L’IA se déploie, la responsabilité de votre entreprise reste entière : trois questions à se poser

Dans la plupart des entreprises que nous accompagnons, l’intelligence artificielle est arrivée avant la décision de l’adopter. Quelqu’un a collé un contrat dans un assistant pour le résumer, quelqu’un d’autre a branché un agent sur la boîte de contact, un troisième a automatisé une relance. Aucune de ces initiatives n’est illégitime. Mais aucune n’a été arbitrée, et c’est l’entreprise qui répond de toutes.

Où en est réellement le règlement européen

Le règlement sur l’intelligence artificielle s’applique par étapes, et son calendrier a bougé cet été. Au 30 octobre 2026, date de vérification de cet article :

• Depuis le 2 février 2025 : les pratiques interdites et le devoir de culture de l’IA au sein des organisations.
• Depuis le 2 août 2025 : les obligations des fournisseurs de modèles à usage général, la gouvernance et le régime de sanctions.
• Depuis le 2 août 2026 : les obligations de transparence de l’article 50 — signaler qu’un interlocuteur parle à une machine, marquer les contenus générés ou manipulés par IA.
• Reporté : le Digital Omnibus sur l’IA, règlement (UE) 2026/1744 entré en vigueur le 27 juillet 2026, a décalé les obligations applicables aux systèmes à haut risque de l’annexe III du 2 août 2026 au 2 décembre 2027, et celles de l’annexe I au 2 août 2028 (AI Act Explorer, Cooley).

Un report n’est pas une dispense. Il déplace une échéance pour une catégorie précise de systèmes ; il ne retire rien de ce qui s’applique déjà, et surtout rien de ce qui ne vient pas du règlement IA du tout : le RGPD, le secret des affaires, le droit du travail, la responsabilité contractuelle envers vos clients. Une entreprise qui attendrait décembre 2027 pour s’intéresser à ses usages d’IA se tromperait de texte.

Côté sanctions, l’article 99 prévoit jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, 15 millions ou 3 % pour la plupart des autres manquements, et 7,5 millions ou 1 % pour des informations inexactes fournies aux autorités — pour les PME, c’est le montant le plus faible des deux qui s’applique. Ces plafonds visent les cas graves, mais ils donnent l’échelle.

Première question — gouvernance : savez-vous ce qui est utilisé, et pour quoi ?

Commencez par l’inventaire, pas par la politique. Quels outils, par qui, sur quelles tâches, avec quels comptes — personnels ou professionnels ? Une liste honnête tient sur une page et révèle presque toujours deux ou trois usages que la direction ignorait : c’est le phénomène que l’on appelle l’IA fantôme.

L’inventaire sert à trancher trois choses : ce qui est autorisé sans condition, ce qui l’est sous conditions, ce qui ne l’est pas. Une règle écrite que personne ne lit vaut moins qu’une liste de trois lignes affichée et comprise.

Deuxième question — conformité : où vont les données ?

La question n’est pas « l’outil est-il conforme », elle est « que lui avons-nous donné ». Un contrat client, un fichier de paie, un dossier médical, un code source : chaque envoi vers un service tiers est un transfert, avec un responsable, une finalité, une durée de conservation et parfois un pays de destination. Vérifiez trois points concrets : le service réutilise-t-il vos saisies pour entraîner ses modèles, où sont-elles hébergées, et combien de temps y restent-elles ? Les réponses figurent dans les conditions du service, pas dans son argumentaire. Notre page conformité décrit le cadre que nous appliquons de notre côté (RGPD, LPD/nLPD, LPRPDE).

Troisième question — supervision : qui relit, qui décide, qui répond ?

C’est la question la plus souvent sautée, et la seule qui compte le jour d’une erreur. Pour chaque usage, trois noms doivent exister : qui contrôle les résultats, qui valide les actions sensibles — un paiement, un envoi à un client, une suppression — et qui intervient quand un agent se trompe. Pas une fonction : une personne, et son remplaçant.

Un agent qui agit sans validation humaine sur une action irréversible n’est pas un gain de productivité, c’est un risque opérationnel avec un effet de levier. Inversement, un agent dont chaque sortie doit être intégralement relue ne fait économiser à peu près rien : c’est le signe que son périmètre est mal découpé.

Le risque n’est pas seulement réglementaire

Une automatisation mal encadrée expose des données, dégrade une relation client ou produit des erreurs en série — une relance envoyée au mauvais segment, un prix faux repris dans trente devis, une réponse polie et fausse à une réclamation. L’amende est le risque le plus visible ; il est rarement le premier à se réaliser.

Par où commencer, concrètement

1. Inventoriez les outils et les usages réels, sans jugement, sur une page.
2. Classez chaque tâche : purement humaine, humaine assistée par l’IA, confiable à un agent sous supervision.
3. Nommez pour chaque usage sensible la personne qui relit et celle qui valide.
4. Écrivez ce qui ne doit jamais sortir de l’entreprise, et dans quels outils.
5. Chiffrez avant de signer : notre calculateur de rentabilité compare le coût complet d’un poste interne et celui d’une prestation, part automatisable comprise — et montre à partir de quel volume la réponse s’inverse.

Chez Workynet, nous aidons les entreprises à organiser leurs processus, à intégrer l’IA de façon maîtrisée et à associer automatisation et supervision humaine nommée. N’attendez pas un incident pour faire le point sur vos pratiques.

Cet article est une information générale, vérifiée le 30 octobre 2026 ; il ne constitue ni un audit, ni un avis juridique. Les modalités précises se vérifient sur les textes officiels ou auprès de votre conseil.

Sources

• AI Act Explorer — Digital Omnibus on AI
• Commission européenne — FAQ sur les obligations de transparence de l’article 50
• Cooley — Digital AI Omnibus delays key deadlines