Encadrement juridique de l'intelligence artificielle : ce qui change pour les entreprises
L'encadrement juridique de l'intelligence artificielle s'impose désormais comme un impératif de gouvernance pour toute entreprise qui déploie, commercialise ou intègre des systèmes automatisés dans ses opérations. Le règlement européen sur l'intelligence artificielle – dit « AI Act » – introduit un cadre par niveau de risque, articulé autour d'obligations de conformité, de documentation et de surveillance qui s'appliquent progressivement. Les premières dispositions sont entrées en vigueur, et les obligations les plus structurantes montent en charge selon un calendrier échelonné sur plusieurs années. La direction générale et la DSI doivent anticiper : attendre la mise en demeure coûte plus cher qu'une préparation ordonnée.
En mars 2026, le marché observe une accélération des projets d'IA dans les entreprises françaises, au moment même où les premières échéances réglementaires deviennent contraignantes. Ce décryptage expose ce qui change concrètement, qui est concerné, quelles obligations nouvelles s'imposent et quelles actions engager sans délai.
Qu'est-ce que l'AI Act et quel est son périmètre d'application ?
L'AI Act désigne le règlement européen sur l'intelligence artificielle, adopté en 2024 et publié au Journal officiel de l'Union européenne, qui constitue le premier cadre normatif horizontal applicable aux systèmes d'intelligence artificielle. Il s'applique à tout opérateur – fournisseur, déployeur, distributeur ou importateur – dont les systèmes sont mis sur le marché ou mis en service dans l'Union européenne, indépendamment du lieu d'établissement. Les dispositions du Code monétaire et financier, du Code de commerce et du règlement général sur la protection des données (RGPD) restent pleinement applicables en parallèle : l'AI Act ne les abroge pas, il s'y superpose.
Le périmètre est volontairement large. Un système d'IA, au sens du règlement, correspond à tout système automatisé qui, à partir d'objectifs définis, génère des sorties – recommandations, décisions, contenus, prévisions – susceptibles d'affecter des environnements réels ou virtuels. Cette définition capture les outils de scoring crédit, les algorithmes de recrutement, les chatbots de service client, les systèmes de détection de fraude et les plateformes de génération de contenus.
La logique du règlement repose sur quatre catégories de risque. Les systèmes à risque inacceptable sont interdits. Les systèmes à haut risque font l'objet des obligations les plus lourdes. Les systèmes à risque limité sont soumis à des exigences de transparence. Les systèmes à risque minimal circulent librement, sous réserve des autres règlementations sectorielles applicables.
Dans notre pratique, nous observons que la première difficulté pour les entreprises n'est pas la conformité elle-même : c'est la qualification. Identifier si un système relève du haut risque ou du risque limité engage déjà une analyse juridique et technique structurée.
Vous déployez un système d'IA ou vous intégrez une solution tierce dans votre organisation ?
La procédure décrite ci-dessus vaut pour les situations courantes. Votre dossier suppose l'examen des actes, des délais et de la pratique des autorités compétentes.
Pour une analyse de votre situation au regard de l'encadrement juridique de l'intelligence artificielle, écrivez-nous à contact@vernaylestang.com.
Quel calendrier d'entrée en vigueur faut-il retenir ?
L'AI Act est entré en vigueur selon un calendrier progressif, avec des dispositions qui deviennent contraignantes par vagues successives, et non simultanément. Cette progressivité est délibérée : elle laisse un délai aux opérateurs pour adapter leurs processus, mais elle génère aussi une complexité de lecture.
Les interdictions applicables aux systèmes à risque inacceptable sont entrées en application en premier, sans délai de grâce substantiel. Les obligations relatives aux modèles d'IA à usage général – dits GPAI – s'appliquent selon leur propre calendrier, avec des exigences de documentation et de transparence. Les obligations pesant sur les systèmes à haut risque déjà existants bénéficient de délais de mise en conformité plus longs, ce qui ne signifie pas qu'ils peuvent être ignorés.
Nous accompagnons régulièrement des directions juridiques qui découvrent, lors de l'inventaire de leurs outils, que des systèmes déployés depuis plusieurs années relèvent de la catégorie haut risque sans que ce constat ait jamais été formalisé. Le calendrier réglementaire ne suspend pas la responsabilité civile ou contractuelle qui peut naître de l'utilisation de ces systèmes.
