Encadrement juridique de l'intelligence artificielle : impact pratique et préparation
L'encadrement juridique de l'intelligence artificielle devient une réalité opérationnelle pour les directions d'entreprise et les DSI : le règlement européen sur l'intelligence artificielle (AI Act) est entré en application de manière progressive, avec des premières obligations désormais effectives et un calendrier de déploiement complet qui s'étend jusqu'en 2027. Identifier les systèmes concernés, documenter les usages et réviser les contrats avec les fournisseurs de technologie sont les premières actions que nous recommandons à nos clients.
Au printemps 2026, la question n'est plus de savoir si l'IA sera encadrée, mais de mesurer ce que cet encadrement exige concrètement de votre organisation. Certaines pratiques d'IA sont d'ores et déjà interdites. D'autres, soumises à des obligations de conformité renforcées, appellent une documentation précise et une gouvernance interne dédiée. La réponse dépend du type de système déployé, de son usage et du niveau de risque que les textes lui attribuent.
Cette note décrypte les obligations clés, identifie les points de vigilance pour la direction générale et la DSI, et propose une feuille de route pour aborder la conformité sans perdre de vue les enjeux opérationnels.
Qu'est-ce que l'AI Act européen et quel est son périmètre ?
L'AI Act désigne le règlement européen relatif à l'intelligence artificielle, adopté en 2024 et entré en vigueur progressivement à compter de 2024–2027. Il constitue le premier cadre normatif général dédié à l'IA au niveau mondial et s'applique à toute organisation – établie dans l'Union européenne ou non – qui développe, met sur le marché, déploie ou utilise un système d'IA dont les effets se produisent dans l'Union.
Le champ d'application est volontairement large. Sont visés les fournisseurs de systèmes d'IA, les déployeurs (entreprises qui intègrent ces systèmes dans leurs processus métiers), les importateurs et les distributeurs. Pour une direction ou une DSI, cela signifie qu'une entreprise qui utilise un outil d'IA fourni par un tiers est elle-même soumise à des obligations propres, distinctes de celles du fournisseur.
Dans notre pratique des dossiers numériques et de protection des actifs immatériels, nous observons que la question du périmètre est la première source de mauvaise surprise : des directions pensent que la responsabilité repose entièrement sur le fournisseur logiciel. Ce n'est pas le cas. Le règlement distingue le fournisseur et le déployeur, et attribue à chacun des obligations spécifiques, non interchangeables.
Deux catégories méritent une attention immédiate. D'une part, les pratiques d'IA interdites, dont certaines sont effectives depuis février 2025 – notamment les systèmes de notation sociale généralisée par une autorité publique et certains systèmes de catégorisation biométrique à distance en temps réel dans les espaces publics. D'autre part, les systèmes d'IA à haut risque, soumis à des exigences documentaires et organisationnelles substantielles avant toute mise en service.
Vous identifiez un système d'IA dans votre organisation dont la conformité n'a pas encore été examinée ?
La procédure décrite ci-dessus vaut pour les situations courantes. Votre dossier suppose l'examen des actes, des délais et de la pratique des autorités compétentes.
Pour une analyse de votre situation au regard de l'encadrement juridique de l'intelligence artificielle, écrivez-nous à contact@vernaylestang.com.
Quelles catégories de risque déterminent vos obligations concrètes ?
L'architecture de l'AI Act repose sur une classification par niveaux de risque, dont découlent des obligations de nature et d'intensité très différentes. Comprendre où se situe chacun des systèmes que vous déployez est le point de départ indispensable de toute démarche de conformité.
Risque inacceptable (pratiques interdites) : certains usages sont purement et simplement prohibés. Parmi eux, les systèmes de manipulation comportementale exploitant des vulnérabilités humaines, les systèmes d'évaluation sociale à des fins gouvernementales générales, et certains dispositifs biométriques d'identification à distance en temps réel dans des espaces accessibles au public. Ces interdictions sont entrées en vigueur en premier dans le calendrier progressif du règlement.
