Encadrement juridique de l'intelligence artificielle : points de vigilance pour les dirigeants
L'intelligence artificielle déployée en entreprise n'est plus un objet sans cadre : le règlement européen sur l'intelligence artificielle (AI Act) introduit des obligations graduées selon le niveau de risque des systèmes, avec des entrées en vigueur échelonnées à partir de 2024 et jusqu'en 2027. Pour une direction générale ou une direction des systèmes d'information, ignorer ce calendrier revient à exposer l'entreprise à des sanctions administratives et à une remise en cause des déploiements en cours.
Un système d'IA mis en production aujourd'hui peut relever de plusieurs régimes simultanément : l'AI Act, le règlement général sur la protection des données (RGPD), les dispositions du Code de la propriété intellectuelle sur les droits des créateurs, et, selon le secteur, des réglementations sectorielles spécifiques. La superposition de ces textes est précisément ce qui rend la qualification juridique préalable indispensable.
Cette note décrypte les points de vigilance prioritaires, les obligations nouvelles et les actions de préparation recommandées pour les équipes dirigeantes et les DSI.
Quel est le cadre juridique applicable à l'intelligence artificielle en France ?
L'encadrement juridique de l'intelligence artificielle repose sur un empilement normatif à trois niveaux : le règlement européen sur l'IA (AI Act), d'application directe dans tous les États membres ; le RGPD et la Loi Informatique et Libertés, qui s'appliquent dès lors que le système traite des données à caractère personnel ; et les branches du droit national – Code de la propriété intellectuelle, Code de commerce, Code civil – qui régissent la titularité des productions générées, la responsabilité contractuelle et la loyauté des pratiques commerciales.
L'AI Act classe les systèmes d'IA en quatre catégories selon leur niveau de risque : interdit, à risque élevé, soumis à des obligations de transparence, ou présentant un risque minimal. Cette classification détermine l'intensité des obligations applicables à chaque déploiement. Le périmètre de chaque catégorie est défini par les annexes du règlement, qui listent des secteurs et des cas d'usage précis. En France, la CNIL est impliquée dans la supervision pour les traitements de données personnelles, tandis que d'autres autorités sectorielles peuvent intervenir selon le domaine d'activité (santé, finance, transport).
Dans notre pratique du conseil en conformité numérique, nous observons que la principale erreur des entreprises est d'aborder l'AI Act comme un texte isolé. Les obligations en matière de documentation des systèmes, de journalisation et de surveillance post-commercialisation font écho aux exigences de responsabilité que le RGPD impose déjà pour les traitements automatisés. Les entreprises qui ont anticipé leur conformité RGPD disposent d'un point de départ solide, mais la transposition n'est pas immédiate.
Quelles sont les obligations nouvelles introduites par l'AI Act ?
Les obligations imposées par l'AI Act varient selon le rôle de l'entreprise – fournisseur, déployeur, importateur ou distributeur – et selon la catégorie de risque du système concerné. Pour les systèmes à risque élevé, les obligations sont les plus contraignantes et les plus opérationnellement exigeantes.
Pour les fournisseurs de systèmes à risque élevé, les obligations portent notamment sur : la mise en place d'un système de gestion des risques documenté et mis à jour en continu ; la gouvernance des données d'entraînement, de validation et de test ; la rédaction d'une documentation technique complète avant toute mise sur le marché ; la conception de mécanismes de journalisation automatique permettant une traçabilité des opérations ; et l'établissement d'un système de surveillance post-commercialisation.
Pour les déployeurs de systèmes à risque élevé – c'est-à-dire les entreprises qui utilisent un système conçu par un tiers dans leur activité – les obligations concernent principalement : l'utilisation conforme au mode d'emploi du fournisseur ; la surveillance humaine effective du système en fonctionnement ; la conservation des journaux générés automatiquement pendant une durée déterminée par les textes ; et l'information des personnes concernées lorsque des décisions les affectant sont prises avec l'assistance d'un système d'IA à risque élevé.
Les obligations de transparence s'appliquent à un périmètre plus large. Tout système conçu pour interagir avec des personnes physiques – chatbots, agents conversationnels, assistants – doit informer l'utilisateur qu'il interagit avec une machine, sauf lorsque le contexte rend cette information évidente. Les systèmes générant des contenus synthétiques (images, audio, vidéo, texte) doivent apposer un marquage technique identifiable.
Votre entreprise utilise ou déploie des systèmes d'IA ?
La procédure décrite ci-dessus vaut pour les situations courantes. Votre dossier suppose l'examen de la nature exacte des systèmes déployés, des données traitées et de la chaîne de responsabilité applicable.