Les autorités nationales de surveillance – en France, les réflexions convergent vers un rôle de coordination entre la CNIL et d'autres régulateurs sectoriels – se structurent progressivement. La vigilance est donc immédiatement justifiée, même pour des échéances qui paraissent lointaines sur le papier.
Quels systèmes sont classés à haut risque et pourquoi cela compte ?
Un système à haut risque, au sens de l'AI Act, correspond à un système d'IA listé dans les annexes du règlement ou intégré dans un produit soumis à une législation d'harmonisation européenne, dont le déploiement peut porter atteinte à la santé, à la sécurité ou aux droits fondamentaux. Cette classification entraîne un régime d'obligations substantiellement plus exigeant que les autres catégories.
Les secteurs les plus directement concernés incluent l'emploi et la gestion des ressources humaines – algorithmes de tri de candidatures, évaluation de la performance –, l'accès aux services essentiels – scoring de crédit, éligibilité aux aides –, l'infrastructure critique, l'éducation, la migration, les systèmes biométriques et l'administration de la justice. Cette liste n'est pas exhaustive : le règlement prévoit des mécanismes d'extension.
Pour les systèmes classés haut risque, les obligations portent sur plusieurs axes. D'abord, la constitution et la tenue d'un système de gestion des risques documenté, mis à jour tout au long du cycle de vie du système. Ensuite, la gouvernance des données d'entraînement, de validation et de test. Puis la documentation technique, permettant à une autorité de surveillance de reconstituer les caractéristiques du système. S'y ajoutent la journalisation automatique, les mécanismes de surveillance humaine, la robustesse et la précision du système, et enfin la transparence vis-à-vis des déployeurs et des utilisateurs.
Un point mérite une attention particulière. La chaîne de responsabilité entre fournisseur et déployeur est explicitement régulée. Une entreprise qui intègre un système d'IA à haut risque développé par un tiers ne peut pas se retrancher derrière la seule responsabilité du fournisseur : ses propres obligations de déployeur subsistent.
Quelles obligations concrètes pèsent sur les entreprises déployeuses ?
Le déployeur – c'est-à-dire l'entité qui utilise un système d'IA à haut risque sous sa propre responsabilité – est soumis à un ensemble d'obligations opérationnelles qui s'articulent avec celles du fournisseur, sans s'y substituer. Ces obligations sont distinctes de celles issues du RGPD, même si elles se recoupent partiellement lorsque le système traite des données à caractère personnel.
En matière de surveillance humaine, le déployeur doit s'assurer que des personnes compétentes supervisent effectivement le système, comprennent ses limites et sont en mesure d'intervenir ou d'interrompre son fonctionnement. Cette exigence dépasse la simple clause contractuelle : elle suppose une organisation interne dédiée, des formations et une traçabilité des contrôles effectués.
En matière de transparence, lorsque le système interagit avec des personnes physiques – chatbots, outils de décision individuelle –, l'information préalable doit être assurée. La jurisprudence constante de la Cour de justice de l'Union européenne en matière de droit à l'information des personnes physiques fournit un cadre d'interprétation utile, que l'AI Act vient compléter.
La tenue de registres est une obligation autonome. Le déployeur doit conserver les journaux d'utilisation générés par le système à haut risque, dans les conditions et pour la durée prévues par le règlement. Ces registres peuvent être exigés par l'autorité de surveillance.
Enfin, l'évaluation d'impact spécifique à l'AI Act – distincte de l'analyse d'impact relative à la protection des données (AIPD) prévue par le RGPD – doit être conduite pour certaines catégories de systèmes, notamment ceux mis en service dans des conditions susceptibles d'affecter des droits fondamentaux. Dans notre pratique, nous constatons que la frontière entre AIPD et évaluation AI Act est source de confusion dans les organisations qui ont initié leur conformité RGPD sans anticiper le texte sur l'IA.
Une démarche antérieure de conformité RGPD ou une évaluation de risques a déjà été engagée dans votre organisation ?
