1. AI Act obligations déployeur : pourquoi les entreprises utilisatrices sont désormais en première ligne

L’entrée en vigueur progressive du Règlement (UE) 2024/1689 – plus connu sous le nom d’AI Act – bouleverse la chaîne de valeur de l’IA : aux côtés des développeurs et fournisseurs, le déployeur (l’utilisateur professionnel qui introduit ou exploite un système IA dans son organisation) devient responsable de son usage. En clair : une solution IA parfaitement “CE” chez le fournisseur peut tout de même devenir non-conforme si elle est mal paramétrée, mal surveillée ou détournée de sa finalité initiale une fois déployée. Pour une meilleure compréhension nous vous avons mis un glossaire en fin de cet article.

À retenir

Les déployeurs doivent garantir un usage conforme à la notice et surveiller le comportement du système.

Ils doivent tenir des journaux d’activité, informer les personnes exposées et, dans certains cas, réaliser une analyse d’impact sur les droits fondamentaux (FRAIA) avant la mise en service.

Les autorités pourront contrôler directement sur site ; des amendes jusqu’à 15 M€ ou 3 % du CA mondial (la plus élevée des deux) sont prévues en cas de non-conformité à ces obligations spécifiques.

Demandez un devis pour la Formation Intelligence Artificielle pour Dirigeants et Comité de Direction

2. Comprendre la classification des risques – et votre place dedans

Catégorie AI Act	Votre rôle de déployeur
Pratiques interdites (ex. notation sociale, manipulation subliminale)	Vous n’avez pas le droit de les déployer ; sanction maximale : 7 % du CA mondial.
Systèmes à haut risque (recrutement, scoring crédit, santé, infrastructures critiques)	Usage possible uniquement si le fournisseur a obtenu le marquage CE et si vous remplissez vos obligations déployeur (formation des opérateurs, logs, supervision humaine…).
Modèles IA à usage général (GPAI, LLM)	Transparence minimum : déclaration du recours à l’IA auprès des utilisateurs + politique d’utilisation interne.
Risque limité (chatbot interne, recommandation sans forte incidence)	Obligation d’information : « vous interagissez avec une IA ».
Risque minimal (filtre anti-spam, correcteur orthographique)	Aucune obligation supplémentaire.

3. Vos 5 obligations clés en tant que déployeur

3.1 Utiliser la notice fournisseur… mot pour mot

Documentez les paramètres, versions et contextes d’utilisation.
Conservez la fiche de sécurité et les « instructions d’usage » (elles deviennent contractuelles).

3.2 Mettre en place une supervision humaine effective

Désignez un opérateur référent formé aux limites du système.
Installez une fonction d’arrêt / escalade (kill switch ou supervision manuelle) pour les scénarios critiques.

3.3 Logger toutes les interactions pertinentes

Conservez les entrées (prompts, données) et les sorties pendant la durée légale minimale.
Stockez les logs dans un silo sécurisé ; prévoyez un processus de purge conforme RGPD.

3.4 Informer et former les personnes exposées

Affichez une mention explicite si le résultat provient d’une IA.
Formez les opérateurs à repérer les erreurs, biais ou hallucinations.

3.5 Procéder, le cas échéant, à une FRAIA

Secteur public ou usage susceptible d’impacter des droits fondamentaux ? Réalisez une analyse d’impact en amont (similaire à la PIA RGPD).

4. AI Act obligations déployeur : bonnes pratiques pour réussir votre mise en conformité

4.1 Cartographier vos cas d’usage IA

Faites l’inventaire des solutions IA déjà déployées (y compris shadow IT).
Classez chaque cas sur l’échelle IA Act : interdit ? haut risque ? usage général ?
Identifiez le fournisseur et vérifiez le statut de conformité (marquage CE, documentation).

4.2 Mettre à jour la gouvernance

Pilier	Questions à vous poser	Outil recommandé
RACI IA	Qui décide ? Qui valide ? Qui surveille ?	Matrice RACI + charte « IA Responsable »
Procédures	Comment valider un nouveau cas d’usage ?	Workflow Jira / ServiceNow dédié
Comité IA	Quelle fréquence ? Quels KPIs ?	Scorecard risques & bénéfices IA

4.3 Renforcer la gestion des données

Filtrez les données personnelles avant d’entraîner ou de prompter un modèle.
Conservez un registre des sources de données pour répondre aux audits.
Implémentez un watermarking ou un suivi d’empreinte si vous publiez du contenu généré.

4.4 Sécuriser contre les nouvelles menaces

Menace	Parade déployeur
Prompt-injection	Liste noire de chaînes dangereuses + sandbox utilisateur
Attaques adversariales	Tests d’inférence réguliers, mise à jour du modèle
Exfiltration de données	Proxy filtrant les requêtes sortantes, chiffrement TLS, DLP

4.5 Mesurer & améliorer en continu

KPIs conformité : taux de logs valides, % prompts revus, temps moyen de résolution incident IA.
KPIs métier : gain de productivité, taux de satisfaction utilisateur.
Pilotage via un tableau de bord mensuel combinant ces deux familles d’indicateurs.