Comment l'AI Act s'articule-t-il avec le RGPD et les droits de propriété intellectuelle ?
L'articulation entre l'AI Act et le RGPD est complexe mais ne relève pas d'une alternative : les deux textes s'appliquent simultanément dès lors que le système d'IA traite des données à caractère personnel, ce qui est le cas de la très grande majorité des déploiements en entreprise.
Le RGPD impose une base légale pour tout traitement automatisé, y compris l'entraînement de modèles sur des données internes. Les dispositions relatives aux décisions automatisées – celles qui produisent des effets juridiques ou affectent significativement une personne – créent des droits à l'information et à l'intervention humaine. Ces exigences doivent être lues en combinaison avec les obligations de surveillance humaine et de journalisation de l'AI Act.
Les droits de propriété intellectuelle soulèvent une question distincte, que nous accompagnons régulièrement dans notre pratique : à qui appartiennent les contenus générés par un système d'IA ? Les dispositions du Code de la propriété intellectuelle conditionnent la protection au titre du droit d'auteur à l'originalité, c'est-à-dire au reflet de la personnalité humaine d'un auteur. Une production purement autonome d'un système d'IA ne bénéficie pas, en l'état du droit français, de la protection conférée aux œuvres de l'esprit. La question de la titularité des droits sur les logiciels et les créations assistées doit être tranchée contractuellement, en amont, entre les parties impliquées dans la chaîne de production.
Pour les entreprises qui ont recours à des modèles d'IA générative pour produire des contenus destinés à être commercialisés ou protégés par des titres de propriété industrielle, la situation est particulièrement délicate. L'absence de titularité certaine sur un contenu généré par IA peut affecter la validité d'un dépôt de marque ou d'un brevet ultérieur portant sur ce contenu. Ce point mérite une attention spécifique lors de toute stratégie de protection des actifs immatériels.
Illustration pratique
Lors d'une mission menée pour une ETI du secteur des services (Bordeaux, printemps 2025), nous avons accompagné la direction juridique dans la cartographie de ses déploiements d'IA au regard des catégories de l'AI Act, l'identification des flux de données personnelles concernés et la mise à jour des mentions d'information destinées aux salariés et aux clients. Cette démarche a permis d'identifier deux cas d'usage relevant du régime à risque élevé que l'entreprise n'avait pas initialement qualifiés comme tels.
Quel est le calendrier d'entrée en vigueur et quelles sont les échéances à retenir ?
L'AI Act prévoit une application progressive, échelonnée sur plusieurs années à compter de son entrée en vigueur en 2024. Les interdictions frappant les pratiques d'IA jugées inacceptables ont été les premières à produire leurs effets. Les obligations applicables aux systèmes à risque élevé sont progressivement devenues opposables selon la nature des systèmes concernés. Les règles relatives aux modèles d'IA à usage général – dont relèvent les grands modèles de langage – ont également leur propre calendrier d'application.
Pour les entreprises, le défi tient à la longueur de la période de déploiement interne nécessaire avant d'atteindre la conformité : cartographie des systèmes, rédaction de la documentation technique, mise à jour des contrats avec les fournisseurs, formation des équipes, mise en place de la surveillance. Cette séquence demande plusieurs mois de travail structuré. Attendre l'entrée en vigueur effective d'une obligation pour commencer la préparation expose l'entreprise à un déficit de conformité au moment précis où l'obligation devient exigible.
Nous observons que les entreprises les mieux positionnées sont celles qui ont traité l'AI Act non comme une échéance réglementaire isolée, mais comme l'occasion de réorganiser leur gouvernance des systèmes numériques dans leur ensemble. La réflexion sur ce que les entreprises doivent anticiper en matière d'encadrement de l'IA doit s'inscrire dans une planification annuelle des chantiers de conformité.
Quels sont les risques en cas de non-conformité ?
Le régime des sanctions prévu par l'AI Act est calqué, dans sa logique, sur celui du RGPD : des amendes administratives dont le montant est proportionnel à la gravité de l'infraction et au chiffre d'affaires mondial de l'entreprise. Les violations les plus graves – notamment l'exploitation de systèmes d'IA interdits – exposent aux sanctions les plus élevées. Les manquements aux obligations applicables aux systèmes à risque élevé font l'objet d'un barème distinct, également significatif.
Au-delà des sanctions financières, le risque réputationnel est immédiat. La mise en cause publique d'une entreprise pour exploitation non conforme d'un système d'IA – qu'il s'agisse d'un biais algorithmique documenté, d'un défaut de transparence ou d'un traitement illicite de données – peut affecter la relation avec les clients, les partenaires commerciaux et les investisseurs. Pour les entreprises cotées ou faisant appel à des financements, l'IA est désormais un sujet de diligence raisonnable (due diligence) dans les opérations de M&A et de levée de fonds.
