La Loi IA de l'UE classe l'intelligence artificielle selon ce qu'elle fait, pas selon la taille de l'entreprise qui l'utilise, et la plupart de ce qu'une petite entreprise utilise déjà se retrouve dans la catégorie la plus légère, une fois que vous savez où regarder.
La Loi IA de l'UE est la réglementation de l'Union européenne sur l'intelligence artificielle. Elle classe les systèmes d'IA en catégories de risque et fixe des règles différentes pour chacune, d'une interdiction pure pour une poignée d'usages à une simple obligation de transparence pour la plupart des outils du quotidien. Si votre entreprise a des clients dans l'UE et utilise l'IA quelque part dans son fonctionnement, la loi vous concerne déjà d'une certaine façon, même si rien de ce que vous utilisez ne se présente comme de l'IA.
Cela paraît plus lourd que ce ne l'est en pratique. La plupart de ce qu'utilise une petite entreprise, un assistant de réservation, un filtre anti spam, un outil qui rédige un premier brouillon pour les réseaux sociaux, se retrouve dans la catégorie la plus légère de la loi, qui ne demande presque rien. Les entreprises qui ont besoin de vrais conseils sont celles qui utilisent l'IA pour décider de choses concernant des personnes réelles : qui est embauché, qui obtient un prêt, qui est signalé comme un risque. Ce guide sépare les deux, et complète notre guide plus large sur la stratégie IA pour une petite entreprise si vous voulez la vue d'ensemble.
La loi ne régule ni les secteurs ni la taille des entreprises. Elle régule ce que fait un système d'IA. La même technologie de base, un modèle de langage qui rédige du texte, peut être presque non régulée quand elle rédige un e mail marketing et fortement régulée quand elle trie une pile de candidatures, parce que le risque est dans l'usage, pas dans l'outil.
Les obligations les plus lourdes de la loi, la documentation, les tests, le dossier technique, reposent surtout sur les fournisseurs : les entreprises qui construisent et vendent un système d'IA. Si vous avez acheté un chatbot, un outil de réservation ou un assistant de rédaction ailleurs et que vous l'utilisez comme prévu, vous êtes presque toujours un déployeur, et les obligations d'un déployeur sont bien plus courtes.
En général oui, si votre IA touche des personnes dans l'UE. La loi suit le client, pas l'adresse de l'entreprise : une entreprise basée hors de l'UE qui sert des clients de l'UE avec un outil d'IA, un chatbot sur un site que visitent des internautes de l'UE, une fonctionnalité d'IA dans un produit vendu dans l'UE, relève des mêmes règles qu'une entreprise basée à Bruxelles. Changer d'adresse n'aide pas ici comme cela peut aider avec d'autres réglementations.
Tout ce que couvre la loi entre dans l'une de ces quatre catégories. Savoir dans laquelle se trouve votre outil vous dit presque tout ce que vous devez faire.
Pas ce que vous avez acheté, ce qui tourne. Le widget de réservation, le chatbot, l'outil qui présélectionne les CV, le ciblage automatique de la plateforme publicitaire. Les dirigeants sont souvent surpris de voir combien de tout cela est déjà activé quelque part dans l'entreprise, discrètement, par défaut.
Utilisez les quatre catégories ci-dessus. La plupart des outils se retrouvent en risque minimal ou limité, les mêmes que ceux couverts dans notre guide sur l'automatisation pour les petites entreprises. Tout ce qui touche au recrutement, au crédit, à la tarification des assurances ou à des décisions d'un poids similaire sur une personne précise mérite un second regard et, honnêtement, une vraie conversation avec quelqu'un dont c'est le métier.
Si un visiteur discute avec un logiciel et pourrait croire que c'est une personne, dites-le lui. Une ligne dans la fenêtre de chat ou à proximité suffit généralement. Si vous construisez ou achetez un agent IA pour vos clients, prévoyez cette ligne dès le départ plutôt que de l'ajouter après coup.
Si un logiciel aide à décider qui est embauché, qui obtient un crédit, ou toute décision d'un poids similaire, gardez une personne qui vérifie le résultat avant qu'il ne devienne une décision. Cette seule habitude est le coeur pratique de ce que signifie la « supervision humaine » pour une entreprise de votre taille.
C'est la situation la plus courante pour une petite entreprise, et c'est le côté le plus léger de la loi. En tant que déployeur, vos obligations principales sont d'utiliser l'outil comme prévu, de suivre les instructions données par le fournisseur, et de signaler qu'il s'agit d'IA là où l'obligation de transparence s'applique, surtout pour les chatbots et le contenu généré par IA destiné au public. Si ce que vous utilisez est un agent IA qui prend en charge la première conversation client, cette mention couvre l'essentiel du travail. On n'attend pas de vous que vous testiez le modèle, rédigiez une documentation technique, ou prouviez qu'il respecte des normes qu'une entreprise bien plus grande devrait démontrer. Cette charge reste en amont, chez celui qui l'a construit.
Cela devient plus sérieux si vous alimentez un outil acheté avec des décisions sur des personnes précises et que vous le laissez tourner sans contrôle : recrutement, crédit, tarification des assurances. À ce moment là, le fait que vous n'ayez pas construit l'outil compte moins, parce que la loi se soucie de l'effet sur la personne. La phrase la plus utile de toute la loi : enjeu faible, contrôle léger, enjeu élevé, vraie supervision, quel que soit celui qui l'a construit.
Pour la plupart des petites entreprises, pas pour commencer. Si tout ce que vous utilisez se trouve dans la catégorie de risque minimal ou limité, une lecture claire des règles et une mention visible là où vous utilisez un chatbot couvre l'essentiel. Demandez un vrai conseil spécifiquement quand l'IA intervient dans le recrutement, le crédit, la tarification des assurances ou une autre décision que la loi qualifie de risque élevé.
La définition légale est large : un logiciel qui produit des résultats comme des prédictions, des recommandations ou des décisions à partir de ce qu'il reçoit, avec un certain degré d'autonomie. En pratique, cela couvre les chatbots, les fonctionnalités de recommandation, les outils de notation automatique et les outils génératifs de texte ou d'image. Un simple ensemble de règles du type si ceci alors cela, sans apprentissage ni génération, en sort généralement.
Non, pas à lui seul. Un chatbot qui répond à des questions ou gère une réservation se retrouve normalement dans la catégorie de risque limité, qui vous demande d'indiquer que le client parle à une IA et non à une personne. Il ne s'approche du risque élevé que s'il prend des décisions dans l'un des domaines sensibles que la loi nomme directement, ce qu'un chatbot de service client ordinaire ne fait pas.
Oui, si l'IA que vous utilisez touche des personnes dans l'UE. La règle suit l'endroit où le résultat de l'IA est utilisé, pas où votre entreprise est enregistrée, donc un chatbot sur un site utilisé par des clients de l'UE entre généralement dans le champ de la loi, même pour une entreprise sans aucun bureau dans l'UE.
Consultez les pages officielles de la Commission européenne sur la Loi IA plutôt qu'un seul article, celui-ci compris. Les dates par étapes et les seuils pour les plus petites entreprises ont été ajustés depuis l'adoption de la loi, et un article écrit quelques mois plus tôt peut décrire, sans le vouloir, une version antérieure du calendrier.
Quand un client cherche près de chez vous et réserve chez le concurrent au site plus rapide et aux réponses instantanées, ce n'est pas parce qu'il était meilleur, c'est parce qu'il était plus facile à trouver et plus rapide à répondre. Ça se corrige, et ça commence par un échange de 15 minutes qui ne coûte rien.