5. Calendrier et jalons à retenir

Date (indicative)	Ce qui change pour vous, déployeur
T0 + 6 mois	Interdictions effectives → vérifiez absence de pratiques prohibées.
T0 + 12 mois	Obligations IA d’usage général et création d’un guichet unique national.
T0 + 24 mois	Exigences complètes haut risque + contrôles possibles par l’autorité marché.
2026	Plein régime sanctions. Les premières amendes tomberont.

Astuce : réservez dès 2025 un budget d’audit externe pour valider votre conformité avant la phase sanction.

6. Opportunités stratégiques pour les déployeurs proactifs

Avantage concurrentiel : une IA certifiée et gouvernée inspire confiance aux clients B2B.
Accès aux marchés publics : certaines administrations exigeront la preuve d’audit IA avant attribution.
Réduction du TTM (time-to-market) : un cadre clair évite les blocages juridiques de dernière minute.
Amélioration de la marque employeur : attirer des talents sensibles à l’éthique numérique.

7. Feuille de route express en 90 jours

J (jours)	Action	Livrable
J15	Inventaire IA + classification risque	Tableau Excel complété
J30	Nomination d’un AI compliance officer	Lettre de mission
J45	Standard de logs + modèle FRAIA	Procédure officielle publiée
J60	Formation opérateurs + kit de prompts sûrs	Sessions e-learning & PPT
J75	PoC contrôle humain (kill switch)	Prototype validé
J90	Audit interne + plan d’amélioration	Rapport 10 pages & roadmap 12 mois

Conclusion AI Act obligations déployeur: passer d’un simple déploiement à une exploitation responsable

Le texte est clair : déployer un système IA engage désormais votre responsabilité. Adopter tôt une démarche structurée (inventaire, gouvernance, sécurité, formation) vous permettra d’utiliser l’IA en toute confiance, de limiter le risque d’amende et de valoriser vos initiatives auprès de vos parties prenantes.

Prochain pas concret : planifiez votre premier audit flash IA Act – ½ journée suffit pour cartographier vos usages, hiérarchiser vos risques et poser les fondations d’une conformité durable.

Glossaire « AI Act » – spécial déployeurs

Terme	Définition opérationnelle
Déployeur	Utilisateur professionnel qui met en service ou exploite un système d’IA au sein de son organisation (ex. service RH qui implémente un outil de tri de CV). Le déployeur est responsable du paramétrage, de la surveillance, des journaux et de l’information des personnes concernées.
FRAIA (Fundamental Rights & AI Impact Assessment)	Analyse d’impact sur les droits fondamentaux exigée par l’AI Act pour certaines utilisations à haut risque, notamment dans le secteur public. Comparable à la PIA du RGPD : elle recense finalités, parties prenantes, risques pour les individus et mesures de mitigation.
GPAI (General Purpose AI)	Modèle d’IA à usage général (grands modèles génératifs, embeddings polyvalents) pouvant être réutilisé pour de multiples tâches. Les GPAI systémiques doivent appliquer des obligations supplémentaires : gestion de risques renforcée, transparence sur les données d’entraînement, tests adversariaux.
LLM (Large Language Model)	Sous-catégorie de GPAI : modèle de langage entraîné sur des corpus massifs pour produire ou résumer du texte (ex. GPT-4, Llama 3). Les LLM « systémiques » sont soumis aux règles GPAI + documentation de copyright.
Notice (ou mode d’emploi fournisseur)	Document obligatoire remis par le fournisseur avec le marquage CE. Il décrit la finalité, les limites, les paramètres et les exigences de supervision humaine. Le déployeur doit l’utiliser comme cadre contractuel et ne pas détourner le système de ces instructions.
Kill switch	Mécanisme (bouton, workflow, API) permettant d’arrêter immédiatement un système d’IA ou de forcer l’escalade à un humain en cas d’anomalie. Exigé pour la supervision humaine “effective” des systèmes à haut risque.
Shadow IT	Usage de solutions informatiques (ici, d’IA) sans validation ni contrôle de la DSI ou du comité conformité : chatbots grand public, extensions navigateur, etc. Source majeure de fuite de données et de non-conformité.
Workflow Jira / ServiceNow dédié	Circuit de demandes, validations et suivi intégré à l’outil de ticketing de l’entreprise (Jira, ServiceNow). Permet de tracer l’inventaire IA, les analyses d’impact, les validations risques, les audits et les incidents.
Watermarking	Technique d’empreinte numérique (tatouage) insérée dans les contenus générés (texte, image, audio) pour identifier leur origine et faciliter la traçabilité ou la détection de deepfakes. Recommandée pour prouver l’authenticité d’un contenu IA.
Logs	Journaux contenant les entrées, sorties et paramètres d’un système IA (prompts, températures, timestamps, ID utilisateur, résultats). Les déployeurs doivent conserver ces logs pour démontrer la conformité, analyser les incidents et répondre aux autorités de contrôle.

AI Act : mode d’emploi pour les déployeurs d’intelligence artificielle en entreprise