Haut risque : il s'agit de la catégorie la plus structurante pour les entreprises. Les systèmes d'IA haut risque sont listés dans des annexes du règlement. Ils couvrent notamment les domaines de l'emploi et de la gestion des ressources humaines (IA de tri de candidatures, évaluation de la performance), de l'éducation, des services essentiels, des infrastructures critiques et de certains volets de la justice. Pour cette catégorie, le règlement impose un système de management du risque documenté, des données d'entraînement de qualité traçable, une documentation technique, une journalisation automatique, une transparence vis-à-vis des utilisateurs, une surveillance humaine et un système de contrôle de conformité avant mise sur le marché ou en service.
Risque limité : les systèmes relevant de cette catégorie sont principalement soumis à des obligations de transparence. Un chatbot, par exemple, doit informer l'utilisateur qu'il interagit avec une machine. Cette exigence, relativement légère en apparence, engage néanmoins la responsabilité du déployeur si elle n'est pas respectée.
Risque minimal : les systèmes sans exigence spécifique imposée par le règlement, bien que la prudence contractuelle et la documentation interne restent de mise.
Nous accompagnons régulièrement des directions qui découvrent, lors d'un premier audit de leurs usages, que plusieurs outils intégrés dans leurs processus RH ou de relation client relèvent en réalité de la catégorie haut risque – avec des obligations qui n'avaient pas encore été prises en compte. La cartographie est donc une priorité, non un exercice formel.
Quelles obligations pèsent concrètement sur les déployeurs d'IA haut risque ?
Pour une entreprise qui déploie un système d'IA classé haut risque, les obligations nouvelles nées du cadre européen touchent à la fois la documentation interne, la gouvernance, les relations contractuelles avec les fournisseurs et la communication aux personnes concernées.
La première exigence est l'évaluation de conformité préalable à la mise en service. Elle suppose de vérifier que le système respecte les spécifications du règlement – en particulier en ce qui concerne la robustesse technique, la sécurité, la transparence, et la supervision humaine. Cette évaluation peut être conduite en interne ou confiée à un organisme notifié, selon les secteurs.
La documentation technique doit permettre aux autorités de contrôle de comprendre le fonctionnement, les finalités et les limites du système. Elle ne se résume pas à la documentation fournie par le fournisseur : le déployeur doit produire sa propre documentation décrivant l'usage effectif et le contexte de déploiement.
Les journaux d'événements (logs) doivent être conservés pendant une durée déterminée par les textes et rendus accessibles aux autorités compétentes sur demande. Cette obligation de journalisation automatique n'est pas anodine : elle implique de vérifier que les outils techniques déployés en permettent la mise en œuvre.
En matière de ressources humaines, les obligations de transparence sont particulièrement sensibles. Toute personne soumise à une décision individuelle prise ou assistée par un système d'IA haut risque doit en être informée. Cette exigence s'articule directement avec le droit des personnes concernées prévu par le règlement général sur la protection des données (RGPD) : l'analyse d'impact relative à la protection des données (AIPD) doit désormais tenir compte de la dimension IA.
Enfin, le règlement impose au déployeur de désigner, dans certaines conditions, un responsable de la conformité en matière d'IA et de mettre en place une politique de surveillance post-marché des systèmes déployés.
Une démarche antérieure n'a pas abouti à une qualification claire de vos systèmes ?
Si une démarche antérieure a produit un résultat défavorable, un second regard permet d'identifier les leviers restants.
Pour examiner l'application du cadre réglementaire à vos outils IA déployés, contactez-nous à contact@vernaylestang.com.
Comment l'AI Act s'articule-t-il avec le RGPD et les droits de propriété intellectuelle ?
L'encadrement juridique de l'intelligence artificielle ne s'applique pas en vase clos : il s'imbrique avec le droit des données personnelles, le droit de la propriété intellectuelle et, dans une mesure croissante, avec les règles de responsabilité civile des produits.