Si une démarche antérieure a produit un résultat incomplet au regard des nouvelles exigences, un second regard permet d'identifier les leviers restants et d'articuler les deux régimes.
Pour examiner l'application des obligations issues de l'AI Act à votre organisation, contactez-nous à contact@vernaylestang.com.
Comment l'AI Act s'articule-t-il avec le RGPD et les droits de propriété intellectuelle ?
L'AI Act ne remplace pas le RGPD : les deux textes coexistent et leur articulation génère des obligations cumulatives pour toute entreprise dont les systèmes d'IA traitent des données à caractère personnel, ce qui est le cas de la grande majorité des outils en entreprise. Le règlement général sur la protection des données reste le cadre de référence pour la licéité des traitements, les droits des personnes et les obligations de sécurité, tandis que l'AI Act ajoute des exigences relatives à la gouvernance du système lui-même.
Les bases légales de traitement – consentement, intérêt légitime, exécution d'un contrat – doivent être qualifiées au regard du RGPD avant même d'aborder la conformité AI Act. La CNIL a publié des orientations sur l'IA qui convergent avec les exigences du règlement européen, en particulier sur les points de minimisation des données d'entraînement et de limitation de la finalité.
Les questions de propriété intellectuelle sont également structurantes. Les données d'entraînement utilisées pour développer ou affiner un modèle soulèvent des enjeux de titularité et de droit d'auteur. Les dispositions du Code de la propriété intellectuelle relatives à la reproduction et à la représentation d'œuvres protégées s'appliquent au processus d'entraînement des modèles, sous réserve des exceptions légales applicables. La question de la titularité des sorties générées par un système d'IA – qui est l'auteur d'un contenu produit par un modèle génératif ? – reste ouverte en droit positif français, et le débat se poursuit devant les juridictions européennes.
Pour les entreprises qui font générer des contenus – textes, images, code source – par des modèles d'IA, la gestion des contrats de production et d'édition de contenus doit intégrer explicitement la question de la titularité des droits sur les sorties du modèle, notamment dans les clauses de cession et de garantie d'éviction.
Quelles sont les sanctions encourues et qui les prononce ?
Le régime de sanctions prévu par l'AI Act est gradué selon la gravité du manquement et la taille de l'entreprise concernée, avec des plafonds exprimés en proportion du chiffre d'affaires mondial. Les montants les plus élevés sont prévus pour les violations des interdictions absolues ; des seuils inférieurs s'appliquent aux manquements aux obligations pesant sur les systèmes à haut risque ou aux inexactitudes dans la documentation fournie aux autorités.
En France, l'architecture de supervision est en cours de consolidation. La CNIL est identifiée comme autorité compétente pour les aspects recoupant la protection des données, mais la gouvernance globale de l'AI Act implique la désignation d'une ou plusieurs autorités nationales compétentes pour l'ensemble du texte. Cette construction institutionnelle est à suivre attentivement, car elle détermine le canal de notification et l'interlocuteur en cas de contrôle.
Il convient également de ne pas sous-estimer la responsabilité civile de droit commun. Indépendamment des sanctions administratives, une entreprise qui déploie un système d'IA causant un préjudice à un tiers engage potentiellement sa responsabilité sur le fondement des dispositions du Code civil relatives à la responsabilité délictuelle ou contractuelle. La directive européenne sur la responsabilité en matière d'IA, en cours de finalisation au moment de la rédaction de cette note, viendra compléter ce dispositif.
Les entreprises déjà engagées dans une démarche de cartographie de leurs systèmes d'IA sont mieux armées pour anticiper ces risques, à la fois réglementaires et civils.
Quelles actions engager sans délai pour se préparer ?
La préparation à l'AI Act ne se réduit pas à une démarche de conformité formelle : elle engage une révision de la gouvernance des systèmes automatisés dans l'ensemble de l'organisation. Plusieurs actions peuvent être engagées immédiatement, avant même la désignation d'un pilote de projet dédié.
La première étape est l'inventaire. Identifier l'ensemble des systèmes d'IA déployés dans l'organisation – y compris les outils intégrés dans des logiciels tiers, les API tierces et les services cloud –, documenter leur fournisseur, leur finalité et la population concernée. Cet inventaire conditionne toutes les étapes suivantes.
