AI Act obligations entreprises : pour les dirigeants, juristes, DSI et responsables produit du numérique, la question n’est plus de savoir si le règlement européen sur l’intelligence artificielle aura un impact. La question opérationnelle est désormais : quelles preuves faut-il produire, pour quels cas d’usage, à quelle date et avec quelle responsabilité contractuelle ? En 2025-2026, les ESN et éditeurs de logiciels doivent passer d’une veille générale à un plan de conformité IA documenté.
Ce guide pratique vise les entreprises qui conçoivent, intègrent, configurent, revendent ou exploitent des briques d’IA pour leurs clients : éditeurs SaaS, ESN data, intégrateurs de solutions métiers, cabinets de conseil IA, MSP, prestataires cloud et équipes produit qui ajoutent de l’IA générative à une application existante. L’enjeu n’est pas seulement juridique : un client soumis à l’AI Act demandera des garanties à ses fournisseurs, parfois avant même que l’autorité nationale ne contrôle le système.
Calendrier AI Act 2025-2026 : les dates à retenir
Le règlement européen est entré en vigueur le 1er août 2024, avec une application progressive. Depuis le 2 février 2025, les pratiques d’IA interdites sont proscrites et les entreprises doivent développer une culture IA minimale pour les personnes qui utilisent ou supervisent ces systèmes. Depuis le 2 août 2025, plusieurs volets de gouvernance européenne, sanctions et obligations relatives aux modèles d’IA à usage général montent en puissance. Le 2 août 2026 reste une échéance majeure pour l’application large du règlement, notamment les obligations de transparence. Les obligations les plus lourdes applicables à certains systèmes à haut risque font toutefois l’objet d’un calendrier affiné par les textes de simplification européens : les entreprises doivent donc vérifier le cas d’usage, le rôle exact et le texte applicable au moment du lancement.
Pour une ESN ou un éditeur, la bonne conclusion n’est donc pas « attendre 2026 ». Les preuves se construisent dès la conception : registre des cas d’usage, qualification des rôles, choix des modèles, documentation produit, clauses contractuelles et organisation de la supervision humaine.
Catégories de risque : où se situent les projets IA d’une ESN ?
L’AI Act repose sur une approche par les risques. Les pratiques interdites couvrent notamment certaines manipulations, exploitations de vulnérabilités, notations sociales ou usages biométriques incompatibles avec les droits fondamentaux. Un prestataire ne doit pas exécuter mécaniquement un cahier des charges client si le cas d’usage franchit une ligne rouge.
Les systèmes à haut risque sont le cœur du sujet pour les entreprises du numérique. Ils peuvent concerner l’emploi et la gestion des travailleurs, l’éducation, l’accès à des services essentiels, certaines infrastructures critiques, la justice, la migration ou des composants de produits réglementés. Un logiciel de tri de candidatures, un scoring automatisé, un outil d’aide à la décision RH ou un module qui influence l’accès à un service essentiel ne se traite pas comme un simple chatbot interne.
Les usages à risque limité imposent surtout de la transparence : informer l’utilisateur qu’il interagit avec une IA, signaler certains contenus générés ou manipulés, et éviter toute confusion sur la nature automatisée du service. Enfin, les modèles d’IA à usage général créent des obligations spécifiques pour leurs fournisseurs ; les éditeurs et ESN qui les intègrent doivent au minimum conserver les informations nécessaires pour répondre à leurs clients et démontrer une chaîne de responsabilité maîtrisée.
AI Act ESN éditeurs logiciels : identifier le bon rôle juridique
La conformité dépend du rôle réel de l’entreprise. Une ESN peut être simple prestataire technique, mais elle peut aussi devenir fournisseur d’un système d’IA si elle conçoit la solution, la met sur le marché sous son nom, la modifie substantiellement ou décide des paramètres qui structurent le résultat. Un éditeur SaaS est souvent fournisseur pour ses fonctionnalités propres, mais peut être déployeur pour ses outils internes. Un intégrateur peut aussi être distributeur, importateur ou sous-traitant critique selon le montage contractuel.