La responsabilité civile constitue un risque distinct. Les dispositions du Code civil relatives à la responsabilité pour fait des choses, combinées aux régimes spéciaux applicables aux produits défectueux, sont susceptibles d'engager la responsabilité du fournisseur ou du déployeur d'un système d'IA dont le comportement cause un préjudice. La directive européenne sur la responsabilité en matière d'IA, en cours de transposition, viendra préciser ces règles d'engagement.
Un premier examen de conformité a déjà été conduit mais des incertitudes subsistent ?
Si une démarche antérieure a produit un résultat incomplet, un second regard permet d'identifier les zones de risque résiduelles et les ajustements prioritaires.
Quelles actions de préparation sont recommandées pour la direction et la DSI ?
La première action, et la plus structurante, est la cartographie exhaustive des systèmes d'IA déployés ou en cours de déploiement dans l'entreprise. Cette cartographie doit distinguer les systèmes développés en interne des systèmes acquis auprès de tiers, identifier pour chacun le rôle de l'entreprise au sens de l'AI Act (fournisseur, déployeur, ou les deux), et qualifier provisoirement le niveau de risque applicable.
Cette cartographie est le préalable à tout le reste. Sans elle, il est impossible de prioriser les chantiers de mise en conformité, d'allouer les ressources ou d'engager des discussions contractuelles éclairées avec les fournisseurs de solutions.
La question de l'organisation interne de la conformité – ressources dédiées en interne, recours à des conseils externes, ou combinaison des deux – mérite une analyse structurée. Le choix entre conformité interne et externalisation dépend de la taille de l'entreprise, du volume de déploiements à qualifier et des ressources disponibles.
Illustration pratique
Nous avons assisté une direction des systèmes d'information d'un groupe industriel (Lyon, automne 2025) dans la révision de ses contrats-cadres avec ses principaux fournisseurs de solutions SaaS intégrant des fonctionnalités d'IA. La négociation a porté sur la répartition des responsabilités au regard de l'AI Act, la communication des informations techniques nécessaires à la documentation interne et les clauses d'audit. Le résultat a été une série d'avenants harmonisant les obligations contractuelles avec les exigences du règlement.
Ce qu'il faut préparer : check-list prioritaire
- Cartographier l'ensemble des systèmes d'IA utilisés, développés ou mis sur le marché par l'entreprise, avec identification du rôle (fournisseur/déployeur) et qualification provisoire du niveau de risque.
- Auditer les contrats en cours avec les fournisseurs de solutions intégrant de l'IA pour vérifier la répartition des obligations et les engagements de documentation technique.
- Mettre à jour les registres de traitements (RGPD) pour intégrer les systèmes d'IA traitant des données à caractère personnel et documenter les bases légales applicables.
- Réviser les mentions d'information destinées aux salariés, aux clients et aux sous-traitants concernés par des décisions assistées par IA.
- Définir un plan de gouvernance interne : désignation d'un référent IA, procédure de validation avant déploiement de tout nouveau système, et mécanisme de surveillance continue.
Domaines liés
- Protection des droits d'auteur sur les logiciels – cadre juridique de la titularité et de la protection des créations numériques
- Ce que les entreprises doivent anticiper en matière d'IA – analyse des anticipations stratégiques face à la réglementation
- Conformité interne ou externalisation : guide de décision – comparatif pour organiser la fonction conformité de l'entreprise
Matrice de décision : quel régime s'applique à votre déploiement ?
Les situations rencontrées en pratique se répartissent selon la nature du déploiement et le rôle de l'entreprise.
Situation A – L'entreprise développe un système d'IA pour ses propres besoins internes, sans le commercialiser. Elle agit principalement comme déployeur. Les obligations portent sur la surveillance humaine, la conservation des journaux et l'information des personnes concernées. Le niveau de risque dépend du cas d'usage concret.
Situation B – L'entreprise intègre un modèle d'IA tiers dans un produit qu'elle commercialise. Elle agit comme fournisseur au sens de l'AI Act, même si le modèle sous-jacent n'est pas le sien. Les obligations de documentation technique, de gestion des risques et de marquage CE s'appliquent pleinement pour les systèmes à risque élevé. Les délais de mise en conformité doivent être anticipés dans le plan produit.
