AI Act : quelles entreprises sont concernées ?
L’AI Act, règlement européen sur l’intelligence artificielle, ne concerne pas uniquement les entreprises qui développent des solutions d’IA.
Une entreprise qui utilise professionnellement un système d’intelligence artificielle peut être qualifiée de « déployeur » et être soumise à certaines obligations.
L’AI Act repose sur une logique simple : plus l’usage de l’IA présente un risque important pour les personnes, plus les obligations sont fortes.
La bonne question n’est donc pas seulement : « Est-ce que mon entreprise utilise une IA ? », mais surtout : « Pour quoi l’utilise-t-elle ? »
Quels usages de l’IA sont concernés par l’AI Act ?
Tous les usages ne présentent pas le même niveau de risque.
Certaines pratiques sont interdites. C’est notamment le cas, sauf exceptions, de la reconnaissance des émotions sur le lieu de travail.
D’autres systèmes sont considérés comme à haut risque, notamment lorsqu’ils interviennent dans des domaines sensibles comme l’emploi.
Exemple : demander à une IA de reformuler une offre d’emploi ne présente pas le même risque que lui demander d’analyser 500 CV, de noter les candidats et de sélectionner ceux qui seront reçus en entretien.
Enfin, certaines utilisations sont principalement soumises à des obligations de transparence, notamment les chatbots, deepfakes et certains contenus générés ou manipulés par IA.
Depuis le 2 août 2026, une partie de ces obligations de transparence est applicable.
IA et RGPD : attention aux données transmises
L’AI Act n’est pas la seule réglementation à prendre en compte.
Lorsqu’une entreprise transmet des données personnelles à ChatGPT, Gemini, Claude ou un autre outil d’IA, le RGPD continue de s’appliquer.
Prenons un exemple : un commercial transmet à une IA un fichier contenant les coordonnées et l’historique d’achat de 500 clients afin d’identifier ceux qu’il doit relancer en priorité.
Avant cette transmission, plusieurs questions doivent être posées : toutes ces données sont-elles nécessaires ? Peuvent-elles être anonymisées ? Où sont-elles conservées ? Sont-elles réutilisées par le fournisseur de l’IA ?
Le bon réflexe est simple : Avant de vous demander ce que l’IA va faire de vos données, demandez-vous si vous aviez le droit de les lui transmettre.
Confidentialité et « Shadow AI » : un risque à ne pas négliger
Toutes les informations sensibles d’une entreprise ne sont pas des données personnelles.
Contrats, business plans, stratégies commerciales, informations clients ou code source peuvent être soumis à des obligations de confidentialité ou relever du secret des affaires.
Une difficulté supplémentaire apparaît lorsque les salariés utilisent des outils d’IA sans que l’entreprise le sache : c’est le « Shadow AI ».
Une entreprise peut, par exemple, avoir choisi une solution sécurisée tandis qu’un salarié utilise son compte personnel ChatGPT pour résumer un contrat confidentiel.
Il devient donc essentiel de déterminer quels outils peuvent être utilisés et quelles informations peuvent leur être transmises.
IA et droit d’auteur : à qui appartient un contenu généré ?
Autre question fréquente : une entreprise dispose-t-elle automatiquement de droits d’auteur sur un contenu généré par IA ?
Non.
Le droit d’auteur reste centré sur la création humaine et l’originalité.
Si l’IA est utilisée comme un outil et que son résultat est véritablement sélectionné, modifié et retravaillé au moyen de choix créatifs humains, une protection peut être envisageable sur cet apport.
À l’inverse, demander à une IA de créer un logo et exploiter immédiatement le résultat sans véritable intervention créative rend la revendication d’un droit d’auteur exclusif beaucoup plus fragile.
Autre point essentiel : « généré par IA » ne signifie pas « libre de droits ».
Un contenu généré peut reproduire ou évoquer une marque, une photographie, un personnage ou une œuvre protégée. L’autorisation donnée par l’outil d’utiliser commercialement un résultat ne fait pas disparaître les droits des tiers.
AI Act : 6 réflexes pour les entreprises
Pour encadrer l’utilisation de l’intelligence artificielle, les entreprises peuvent dès maintenant :
- Cartographier les outils d’IA utilisés, y compris ceux utilisés spontanément par les salariés ;
- Identifier les usages et leur niveau de risque ;
- Déterminer quelles données et informations peuvent être transmises aux outils d’IA ;
- Vérifier les conditions d’utilisation des outils, notamment en matière de confidentialité, sécurité et réutilisation des données ;
- Former les collaborateurs à une utilisation responsable de l’intelligence artificielle ;
- Maintenir un contrôle humain sur les résultats et décisions assistées par l’IA.
Les 3 questions à retenir avant d’utiliser une IA
Face à la multiplication des réglementations, trois questions permettent d’identifier rapidement les principaux risques :
Que fait mon IA ? → AI Act
Qu’est-ce que je donne à mon IA ? → RGPD, confidentialité, secret des affaires
Qu’est-ce que mon IA utilise et qu’est-ce qu’elle me donne ? → propriété intellectuelle
L’objectif n’est pas d’opposer innovation et droit, mais de permettre aux entreprises de profiter des opportunités offertes par l’intelligence artificielle sans perdre la maîtrise de leurs données, de leurs contenus et de leurs décisions.
KPSP Avocats accompagne les entreprises dans leurs projets d’intelligence artificielle
L’utilisation de l’IA se situe au croisement de plusieurs matières : AI Act, RGPD, propriété intellectuelle, droit du numérique, contrats et confidentialité.
KPSP Avocats accompagne les entreprises dans la sécurisation de leurs usages de l’intelligence artificielle : audit des pratiques, analyse des risques, rédaction de chartes IA, conformité RGPD, propriété intellectuelle et formation des collaborateurs.