La deuxième étape est la qualification du niveau de risque. Pour chaque système identifié, déterminer s'il relève de l'une des catégories de l'AI Act. Cette qualification suppose une lecture croisée entre la description fonctionnelle du système et les annexes du règlement.
La troisième étape porte sur la revue contractuelle. Les contrats liant l'entreprise à ses fournisseurs de systèmes d'IA – contrats de licence, contrats SaaS, contrats de développement – doivent être revus à l'aune des nouvelles obligations, notamment pour vérifier qui supporte les obligations de fournisseur, qui assume celles de déployeur, et comment les incidents sont gérés et notifiés.
Pour les entreprises qui développent elles-mêmes des systèmes d'IA ou qui font développer sur mesure, la documentation technique doit être anticipée dès la phase de conception, et non reconstituée a posteriori. C'est l'approche que nous recommandons systématiquement dans notre accompagnement des projets de développement logiciel avec composante IA.
Le recours à un programme de conformité structuré, articulant les exigences du RGPD et de l'AI Act, permet de rationaliser les efforts et d'éviter les doublons procéduraux.
Matrice de décision et points de vigilance selon votre situation
Les obligations applicables varient significativement selon la position de l'entreprise dans la chaîne de valeur et le niveau de risque des systèmes concernés. La matrice suivante permet d'orienter l'analyse initiale.
Situation A – fournisseur d'un système à haut risque : obligations de documentation technique complète, enregistrement auprès de la base de données européenne, marquage CE, procédures de gestion des risques et de surveillance post-commercialisation. Niveau de contrainte : élevé. Calendrier : applicable selon les premières échéances sectorielles.
Situation B – déployeur d'un système à haut risque fourni par un tiers : obligations de surveillance humaine, de journalisation, d'évaluation d'impact et d'information des personnes concernées. Niveau de contrainte : intermédiaire à élevé. Calendrier : aligné sur les délais de mise en conformité prévus par le règlement selon la date de mise sur le marché du système.
Situation C – utilisateur d'un système à risque limité (chatbot, outil génératif) : obligations de transparence vis-à-vis des utilisateurs (information sur l'interaction avec un système automatisé). Niveau de contrainte : modéré. Calendrier : applicable dès l'entrée en vigueur des dispositions de transparence.
Situation D – déployeur d'un modèle d'IA à usage général (GPAI) : obligations spécifiques de documentation de la politique de droits d'auteur et de résumé des données d'entraînement, renforcées pour les modèles à risque systémique. Niveau de contrainte : variable selon la puissance du modèle.
- Réaliser l'inventaire complet des systèmes d'IA déployés, y compris les outils intégrés en SaaS ou via API.
- Qualifier le niveau de risque de chaque système au regard des annexes de l'AI Act.
- Réviser les contrats fournisseurs pour répartir explicitement les obligations de fournisseur et de déployeur.
- Mettre en place un registre des systèmes à haut risque et les journaux d'utilisation associés.
- Articuler la conformité AI Act avec la démarche RGPD existante pour éviter les doublons et les lacunes.
Situation illustrative – Lors d'une mission récente (Bordeaux, printemps 2025), nous avons accompagné une entreprise de services financiers dans la qualification de son outil de scoring utilisé pour l'attribution de crédit professionnel. L'analyse a conduit à classer le système dans la catégorie haut risque, à initier la documentation technique requise et à réviser les clauses contractuelles avec le fournisseur de la solution tierce intégrée. Le résultat a été une feuille de route de mise en conformité hiérarchisée, permettant à la direction d'arbitrer les priorités avant les premières échéances contraignantes.
Situation illustrative – Dans le cadre d'un projet de déploiement d'un assistant de génération de contenus (Strasbourg, hiver 2024), nous avons conduit l'analyse des droits applicables aux sorties du modèle, examiné la politique d'utilisation des données d'entraînement du fournisseur et intégré dans les contrats de production une clause de garantie spécifique relative à l'absence d'atteinte aux droits de tiers. Cette préparation a permis à l'entreprise de déployer l'outil en connaissance des risques résiduels clairement documentés.