L'articulation avec le RGPD est la plus immédiate. Les systèmes d'IA qui traitent des données personnelles – ce qui est le cas de la très grande majorité des outils à usage professionnel – doivent simultanément respecter les obligations du règlement général sur la protection des données et celles de l'AI Act. Ces deux corpus de règles se complètent mais ne se substituent pas l'un à l'autre. La CNIL, en tant qu'autorité nationale de contrôle pour la protection des données, est désormais impliquée dans le contrôle de certains aspects de l'IA, notamment lorsque des droits des personnes sont en jeu.
Du côté de la propriété intellectuelle, des questions nouvelles et non entièrement tranchées se posent : qui détient les droits sur les contenus générés par une IA ? Les œuvres produites ou co-produites par un système d'IA sont-elles protégeables par le droit d'auteur selon le Code de la propriété intellectuelle ? La réponse actuelle de la doctrine et des premiers arrêts est que la protection par le droit d'auteur suppose un apport créatif humain identifiable. La frontière est mouvante, et nous accompagnons régulièrement des entreprises qui souhaitent sécuriser leurs actifs immatériels dans ce contexte incertain.
La question des données d'entraînement est également critique du point de vue de la propriété intellectuelle. L'utilisation de données protégées par des droits d'auteur pour entraîner un modèle d'IA fait l'objet d'un vif débat doctrinal et contentieux en Europe. Le règlement prévoit des obligations de transparence renforcées pour les modèles d'IA à usage général (GPAI) sur les données utilisées dans leurs corpus d'entraînement – une disposition qui concerne directement les développeurs et, de façon plus indirecte, les entreprises qui intègrent ces modèles dans leurs produits.
Sur la défense contre la contrefaçon de marque dans un environnement IA, les enjeux sont également en pleine évolution : des modèles peuvent reproduire des signes distinctifs protégés sans que la responsabilité des intervenants soit encore clairement établie par la jurisprudence française.
Quelles sont les erreurs de préparation les plus fréquentes des entreprises ?
Plusieurs idées reçues ralentissent ou fragilisent les démarches de conformité IA que nous observons dans notre pratique.
La première est de croire que la conformité repose entièrement sur le fournisseur de la solution. C'est inexact. Le règlement distingue expressément le fournisseur et le déployeur, et attribue au déployeur des obligations propres qui ne peuvent être déléguées contractuellement à l'éditeur logiciel. Les clauses d'un contrat SaaS standard ne couvrent généralement pas ces obligations.
La deuxième erreur est de traiter la conformité IA comme un projet informatique. Il s'agit d'abord d'une démarche juridique et organisationnelle, qui suppose l'implication de la direction générale, de la direction juridique, des ressources humaines et de la DSI. La gouvernance de l'IA doit être définie au niveau du comité de direction, pas uniquement au niveau technique.
La troisième erreur est de sous-estimer la dimension contractuelle. Les contrats avec les fournisseurs d'IA, les prestataires cloud et les partenaires intégrant de l'IA dans leurs prestations doivent être revus à l'aune des nouvelles obligations. Des clauses sur la documentation technique, la journalisation, la notification d'incidents et la coopération avec les autorités doivent y figurer.
Enfin, la confusion entre conformité RGPD et conformité AI Act est fréquente. Les deux cadres coexistent et s'appliquent de manière cumulative. Un système conforme au RGPD n'est pas automatiquement conforme à l'AI Act, et inversement.
Illustration pratique
Lors d'une mission récente (Bordeaux, printemps 2026), nous avons accompagné une ETI du secteur des services dans la réalisation d'une cartographie de ses usages IA en vue de qualifier ses systèmes selon la grille de l'AI Act. L'analyse a permis d'identifier deux outils intégrés dans le processus de sélection des candidatures relevant de la catégorie haut risque, dont les déployeurs n'avaient pas encore mis en place la documentation technique requise. La mission a débouché sur une révision des contrats fournisseurs et la rédaction d'une politique interne de gouvernance IA.
Quelle feuille de route pour se préparer sans délai ?
La préparation à l'encadrement juridique de l'intelligence artificielle suit une séquence logique que nous structurons en quatre étapes principales pour les organisations que nous conseillons.