Situation C – L'entreprise utilise des outils de productivité intégrant des fonctionnalités d'IA générative (assistants rédactionnels, outils de synthèse de réunions, génération d'images). Elle agit comme déployeur. Les obligations de transparence envers les utilisateurs finaux sont les plus immédiatement applicables. La question de la titularité des contenus produits doit être tranchée dans la politique d'usage interne.
Situation D – L'entreprise envisage d'entraîner ou d'affiner un modèle sur ses propres données. Elle peut agir comme fournisseur d'un modèle d'IA à usage général, avec des obligations spécifiques en matière de droits sur les données d'entraînement, de documentation et de transparence. Les dispositions du RGPD relatives à la minimisation et à la finalité des traitements s'appliquent en parallèle.
FAQ – Encadrement juridique de l'intelligence artificielle
1. Quels documents ou process mettre à jour ?
Les documents prioritaires à mettre à jour sont : le registre des traitements RGPD (pour intégrer les systèmes d'IA traitant des données personnelles), les mentions d'information destinées aux salariés et aux clients, les contrats avec les fournisseurs de solutions IA (pour y intégrer les clauses de répartition des obligations AI Act), et les politiques d'usage interne des outils génératifs. Sur le plan des process, la mise en place d'une procédure de validation avant tout nouveau déploiement et d'un mécanisme de surveillance continue est recommandée.
2. Qui est concerné par l'encadrement juridique de l'intelligence artificielle ?
L'AI Act concerne toute entreprise qui fournit, déploie, importe ou distribue des systèmes d'IA sur le marché européen, indépendamment de sa taille ou de son secteur d'activité. Les fournisseurs de systèmes à risque élevé sont soumis aux obligations les plus lourdes. Les déployeurs – c'est-à-dire les entreprises qui utilisent un système conçu par un tiers – sont également assujettis à des obligations spécifiques, notamment en matière de surveillance humaine et d'information des personnes concernées. Le RGPD s'applique en parallèle dès lors que le système traite des données à caractère personnel.
3. Quelles nouvelles obligations cela implique-t-il ?
Les nouvelles obligations issues de l'AI Act portent, selon le niveau de risque du système, sur : la gestion documentée des risques, la gouvernance des données d'entraînement, la documentation technique, la journalisation automatique des opérations, la surveillance humaine en fonctionnement, l'information des utilisateurs finaux et la surveillance post-commercialisation. Les obligations de transparence – notamment l'identification des systèmes interagissant avec des personnes physiques et le marquage des contenus synthétiques – s'appliquent à un périmètre plus large que les seuls systèmes à risque élevé.
4. Comment articuler les obligations AI Act avec les exigences RGPD déjà en place ?
L'AI Act et le RGPD s'appliquent simultanément et de manière cumulative dès lors que le système d'IA traite des données à caractère personnel. Les obligations de documentation de l'AI Act (gestion des risques, journalisation) viennent compléter les exigences du RGPD (registre des traitements, analyse d'impact). Les entreprises disposant déjà d'une gouvernance RGPD structurée doivent l'étendre pour y intégrer les exigences spécifiques à l'IA, sans pour autant repartir de zéro. Les dispositions relatives aux décisions automatisées du RGPD et les règles de surveillance humaine de l'AI Act doivent être lues conjointement.
5. La titularité des créations générées par IA doit-elle être contractuellement organisée ?
La titularité des créations générées par un système d'IA ne bénéficie pas, en l'état des dispositions du Code de la propriété intellectuelle, d'une protection automatique au titre du droit d'auteur, faute de l'originalité requise. En pratique, la question de la propriété des contenus produits – entre l'entreprise utilisatrice, le fournisseur du modèle et les tiers ayant contribué aux données d'entraînement – doit être réglée contractuellement en amont. Cette organisation est d'autant plus critique que les contenus générés sont destinés à être commercialisés, déposés à titre de marque ou intégrés dans des actifs immatériels stratégiques.
Vernay & Lestang – Avocats d'affaires, Paris
Vernay & Lestang conseille les directions générales, les DSI et les directions juridiques sur la conformité numérique, la protection des actifs immatériels et l'encadrement des déploiements d'intelligence artificielle. Notre intervention couvre la qualification des systèmes, la structuration de la gouvernance interne, la révision des contrats avec les fournisseurs et la mise en conformité avec les obligations issues de l'AI Act et du RGPD. Les honoraires sont définis après analyse du dossier.
Pour un premier avis sur votre situation, adressez-nous un message à contact@vernaylestang.com.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Florence Delcourt
Analyste juridique au sein de Vernay & Lestang, Florence Delcourt traite les dossiers de propriété intellectuelle, de numérique, de données et de conformité.
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.