Cette qualification doit être écrite. Le contrat doit préciser qui documente le système, qui conserve les journaux, qui réalise les tests, qui informe les utilisateurs, qui surveille les incidents, qui met à jour le modèle et qui répond aux demandes du client final. À défaut, l’entreprise numérique risque d’accepter une responsabilité réglementaire qui n’a pas été prévue dans le prix, les délais ou les assurances.
Obligations documentaires : quelles preuves préparer ?
Pour un système à haut risque, les obligations attendues sont structurantes : système de gestion des risques, gouvernance des données, documentation technique, journalisation, information des utilisateurs, supervision humaine, robustesse, exactitude, cybersécurité, gestion de la qualité et, selon les cas, évaluation de conformité. Même lorsqu’un cas d’usage n’est pas haut risque, une entreprise prudente documente son analyse et conserve les éléments qui justifient sa décision.
Un dossier de conformité IA numérique devrait contenir au minimum : un inventaire des fonctionnalités IA, la finalité de chaque usage, les données utilisées, le fournisseur du modèle, la catégorie de risque, les impacts sur les personnes, les mesures de contrôle humain, les tests réalisés, les limites connues, les procédures d’incident et les clauses client-fournisseur. Pour les solutions génératives, il faut aussi documenter les garde-fous, les consignes d’usage, la gestion des hallucinations, la propriété intellectuelle et les dépendances à des modèles tiers.
Sanctions et risque commercial
Les sanctions prévues par l’AI Act sont élevées : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel pour certaines pratiques interdites, jusqu’à 15 millions d’euros ou 3 % pour d’autres manquements, et jusqu’à 7,5 millions d’euros ou 1 % pour la fourniture d’informations inexactes, avec des règles adaptées pour les PME. Mais le premier risque pour une ESN ou un éditeur peut arriver avant la sanction : exclusion d’un appel d’offres, audit fournisseur bloqué, renégociation contractuelle, refus d’un grand compte ou incident de confiance après un résultat automatisé contesté.
Ce qu’une entreprise du numérique doit faire maintenant
- Cartographier tous les usages IA internes, produits et projets clients, y compris les prototypes et assistants génératifs.
- Qualifier la catégorie de risque et le rôle de l’entreprise : fournisseur, déployeur, intégrateur, distributeur ou sous-traitant.
- Créer un registre IA avec finalité, données, modèle, fournisseur, documentation disponible, responsable métier et niveau de risque.
- Mettre à jour les contrats : responsabilités, logs, documentation, incidents, audit, réversibilité, propriété intellectuelle et assistance au client.
- Former les équipes commerciales, produit, delivery et support pour repérer les cas sensibles dès l’avant-vente.
- Aligner AI Act, RGPD, NIS2 et DORA afin d’éviter quatre démarches séparées sur les mêmes preuves de sécurité, gouvernance et traçabilité.
Ce travail rejoint directement nos analyses sur l’AI Act pour les ESN, NIS2 pour les entreprises du numérique et DORA pour les prestataires IT du secteur financier. Les textes diffèrent, mais les clients attendent une même capacité : prouver que les services numériques sont maîtrisés, documentés et pilotés.
Flying squirrels accompagne ses adhérents sur la conformité AI Act : commission IA, veille réglementaire, notes d’analyse, retours d’expérience et positions collectives auprès des décideurs. Pour accéder à ces travaux, comparer vos pratiques avec d’autres ESN et éditeurs, et anticiper les demandes clients, rejoignez Flying squirrels.
Sources officielles et méthode
Les dates et obligations résumées dans cet article s’appuient sur le règlement européen publié sur EUR-Lex et sur les pages de référence de la Commission européenne. Les entreprises doivent suivre les lignes directrices, normes harmonisées et textes nationaux d’application, car ils préciseront les modalités de contrôle et les attentes documentaires.