8 Min. de lecture<\/p>\n
Le 2 ao\u00fbt 2026, l\u2019EU AI Act entrera en vigueur pour les mod\u00e8les d\u2019IA g\u00e9n\u00e9rale. Il reste 70 jours avant que les obligations de documentation concernant l\u2019utilisation d\u2019IA \u00e0 usage g\u00e9n\u00e9ral dans les entreprises ne soient applicables \u2013 y compris les licences ChatGPT, Copilot et Claude, qui sont d\u00e9j\u00e0 largement utilis\u00e9es au quotidien par de nombreux PME d\u2019Europe centrale et orientale. Ceux qui commencent d\u00e8s maintenant pourront traverser la p\u00e9riode avec s\u00e9r\u00e9nit\u00e9. Quant \u00e0 ceux qui attendent l\u2019\u00e9t\u00e9, ils se construiront leur propre liste de v\u00e9rifications et d\u2019audit.<\/strong><\/p>\n Les points cl\u00e9s en bref<\/p>\n Connexes :<\/span>Google Gemini dans l\u2019entreprise : ce que l\u2019AI Act impose<\/a> \/<\/span> Tech-Mandate au conseil d\u2019administration : NIS2, EU AI Act et le gap de comp\u00e9tences<\/a><\/p>\n Qu\u2019est-ce qu\u2019une obligation relative aux GPAI ?<\/strong> Les mod\u00e8les d\u2019IA \u00e0 usage g\u00e9n\u00e9ral (GPAI) sont des syst\u00e8mes d\u2019intelligence artificielle comme ChatGPT, Microsoft Copilot ou Claude, capables d\u2019\u00eatre utilis\u00e9s pour des t\u00e2ches vari\u00e9es. Avec l\u2019EU AI Act, \u00e0 compter du 2 ao\u00fbt 2026, les entreprises qui int\u00e8grent ces mod\u00e8les dans leurs workflows productifs doivent classer, documenter et surveiller leurs cas d\u2019utilisation, qu\u2019elles soient fournisseurs ou utilisateurs.<\/p>\n Depuis des mois, la discussion publique autour de l\u2019EU AI Act met en avant la question de savoir ce qu\u2019il advient des syst\u00e8mes \u00e0 haut risque, comme l\u2019identification biom\u00e9trique ou le scoring de solvabilit\u00e9. Les obligations relatives aux GPAI \u2013 c\u2019est-\u00e0-dire les r\u00e8gles applicables aux mod\u00e8les d\u2019IA g\u00e9n\u00e9rale \u2013 ont souvent \u00e9t\u00e9 qualifi\u00e9es de \u00ab sujet des fournisseurs \u00bb. Cela n\u2019est vrai que partiellement. Les fournisseurs comme OpenAI, Anthropic ou Mistral doivent fournir les cartes des mod\u00e8les, les r\u00e9sum\u00e9s des donn\u00e9es d\u2019entra\u00eenement ainsi que les \u00e9valuations des risques syst\u00e9miques. Mais le v\u00e9ritable probl\u00e8me op\u00e9rationnel se pose du c\u00f4t\u00e9 des utilisateurs.<\/p>\n D\u00e8s lors qu\u2019une entreprise int\u00e8gre un mod\u00e8le GPAI dans un workflow productif \u2013 qu\u2019il s\u2019agisse d\u2019un plug-in ChatGPT dans le CRM, d\u2019un Copilot dans la gestion des contrats ou d\u2019un syst\u00e8me RAG propre bas\u00e9 sur Claude \u2013 l\u2019application devient un syst\u00e8me d\u2019IA au sens de la r\u00e9glementation. Ainsi, les obligations relatives \u00e0 la classification des risques, \u00e0 la transparence, \u00e0 la supervision et \u00e0 la documentation entrent en jeu. La plupart des PME d\u2019Europe centrale et orientale que nous avons interrog\u00e9es ces derni\u00e8res semaines pensent qu\u2019elles rel\u00e8vent de la cat\u00e9gorie des \u00ab utilisateurs \u00bb et sont donc largement libres de leurs actions. C\u2019est une id\u00e9e fausse qui pourrait s\u2019av\u00e9rer co\u00fbteuse en ao\u00fbt.<\/p>\n Bloc 1 – Inventaire des cas d\u2019usage avec classification des risques.<\/strong> Toute application aliment\u00e9e par l\u2019IA au sein de l\u2019entreprise doit \u00eatre recens\u00e9e : quelle t\u00e2che est-elle cens\u00e9e soutenir, quel mod\u00e8le est utilis\u00e9, quelles donn\u00e9es y sont inject\u00e9es, quel d\u00e9partement l\u2019exploite et dans quelle mesure le r\u00e9sultat obtenu est-il contraignant ? Cette analyse permet ensuite d\u2019attribuer chaque cas \u00e0 l\u2019une des quatre cat\u00e9gories de risque – \u00ab minimal \u00bb, \u00ab limit\u00e9 \u00bb, \u00ab \u00e9lev\u00e9 \u00bb ou \u00ab interdit \u00bb. Cette classification oriente toutes les \u00e9tapes ult\u00e9rieures.<\/p>\n Bloc 2 – Documentation des cat\u00e9gories de donn\u00e9es.