Étape 1 – Cartographie des usages IA : recenser l'ensemble des systèmes d'IA utilisés dans l'organisation, qu'ils soient développés en interne ou fournis par des tiers. Inclure les outils embarqués dans des solutions SaaS (moteurs de recommandation, modules de scoring, assistants génératifs). Identifier pour chacun : finalité, données traitées, décisions influencées ou prises.
Étape 2 – Classification par niveau de risque : pour chaque système recensé, déterminer la catégorie applicable selon la grille de l'AI Act. Cette analyse requiert une lecture combinée du règlement et des listes d'usages haut risque. La classification a un impact direct sur les obligations à remplir.
Étape 3 – Audit des contrats fournisseurs : vérifier que les contrats existants avec les fournisseurs de systèmes d'IA prévoient les obligations documentaires, les droits d'accès aux journaux d'événements et les mécanismes de coopération avec les autorités. Négocier des avenants si nécessaire.
Étape 4 – Mise en place de la gouvernance interne : désigner un référent IA, mettre à jour les politiques internes (politique de traitement des données, charte d'usage de l'IA), former les équipes concernées et articuler la gouvernance IA avec le dispositif de conformité RGPD existant.
Pour un décryptage approfondi des points de vigilance spécifiques à votre secteur, consultez également notre analyse sur les points de vigilance de l'encadrement juridique de l'IA.
La matrice ci-dessous résume les grandes lignes de la démarche selon votre situation :
Situation A – Vous déployez un système d'IA à usage interne haut risque (ex. outil RH de scoring) : instrument applicable → obligations du déployeur haut risque (documentation technique, journalisation, supervision humaine) ; délai → obligations progressives selon le calendrier de l'AI Act ; niveau de risque → élevé en l'absence de documentation et de gouvernance.
Situation B – Vous utilisez un outil génératif standard (chatbot, assistant rédactionnel) : instrument applicable → obligations de transparence envers les utilisateurs (risque limité) ; délai → effectives dès la mise en service ; niveau de risque → modéré si l'obligation d'information est respectée.
Situation C – Vous développez un modèle d'IA à usage général (GPAI) : instrument applicable → obligations spécifiques GPAI (transparence sur les données d'entraînement, politique de droits d'auteur, registre) ; délai → déterminé par le calendrier progressif du règlement ; niveau de risque → significatif sur les volets propriété intellectuelle et documentation.
Ce qu'il faut préparer – check-list
- Cartographie documentée de tous les systèmes d'IA en production ou en phase de déploiement
- Classification de chaque système selon les catégories de risque de l'AI Act
- Audit des contrats fournisseurs IA au regard des obligations documentaires et de coopération
- Mise à jour des analyses d'impact relatives à la protection des données (AIPD) intégrant la dimension IA
- Désignation d'un référent IA interne et rédaction d'une politique de gouvernance IA
Pour toute question sur la procédure de clémence ou sur les arbitrages entre stratégies de conformité, vous pouvez également consulter notre comparatif sur les avantages, risques et critères de la clémence face à une contestation devant autorité.
Domaines liés
- Défense contre la contrefaçon de marque – protection des signes distinctifs dans un environnement numérique en mutation
- Points de vigilance IA – analyse approfondie des risques sectoriels liés à l'encadrement de l'IA
Questions fréquentes sur l'encadrement juridique de l'intelligence artificielle
1. Quelles sanctions en cas de non-conformité ?
Les sanctions prévues par l'AI Act sont graduées selon la gravité du manquement. Le non-respect des interdictions relatives aux pratiques d'IA inacceptables est passible des amendes les plus élevées prévues par le règlement, exprimées en pourcentage du chiffre d'affaires mondial annuel ou en montants forfaitaires selon le plus élevé des deux. Les violations des obligations applicables aux systèmes haut risque ou aux modèles GPAI font l'objet de sanctions moins élevées mais néanmoins significatives. La fourniture d'informations inexactes aux autorités de surveillance est également sanctionnée. Les autorités nationales désignées dans chaque État membre – dont la CNIL pour certains aspects en France – assurent le contrôle et peuvent prononcer ces sanctions. Les obligations et sanctions en matière de conformité IA s'accumulent avec celles du RGPD pour les traitements de données personnelles.
