Que devons-nous faire quand nous utilisons l'IA ? Les obligations du déployeur dans l'AI Act
En bref
Toutes les entreprises qui utilisent l'IA doivent assurer la maîtrise de l'IA (art. 4), éviter les pratiques interdites (art. 5) et informer les personnes exposées à des deepfakes ou à la reconnaissance des émotions (art. 50). Si vous utilisez une IA à haut risque, l'article 26 s'y ajoute à partir du 2 décembre 2027 : utilisez le système selon la notice, confiez le contrôle humain à des personnes compétentes, veillez à la pertinence des données d'entrée, surveillez le fonctionnement, conservez les journaux au moins 6 mois, informez les salariés et les personnes concernées, et coopérez avec les autorités.
Obligations pour tout usage de l'IA
| Obligation | Depuis quand | Article |
|---|---|---|
| Maîtrise de l'IA | Depuis le 2 février 2025 | Art. 4 |
| Aucune pratique interdite | Depuis le 2 février 2025 | Art. 5 |
| Informer sur les deepfakes et la reconnaissance des émotions | À partir du 2 août 2026 | Art. 50, paragraphes 3 et 4 |
Obligations supplémentaires en cas de haut risque
L'article 26 s'applique à partir du 2 décembre 2027 pour les usages de l'annexe III. Le plus important est le contrôle humain : une personne qui comprend le système, voit quand il se trompe et a l'autorité pour dire non. Dans GoalCube, un humain décide de chaque dossier concernant une personne, et le journal montre qui a décidé quoi, quand et pourquoi.
Et le RGPD ?
Beaucoup de ces obligations recoupent le RGPD : l'obligation d'information (art. 13 et 14), le droit à une décision humaine (art. 22) et l'analyse d'impact (art. 35). L'AI Act dit expressément que vous devez utiliser les informations du fournisseur pour votre AIPD (art. 26, paragraphe 9).
Comment faire
- Suivez la notice d'utilisation.Utilisez l'IA pour ce à quoi elle est destinée, comme le décrit le fournisseur.
- Désignez le contrôle humain.Des personnes nommément désignées, avec la compétence, la formation et l'autorité nécessaires.
- Maîtrisez les données d'entrée.Les données que vous fournissez vous-même doivent être pertinentes et représentatives au regard de la finalité.
- Surveillez et réagissez.Suspendez l'usage et prévenez si l'IA présente un risque ou en cas d'incident grave.
- Conservez les journaux.Les journaux automatiques que vous contrôlez, pendant au moins 6 mois.
- Informez.Les salariés et leurs représentants avant tout usage sur le lieu de travail ; les personnes visées par les décisions.
Ce que dit la loi
- Article 26 du RIA – obligations des déployeurs
- Contenu inchangé par l'omnibus numérique ; s'applique à partir du 2 décembre 2027 pour l'annexe III.
- Article 27 du RIA – analyse d'impact sur les droits fondamentaux (FRIA)
- Pour les organismes publics, les entités privées qui fournissent des services publics, ainsi que pour le crédit et l'assurance vie et maladie.
- Article 86 du RIA – droit à l'explication
- Les personnes concernées peuvent demander une explication du rôle de l'IA dans une décision.
Questions et réponses
Sommes-nous déployeur quand nos salariés utilisent ChatGPT ?
Oui, quand ils l'utilisent dans leur travail pour vous. L'usage personnel, non professionnel, est exclu.
Combien de temps conserver les journaux ?
Au moins 6 mois pour les journaux que vous contrôlez, sauf si une autre législation prévoit autre chose.
Comment informer les salariés ?
Avant de mettre en service une IA à haut risque sur le lieu de travail, les salariés et leurs représentants doivent être informés. GoalCube propose un modèle prêt à l'emploi.
Sources
Rédigé par La rédaction GoalCube. Dernière mise à jour 11 octobre 2026. GoalCube vous aide à respecter l’AI Act et le RGPD. Ce n’est pas un conseil juridique.
Soyez parmi les premiers.
Le lancement est prévu en novembre 2026. Inscrivez-vous : nous vous contacterons dès que vous pourrez commencer.