<\/strong> Quelles sont les cat\u00e9gories de donn\u00e9es personnelles, critiques pour l\u2019activit\u00e9 ou confidentielles qui alimentent le syst\u00e8me d\u2019IA ? Cet inventaire s\u2019inscrit dans le cadre du RGPD, mais va bien au-del\u00e0 : il inclut \u00e9galement des cat\u00e9gories non personnelles telles que les projets contractuels, le code source ou les plans strat\u00e9giques – ainsi que la question de savoir si le mod\u00e8le peut utiliser ces donn\u00e9es pour son entra\u00eenement ou non.<\/p>\n Bloc 3 – M\u00e9canismes de supervision humaine.<\/strong> Pour chaque cas d\u2019usage, il convient de pr\u00e9ciser qui valide les r\u00e9sultats produits par l\u2019IA, qui est habilit\u00e9 \u00e0 d\u00e9clencher une escalade et qui assume la responsabilit\u00e9 finale. En cas de risque limit\u00e9, un contr\u00f4le par \u00e9chantillonnage suffit souvent. En revanche, pour les applications \u00e0 haut risque – comme les d\u00e9cisions relatives au recrutement ou aux \u00e9valuations de cr\u00e9dit – une r\u00e8gle des quatre yeux, accompagn\u00e9e d\u2019un processus d\u2019escalade clairement document\u00e9, est indispensable.<\/p>\n Bloc 4 – Registres d\u2019\u00e9valuation de la conformit\u00e9.<\/strong> Il s\u2019agit du dossier centralis\u00e9 destin\u00e9 aux audits : fiches techniques des fournisseurs, \u00e9valuations internes des risques, mesures mises en \u0153uvre, preuves de formation\u2026 Un simple fichier Excel r\u00e9parti ne suffit pas ; les autorit\u00e9s de surveillance exigent une structure organis\u00e9e, attestant que l\u2019entreprise prend ses obligations au s\u00e9rieux.<\/p>\n Exemple A – CRM int\u00e9grant un plug-in ChatGPT pour la r\u00e9daction de mails :<\/strong> un constructeur m\u00e9canique bas\u00e9 en Bade-Wurtemberg confie \u00e0 ses commerciaux la g\u00e9n\u00e9ration automatique de brouillons de r\u00e9ponse aux demandes clients via un plug-in ChatGPT Enterprise. Risque : minimal \u00e0 limit\u00e9. Obligations : documentation du cas d\u2019usage, contr\u00f4les par \u00e9chantillonnage, avertissement clair aux clients en cas d\u2019envoi de textes g\u00e9n\u00e9r\u00e9s par l\u2019IA sans relecture pr\u00e9alable.<\/p>\n Exemple B – S\u00e9lection pr\u00e9liminaire des candidats gr\u00e2ce \u00e0 Microsoft Copilot :<\/strong> un prestataire informatique de taille moyenne utilise Copilot pour trier les candidatures selon des crit\u00e8res d\u2019aptitude. Risque : \u00e9lev\u00e9 – d\u00e9cision humaine impliqu\u00e9e. Obligations : tests de biais document\u00e9s, mise en place d\u2019une double validation pour les refus, transparence vis-\u00e0-vis des candidats et auditabilit\u00e9 des proc\u00e9dures de conformit\u00e9.<\/p>\n Exemple C – R\u00e9daction de contrats avec Claude Pro :<\/strong> une entreprise commerciale g\u00e9n\u00e8re des clauses contractuelles via des interactions avec Claude Pro. Risque : limit\u00e9 – toutefois, les clauses sont diffus\u00e9es sans v\u00e9rification juridique finale. Obligations : d\u00e9finition d\u2019une hi\u00e9rarchie d\u2019escalade, audits al\u00e9atoires sur des \u00e9chantillons de r\u00e9sultats, et mention explicite dans la documentation interne des parties du contrat appuy\u00e9es par l\u2019IA.<\/p>\n \u00ab La loi europ\u00e9enne sur l\u2019IA n\u2019est pas le prochain d\u00e9sastre du RGPD – mais elle mettra sous pression pr\u00e9cis\u00e9ment les entreprises qui pensaient que les licences d\u2019IA garantissaient automatiquement la conformit\u00e9. Les inspections r\u00e9guli\u00e8res arriveront et exigeront une documentation rigoureuse. \u00bb<\/p><\/blockquote>\n Six \u00e9tapes op\u00e9rationnelles qui peuvent occuper les 70 jours de l\u2019\u00e9t\u00e9 \u2013 ou se d\u00e9rouler en arri\u00e8re-plan pendant dix semaines :<\/p>\n Selon l\u2019exp\u00e9rience, une entreprise de taille moyenne comptant entre 200 et 500 employ\u00e9s et trois \u00e0 cinq cas d\u2019usage d\u2019IA en production a besoin de huit \u00e0 douze semaines pour mener \u00e0 bien ces six \u00e9tapes correctement \u2013 \u00e0 condition que le projet ait une propri\u00e9t\u00e9 claire. Sans responsable d\u00e9sign\u00e9, cela devient un projet qui s\u2019enlise durant l\u2019\u00e9t\u00e9.