2. Quelles démarches engager en priorité ?
La première démarche prioritaire est la cartographie exhaustive des systèmes d'IA déployés, en incluant les outils intégrés dans des solutions tierces. Cette cartographie permet de qualifier chaque système selon la grille de l'AI Act et d'identifier les obligations immédiatement applicables. En parallèle, l'audit des contrats fournisseurs permet de vérifier si les obligations documentaires et de coopération sont déjà couvertes ou si des avenants sont nécessaires. La désignation d'un référent IA interne et la mise à jour des analyses d'impact relatives à la protection des données constituent les deux autres priorités organisationnelles. Ces démarches s'inscrivent dans le cadre du Code de la propriété intellectuelle et du règlement général sur la protection des données pour ce qui concerne les actifs et les données impliqués.
3. Quels documents ou process mettre à jour ?
Les documents à mettre à jour en priorité sont les analyses d'impact relatives à la protection des données (AIPD) pour tout traitement IA impliquant des données personnelles, les contrats avec les fournisseurs de systèmes d'IA pour y intégrer les clauses requises par le règlement (documentation technique, journalisation, notification d'incidents), et les politiques internes (politique d'utilisation de l'IA, charte destinée aux salariés, politique de traitement des données). Les processus à réviser comprennent les procédures de prise de décision assistée par IA dans les domaines RH, relation client et gestion des risques, ainsi que les procédures de notification en cas d'incident affectant un système d'IA haut risque.
4. Les PME sont-elles concernées par les mêmes obligations que les grandes entreprises ?
L'AI Act s'applique sans distinction de taille à tous les déployeurs de systèmes d'IA dont les effets se produisent dans l'Union européenne. Cependant, le règlement prévoit un régime allégé pour les PME et les startups en ce qui concerne certaines exigences documentaires et l'accès aux ressources de mise en conformité. Ces allègements ne portent pas sur les obligations fondamentales liées aux catégories de risque : une PME qui déploie un système haut risque est soumise aux mêmes obligations de fond qu'un grand groupe. La taille de l'organisation peut en revanche influer sur les modalités de mise en œuvre et sur les délais accordés par les autorités nationales pour la mise en conformité.
5. Comment les obligations IA s'articulent-elles avec les droits de propriété intellectuelle sur les contenus générés ?
Les contenus générés par une IA ne bénéficient pas automatiquement de la protection du droit d'auteur selon le Code de la propriété intellectuelle, qui requiert un apport créatif humain identifiable. En pratique, la protection est possible lorsque l'humain a exercé des choix créatifs significatifs dans le processus de génération – sélection, paramétrage, correction substantielle. Par ailleurs, l'AI Act impose aux fournisseurs de modèles d'IA à usage général de documenter les œuvres protégées utilisées dans leurs données d'entraînement et de mettre en place une politique de respect du droit d'auteur. Pour les entreprises qui intègrent ces modèles, une vigilance contractuelle s'impose sur les garanties d'indemnisation en cas de réclamation de tiers titulaires de droits.
Vernay & Lestang – Avocats d'affaires · Paris
Vernay & Lestang conseille les directions d'entreprise, les DSI et les investisseurs sur les enjeux de propriété intellectuelle, de numérique et de conformité des données. Dans notre pratique, nous intervenons en amont des déploiements technologiques pour qualifier les obligations applicables, réviser les contrats fournisseurs et structurer la gouvernance interne. Notre méthode combine rigueur de l'analyse juridique et compréhension des contraintes opérationnelles des organisations que nous accompagnons. Les honoraires sont définis après analyse du dossier.
Pour un premier avis sur votre dossier de conformité IA, adressez-nous un message à contact@vernaylestang.com.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Florence Delcourt
Analyste juridique au sein de Vernay & Lestang, Florence Delcourt traite les dossiers de propriété intellectuelle, numérique, données et conformité. Voir sa présentation.
Publié le 12 juin 2026
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.