IA générative en entreprise : cadre juridique et bonnes pratiques (AI Act)

Le règlement européen sur l’intelligence artificielle, l’AI Act, est entré en vigueur progressivement depuis 2024 et s’applique pleinement depuis le 2 août 2025. Pour les PME françaises qui utilisent ou déploient des outils d’IA générative, ce cadre juridique impose des obligations concrètes dont le non-respect peut entraîner des amendes allant jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial. Comprendre ces règles est désormais indispensable.

Comprendre l’AI Act et son approche par les risques

L’AI Act classe les systèmes d’IA en quatre niveaux de risque, chacun associé à des obligations proportionnées.

Les quatre niveaux de risque

• Risque inacceptable (interdit) : systèmes de scoring social, manipulation subliminale, exploitation des vulnérabilités, identification biométrique en temps réel dans l’espace public (sauf exceptions strictes)
• Risque élevé : systèmes utilisés dans le recrutement, l’éducation, l’accès au crédit, les infrastructures critiques. Soumis à des obligations strictes de conformité, de documentation et de contrôle humain
• Risque limité : chatbots, systèmes de génération de contenu. Obligation de transparence (l’utilisateur doit savoir qu’il interagit avec une IA)
• Risque minimal : filtres anti-spam, jeux vidéo. Pas d’obligation spécifique

Ce que cela signifie pour une PME

La plupart des usages d’IA générative en PME relèvent du risque limité. Cela signifie que vous devez :

• Informer vos interlocuteurs quand un contenu est généré par IA
• Étiqueter les contenus générés par IA (textes, images, vidéos)
• Documenter vos usages de l’IA

Si vous utilisez l’IA pour des décisions ayant un impact sur les personnes (tri de CV, scoring de clients), les obligations sont bien plus strictes.

Obligations concrètes pour les entreprises utilisatrices

Transparence obligatoire

Toute interaction avec un système d’IA doit être transparente. Si un chatbot IA répond aux questions de vos clients, ceux-ci doivent en être informés. Si un email commercial est rédigé par IA, le destinataire doit pouvoir le savoir.

Marquage des contenus générés

Les textes, images, sons et vidéos générés par IA doivent être identifiés comme tels. L’AI Act impose aux fournisseurs d’IA d’intégrer des mécanismes de marquage (watermarking), mais les entreprises utilisatrices ont aussi la responsabilité de ne pas supprimer ces marquages.

Gouvernance et documentation

Les entreprises qui déploient des systèmes d’IA à risque élevé doivent :

1. Réaliser une évaluation d’impact sur les droits fondamentaux
2. Mettre en place un système de gestion des risques
3. Assurer un contrôle humain sur les décisions de l’IA
4. Conserver les logs d’utilisation pendant une durée appropriée
5. Former les collaborateurs qui utilisent ces systèmes

Les règles spécifiques à l’IA générative

L’AI Act contient des dispositions spécifiques aux modèles d’IA à usage général (GPAI – General Purpose AI), catégorie qui inclut les modèles génératifs comme GPT, Claude, Gemini ou Mistral.

Obligations des fournisseurs de GPAI

• Documentation technique détaillée du modèle
• Respect du droit d’auteur européen pour les données d’entraînement
• Publication d’un résumé des données d’entraînement utilisées
• Pour les modèles à risque systémique : évaluations de sécurité supplémentaires

Ce qui concerne directement les PME

En tant qu’utilisatrice d’IA générative, votre PME doit :

• Ne pas utiliser l’IA pour des finalités interdites (manipulation, exploitation des vulnérabilités)
• Informer les personnes qui interagissent avec votre IA (chatbot client, assistant virtuel)
• Vérifier que vos usages sont conformes aux conditions d’utilisation du fournisseur
• Documenter vos cas d’usage et les mesures de contrôle mises en place
• Former vos collaborateurs à un usage responsable

Bonnes pratiques pour déployer l’IA en PME

Établir une charte d’utilisation de l’IA

Rédigez une charte interne qui définit clairement :

• Les outils d’IA autorisés et les cas d’usage valides
• Les types de données qui ne doivent jamais être soumis à une IA (données personnelles, secrets commerciaux)
• Le processus de validation des contenus générés par IA avant diffusion
• Les obligations de transparence envers les tiers
• Les responsabilités de chaque collaborateur

Cette charte doit être intégrée au règlement intérieur et signée par chaque collaborateur.

Contrôler la qualité des productions IA

L’IA générative peut produire des contenus inexacts, biaisés ou trompeurs. Mettez en place un processus de relecture humaine systématique :

1. Tout contenu généré par IA destiné à être publié ou envoyé à un client doit être relu par un humain
2. Les décisions assistées par IA doivent être validées par un responsable compétent
3. Les informations factuelles générées par IA doivent être vérifiées à la source

Protéger les données

Combinez les exigences de l’AI Act avec celles du RGPD :

• Ne soumettez jamais de données personnelles à un outil d’IA sans base légale
• Privilégiez les versions entreprise des outils IA qui garantissent la non-utilisation des données pour l’entraînement
• Documentez les traitements de données impliquant l’IA dans votre registre des traitements

Propriété intellectuelle et données d’entraînement

La question de la propriété intellectuelle des contenus générés par IA reste un sujet juridique en évolution. Voici les points à retenir pour une PME.

Qui est l’auteur d’un contenu généré par IA ?

En droit français, le droit d’auteur protège les oeuvres originales créées par un être humain. Un contenu généré intégralement par IA n’est donc pas protégeable en l’état. En revanche, si un collaborateur apporte une contribution créative significative (prompt élaboré, sélection, modification, mise en forme), l’oeuvre résultante peut bénéficier d’une protection.

Les risques de contrefaçon

Les modèles d’IA sont entraînés sur des corpus massifs qui peuvent inclure des oeuvres protégées. Un contenu généré par IA peut involontairement reproduire des éléments protégés. Vérifiez toujours l’originalité des contenus générés, notamment pour les images et les textes à forte valeur ajoutée.