Littératie IA (Art. 4), active depuis février 2025. Toute personne qui utilise un système d'IA dans l'entreprise doit avoir un "niveau suffisant de littératie IA". En clair : chaque collaborateur qui touche à un outil IA doit comprendre ce qu'il fait, ses limites et ses risques. Ce n'est pas une recommandation, c'est la loi.
Obligations des déployeurs pour les systèmes haut risque (Art. 26), reportées au 2 décembre 2027 pour l'annexe III et au 2 août 2028 pour l'annexe I. Si votre entreprise utilise un système classé haut risque, vous devez : désigner des personnes physiques responsables de la supervision humaine, contrôler la pertinence et la représentativité des données d'entrée, conserver les logs automatiques pendant 6 mois minimum, informer les travailleurs et les personnes concernées, et signaler les incidents graves au fournisseur et à l'autorité compétente.
Transparence (Art. 50). Si vos clients ou collaborateurs interagissent avec un chatbot, ils doivent savoir que c'est une IA. Si vous publiez du contenu généré par IA (texte, image, vidéo), cela doit être indiqué. Cette obligation s'applique quel que soit le niveau de risque.
Les obligations de l'article 26, paragraphe par paragraphe
Le règlement définit le déployeur comme « une personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d'IA sauf lorsque ce système est utilisé dans le cadre d'une activité personnelle à caractère non professionnel » (règlement (UE) 2024/1689, article 3, point 4). Une PME qui achète un outil de tri de candidatures est déployeur, même si elle n'a écrit aucune ligne de code.
L'article 26 compte douze paragraphes. Huit s'imposent à une PME privée concernée :
- Utiliser le système conformément à la notice du fournisseur, par des mesures techniques et organisationnelles (§ 1).
- Confier la surveillance humaine à des personnes ayant la compétence, la formation et l'autorité nécessaires (§ 2).
- Veiller à ce que les données d'entrée que vous maîtrisez soient pertinentes et suffisamment représentatives (§ 4).
- Surveiller le fonctionnement, suspendre l'usage en cas de risque, informer le fournisseur et l'autorité, signaler les incidents graves (§ 5).
- Conserver les journaux générés automatiquement, au moins six mois (§ 6).
- Informer les représentants du personnel et les travailleurs concernés avant la mise en service sur le lieu de travail (§ 7).
- Informer les personnes physiques qu'elles sont soumises à l'utilisation d'un système d'IA à haut risque (§ 11).
- Coopérer avec les autorités compétentes pour la mise en œuvre du règlement (§ 12).
Un neuvième paragraphe joue selon le cas : utiliser les informations reçues du fournisseur pour l'analyse d'impact relative à la protection des données (§ 9). Les trois autres ne visent pas une entreprise privée : le § 3 est une clause de coordination, le § 8 vise les organismes publics, le § 10 l'identification biométrique a posteriori en contexte répressif. Certains déployeurs doivent en plus conduire une analyse d'impact sur les droits fondamentaux, prévue à l'article 27.
Le détail de chaque paragraphe, avec la pièce à produire pour en apporter la preuve, est sur la page dédiée : article 26 de l'AI Act, les obligations du déployeur.