque élevé. Vos workflows de traitement de factures et de relances automatiques ne sont pas concernés.

L'AI Act n'est pas un frein à l'innovation. C'est un cadre qui pousse à utiliser l'IA de manière responsable. Pour les PME qui automatisent intelligemment, comme dans nos cas clients, rien ne change fondamentalement.

Cet article est fourni à titre informatif et ne constitue pas un conseil juridique. Le règlement AI Act est un texte complexe dont l'interprétation et les modalités d'application évoluent. Pour une analyse adaptée à votre situation, consultez un professionnel du droit spécialisé en droit du numérique.

Questions fréquentes

L'AI Act s'applique-t-il aux PME qui automatisent avec l'IA ?

Il s'applique à toutes les entreprises qui déploient un système d'IA dans l'Union européenne, mais l'intensité des obligations dépend du niveau de risque. La grande majorité des automatisations de PME (classer des documents, extraire des données de factures, rédiger un brouillon de réponse, trier des demandes entrantes) relève du risque minimal et ne déclenche aucune obligation particulière. Les contraintes lourdes visent les usages à risque élevé, notamment ceux qui touchent au recrutement, à l'accès au crédit ou à la sécurité des personnes.

Quels usages de l'IA sont considérés à risque élevé ?

Ceux qui décident à la place d'un humain sur des sujets qui affectent directement les droits des personnes : tri de candidatures et évaluation de salariés, accès au crédit ou à l'assurance, accès à des services publics essentiels, ou composants de sécurité de produits. Dans le BTP et l'immobilier, deux cas limites méritent attention : un outil qui trie automatiquement des candidatures d'ouvriers ou d'artisans, et un outil qui sélectionne des locataires. Les deux basculent en risque élevé et supposent documentation, supervision humaine et traçabilité.

Quelles sont les obligations de transparence ?

Il faut qu'une personne sache qu'elle interagit avec une IA quand ce n'est pas évident. Concrètement, un agent conversationnel sur votre site doit se présenter comme tel, et un contenu généré artificiellement doit être identifiable. Cette obligation est simple à respecter et coûte une phrase, mais elle est souvent oubliée sur les assistants installés en fin de projet.

Comment se mettre en conformité concrètement ?

En trois étapes proportionnées à la taille d'une PME. Cartographier : lister les endroits où de l'IA intervient réellement dans vos processus, y compris les fonctions IA intégrées à des logiciels que vous n'avez pas développés. Classifier : rattacher chaque usage à un niveau de risque, ce qui range en général tout en risque minimal sauf une ou deux exceptions. Documenter : conserver une note écrite indiquant l'usage, les données traitées, le modèle utilisé et la présence ou non d'une validation humaine. Cette note suffit à répondre à un donneur d'ordres qui pose la question.

Que risque une entreprise qui ne s'y conforme pas ?

Le règlement prévoit des sanctions financières graduées selon la gravité, les montants les plus élevés visant les pratiques interdites. Pour une PME dont les usages relèvent du risque minimal, le risque de sanction est faible ; le risque concret est plutôt commercial, quand un client grand compte ou un acheteur public exige des garanties écrites sur vos usages d'IA et que vous n'avez rien à produire. Cet article ne constitue pas un conseil juridique : pour une situation particulière, consultez un avocat spécialisé.