Domaines liés
- Contrats d'édition et de production de contenus – encadrement juridique des productions générées par IA et cession de droits
- Qui est concerné par l'encadrement de l'IA : ce qu'il faut faire – périmètre des entreprises soumises et premières actions
FAQ – Encadrement juridique de l'intelligence artificielle
h3>1. Qui est concerné par l'encadrement juridique de l'intelligence artificielle ?Toute entreprise qui fournit, déploie, distribue ou importe un système d'intelligence artificielle sur le marché européen est concernée par l'AI Act, quel que soit son lieu d'établissement. Les obligations diffèrent selon le rôle de l'entreprise – fournisseur, déployeur, distributeur – et selon le niveau de risque du système concerné. Les entreprises françaises qui utilisent des solutions IA tierces dans leurs processus de recrutement, de scoring ou de décision automatisée sont directement soumises aux obligations pesant sur les déployeurs.
2. Quelles nouvelles obligations l'AI Act implique-t-il pour les entreprises ?
Les nouvelles obligations varient selon le niveau de risque du système utilisé. Pour les systèmes à haut risque, les entreprises doivent mettre en place un système de gestion des risques documenté, assurer la gouvernance des données, tenir des registres d'utilisation, garantir une surveillance humaine effective et informer les utilisateurs. Pour les systèmes à risque limité, l'obligation principale porte sur la transparence : informer les personnes qu'elles interagissent avec un système automatisé. Ces obligations s'articulent avec celles du RGPD sans les remplacer.
3. À partir de quand ces règles s'appliquent-elles concrètement ?
L'AI Act s'applique selon un calendrier progressif par vagues successives : les interdictions absolues sont entrées en application en premier, les obligations relatives aux systèmes à haut risque et aux modèles GPAI suivent selon leur propre échéancier. Les systèmes déjà en service bénéficient de délais de mise en conformité spécifiques, plus longs que pour les nouveaux systèmes. La progressivité ne reporte pas les risques de responsabilité civile de droit commun, qui s'appliquent indépendamment du calendrier réglementaire.
4. Comment l'AI Act s'articule-t-il avec le RGPD ?
L'AI Act et le RGPD coexistent et génèrent des obligations cumulatives pour tout système d'IA traitant des données personnelles. Le RGPD régit la licéité des traitements, les droits des personnes et la sécurité des données ; l'AI Act ajoute des exigences spécifiques à la gouvernance et à la transparence des systèmes automatisés. Dans les cas où un système d'IA à haut risque traite des données personnelles, une analyse d'impact relative à la protection des données (AIPD) au titre du RGPD et une évaluation spécifique au titre de l'AI Act peuvent toutes deux être requises.
5. Quels risques encourt une entreprise qui ne se conforme pas à l'AI Act ?
Une entreprise non conforme s'expose à des sanctions administratives dont les plafonds sont proportionnels au chiffre d'affaires mondial, gradués selon la nature du manquement. Les violations des interdictions absolues sont sanctionnées le plus sévèrement. S'y ajoute le risque de responsabilité civile de droit commun fondée sur les dispositions du Code civil, si un système non conforme cause un préjudice à un tiers. La directive européenne sur la responsabilité en matière d'IA viendra compléter ce dispositif en facilitant l'administration de la preuve pour les personnes lésées.
Vernay & Lestang – Avocats d'affaires · Paris
Vernay & Lestang conseille les directions générales, les DSI et les directions juridiques sur les enjeux d'encadrement juridique de l'intelligence artificielle, de conformité au RGPD, de propriété intellectuelle et de protection des actifs immatériels. Notre périmètre couvre la qualification des systèmes, la révision contractuelle, l'articulation des régimes applicables et l'accompagnement des projets de mise en conformité.
Nous intervenons également en coordination avec des conseils locaux dans les juridictions concernées pour les opérations transfrontalières.
Pour un premier avis sur votre dossier de conformité IA, adressez-nous un message à contact@vernaylestang.com.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Léa Caron – Analyste juridique au sein de Vernay & Lestang, Léa Caron traite les dossiers de propriété intellectuelle, de numérique, de données et de conformité. Voir son profil
Publié le 11 juin 2026
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.