<\/p>\n Oui \u2013 d\u00e8s lors qu\u2019un syst\u00e8me d\u2019IA est propos\u00e9 ou utilis\u00e9 sur le march\u00e9 de l\u2019UE, l\u2019AI Act s\u2019applique, ind\u00e9pendamment du si\u00e8ge du fournisseur ou de l\u2019utilisateur. Les entreprises de la r\u00e9gion DACH ayant des filiales en Suisse ou au Royaume-Uni doivent respecter les obligations pour leurs op\u00e9rations dans l\u2019UE.<\/p>\n<\/details>\n Les obligations entrent automatiquement en vigueur. En cas de violation, des amendes allant jusqu\u2019\u00e0 15 millions d\u2019euros ou trois pour cent du chiffre d\u2019affaires mondial du groupe sont encourues \u2013 le montant le plus \u00e9lev\u00e9 \u00e9tant retenu. Les autorit\u00e9s de surveillance des \u00c9tats membres de l\u2019UE mettent d\u00e9j\u00e0 en place leurs programmes de contr\u00f4les al\u00e9atoires.<\/p>\n<\/details>\n Non. Les obligations sont partag\u00e9es : les fournisseurs doivent fournir des fiches mod\u00e8les, des r\u00e9sum\u00e9s des donn\u00e9es d\u2019entra\u00eenement et des \u00e9valuations des risques syst\u00e9miques. Les utilisateurs doivent documenter, classifier et surveiller leurs propres cas d\u2019usage. Une d\u00e9claration de conformit\u00e9 d\u2019OpenAI ou de Microsoft ne couvre que le c\u00f4t\u00e9 fournisseur.<\/p>\n<\/details>\n Le BSI pr\u00e9pare un guide d\u2019application pour les GPAI, qui devrait \u00eatre publi\u00e9 d\u2019ici mi-juillet selon l\u2019\u00e9tat actuel. Il contiendra des mod\u00e8les pour les quatre blocs de documentation. Ceux qui ne souhaitent pas attendre peuvent s\u2019appuyer sur les mat\u00e9riaux existants de l\u2019ENISA et sur les recommandations des autorit\u00e9s nationales de protection des donn\u00e9es.<\/p>\n<\/details>\n Source image titre : Pexels \/ RDNE Stock project (px:7414013)<\/em><\/p>\n","protected":false},"excerpt":{"rendered":" \u00c0 partir du 2 ao\u00fbt 2026, les obligations du r\u00e8glement europ\u00e9en sur l\u2019IA (AI Act) s\u2019appliqueront \u00e0 des outils comme ChatGPT, Copilot et Claude\u2026<\/p>\n","protected":false},"author":160,"featured_media":102283,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_yoast_wpseo_focuskw":"Loi IA UE","_yoast_wpseo_title":"GPAI devient un pi\u00e8ge \u00e0 documents pour les PME","_yoast_wpseo_metadesc":"Obligations GPAI \u00e0 partir du 2 ao\u00fbt 2026 : ChatGPT, Copilot et Claude rel\u00e8vent du r\u00e8glement europ\u00e9en sur l'IA.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"featured_post_sortierung":0,"featured_post":0,"pre_headline":"","bildquelle":"","teasertext":"","language":"de","_evm_translation_lang":"","_wp_old_slug":[],"footnotes":""},"categories":[2220,2258,2226],"tags":[],"class_list":["post-104466","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-digital-business-future","category-digitale-wirtschaft","category-intelligence-artificielle","entry"],"evm_reading_time_minutes":10,"wpml_language":"fr","wpml_translation_of":101043,"acf":[],"yoast_head":"\n\n
Pourquoi les obligations relatives aux GPAI vont surprendre de nombreux PME<\/h2>\n
Les quatre blocs de documentation \u00e0 mettre en place d\u00e8s maintenant<\/h2>\n
Trois exemples de cas d\u2019usage issus du milieu des PME en Allemagne, Autriche et Suisse<\/h2>\n
Ce qui doit \u00eatre concr\u00e8tement en place d\u2019ici le 2 ao\u00fbt<\/h2>\n
\n
Foire aux questions<\/h2>\n
L\u2019AI Act de l\u2019UE s\u2019applique-t-il \u00e9galement aux entreprises non europ\u00e9ennes ?<\/strong><\/summary>\n
Que se passe-t-il si la date butoir du 2 ao\u00fbt est manqu\u00e9e ?<\/strong><\/summary>\n
Une d\u00e9claration de conformit\u00e9 du fournisseur d\u2019IA suffit-elle ?<\/strong><\/summary>\n
Le BSI aide-t-il avec des mod\u00e8les concrets ?<\/strong><\/summary>\n
Plus d\u2019articles du r\u00e9seau MBF Media<\/h3>\n
\n