L’EU AI Act, le règlement (UE) 2024/1689 sur l’intelligence artificielle, est souvent présenté comme une échéance unique à venir. Ce n’est pas le cas. Il s’applique par étapes, et deux d’entre elles sont déjà là. Pour une entreprise SaaS européenne, les volets qui comptent aujourd’hui sont l’article 4 sur la maîtrise de l’IA et l’article 50 sur la transparence.
Tous deux sont pratiques plutôt que techniques. Tous deux ont besoin d’un responsable, et tous deux passent facilement inaperçus, simplement parce que personne n’a remarqué à quel point l’IA est déjà utilisée dans l’entreprise.
Une remarque avant le détail : cet article explique ce que disent les règles et comment les entreprises y répondent habituellement. Il ne constitue pas un avis juridique. Pour les décisions propres à votre entreprise, adressez-vous à un avocat.
Qu’exigent les articles 4 et 50 de l’EU AI Act d’une entreprise SaaS ?
L’article 4, applicable depuis le 2 février 2025, demande aux entreprises de prendre des mesures pour que les personnes qui utilisent l’IA disposent d’un niveau suffisant de maîtrise de l’IA ; un registre interne des formations suffit. L’article 50, applicable depuis août 2026, exige qu’une IA qui interagit avec des personnes indique qu’elle est une IA, sauf si c’est évident, et que les hypertrucages soient signalés.
Aucun des deux n’exige de certificat ni de nouveau service. En pratique, ils demandent de la sensibilisation, un registre et un étiquetage honnête.
Article 4 : la maîtrise de l’IA, en pratique
L’article 4 s’applique depuis le 2 février 2025, et les autorités nationales supervisent l’AI Act depuis août 2026. Il demande aux entreprises de prendre des mesures pour que les personnes qui travaillent avec l’IA pour leur compte la comprennent suffisamment pour bien l’utiliser : ce pour quoi elle est performante, où elle échoue et quelles données ne doivent jamais y entrer.
Deux points sont souvent mal compris. D’abord, aucun certificat n’est requis. Il n’y a pas de formation officielle à acheter ni d’examen à réussir. Ensuite, un registre interne suffit : quelles formations et consignes ont été données, à qui et quand.
Pour une entreprise SaaS, le plus difficile n’est pas la formation. C’est de savoir où l’IA est réellement utilisée. Le Work Trend Index 2024 de Microsoft et LinkedIn a montré que 75% des travailleurs du savoir utilisent l’IA générative au travail, et que 78% des utilisateurs d’IA apportent leurs propres outils. Dans une entreprise SaaS typique, cela signifie des agents du support qui rédigent des réponses, des commerciaux qui écrivent leurs messages de prospection, des ingénieurs qui utilisent des assistants de code et la finance qui colle des chiffres dans une fenêtre de chat, souvent sans outil approuvé ni consigne.
Une approche réaliste comporte trois étapes :
- Inventaire. Recenser les outils d’IA utilisés, approuvés ou non, qui les utilise et quelles données de l’entreprise ou des clients y entrent.
- Des consignes par rôle. Des consignes courtes et précises pour chaque équipe : à quoi les outils peuvent servir, quelles données doivent rester à l’écart et comment vérifier les résultats. Une équipe support et une équipe finance ont besoin de règles différentes.
- Un registre. Un registre daté de qui a reçu quelles consignes ou formations, mis à jour lorsque les outils ou les rôles changent.
C’est aussi une bonne pratique opérationnelle, loi ou pas. Une entreprise qui sait où vont ses données est une entreprise qui peut répondre honnêtement au questionnaire de sécurité d’un client.
Article 50 : dire aux gens qu’ils parlent à une IA
L’article 50 s’applique depuis août 2026. Son principe est simple : un système d’IA qui interagit avec des personnes doit indiquer clairement qu’il s’agit d’une IA, sauf si c’est évident d’après le contexte. Les hypertrucages, c’est-à-dire des images, sons ou vidéos générés par l’IA qui pourraient passer pour réels, doivent être signalés.
Pour une entreprise SaaS, les points à vérifier sont généralement :
- L’assistant intégré au produit. Un assistant intégré à l’application qui répond aux utilisateurs doit indiquer qu’il est une IA.
- Chat du site web, des ventes et du support. Un chat qui répond aux clients ou aux prospects a besoin d’une mention claire indiquant que les réponses proviennent d’une IA.
- Voix et vidéo. Une voix IA lors d’un appel, ou un présentateur généré par IA dans une vidéo produit ou une publicité, doit être signalé.
Le signalement est une tâche de conception plus qu’une tâche juridique : une ligne dans la fenêtre de chat, une étiquette dans l’interface, une phrase au début d’un appel. Il coûte le moins cher lorsqu’il fait partie de la conception dès le départ. La même logique s’applique aux agents internes : le NordOps AI Agent est conçu pour les règles européennes, et chaque question comme chaque action est journalisée.
Ce qui ne s’applique pas encore
Une grande partie de l’attention autour du règlement porte sur l’IA à haut risque, et pour la plupart des entreprises SaaS, ce volet est encore à venir :
- 2 décembre 2027 : les règles applicables aux domaines à haut risque énumérés à l’annexe III, comme l’IA utilisée dans le recrutement, entrent en application.
- 2 août 2028 : les règles applicables à l’IA intégrée dans des produits réglementés entrent en application.
Ces dates découlent de la modification du règlement de 2026, entrée en vigueur le 27 juillet 2026. Une entreprise SaaS dont le produit est utilisé dans le recrutement, ou dans un autre domaine de l’annexe III, devrait mettre ce temps à profit pour se préparer plutôt qu’attendre. Pour toutes les autres, la priorité reste les deux articles déjà applicables.
Une check-list pratique pour ce trimestre
- Désignez un responsable de l’IA dans l’entreprise, avec le temps nécessaire pour faire le travail.
- Réalisez un inventaire de l’IA utilisée, y compris les outils que les collaborateurs ont apportés eux-mêmes.
- Rédigez des consignes courtes pour chaque équipe, et consignez qui les a reçues.
- Vérifiez chaque endroit où l’IA s’adresse aux clients, aux prospects ou au public, et ajoutez une mention claire là où elle manque.
- Vérifiez les contenus marketing à la recherche de personnes ou de voix générées par IA, et signalez-les.
- Si votre produit est utilisé dans le recrutement ou dans un autre domaine de l’annexe III, commencez à préparer décembre 2027.
Rien de tout cela ne fait d’un Chief AI Officer une obligation légale ; c’est un rôle, pas une obligation. Mais le travail a besoin d’un responsable, et dans la plupart des entreprises en croissance, il n’en a pas encore. C’est une partie de ce que prend en charge un Fractional Chief AI Officer, et notre AI Snapshot commence précisément par cet inventaire et par la vérification de la maîtrise de l’IA et de la transparence.
Source : règlement (UE) 2024/1689, articles 4, 50 et 113, tel que modifié en 2026. Cet article informe ; il ne constitue pas un avis juridique.