Décision possible
Décision concernée
Mon entreprise doit-elle se faire "certifier AI Act" ?
Non : pour les usages les plus fréquents en entreprise (chatbot, tri de CV, scoring de crédit), aucune certification n'est délivrée par un organisme externe. Un chatbot client ou un générateur de contenu relève de l'obligation de transparence de l'article 50, paragraphe 1 du règlement (UE) 2024/1689, en vigueur depuis le 2 août 2026 : informer l'utilisateur qu'il interagit avec de l'IA suffit.
Un outil de tri de CV relève de l'annexe III, point 4(a) (systèmes à haut risque) ; un outil de scoring de crédit relève de l'annexe III, point 5(b), qui exclut explicitement la détection de fraude. Ces deux catégories entraînent des obligations bien plus lourdes (documentation technique, supervision humaine, gestion des risques), avec un délai reporté au 2 décembre 2027 par le règlement (UE) 2026/1744, mais l'évaluation de conformité elle-même y reste un contrôle interne au sens de l'article 43, paragraphe 2, et de l'annexe VI : aucun organisme notifié n'intervient, sauf pour les systèmes d'identification biométrique à distance (annexe III, point 1), un cas distinct non traité ici.
Cette différence de traitement est cohérente avec la logique graduée du règlement : parmi les catégories à haut risque, seule l'identification biométrique à distance conserve la possibilité d'une vérification par un tiers avant mise sur le marché ; les autres, dont le recrutement et le scoring de crédit, s'appuient sur le système de gestion des risques du fournisseur (article 9) et sur la surveillance du marché a posteriori (article 74), pas sur un contrôle préalable indépendant. Un usage purement interne et productif (rédaction, synthèse), sans impact sur une décision concernant une personne, peut échapper à la classification haut risque via l'exemption de l'article 6, paragraphe 3 pour tâche procédurale étroite, mais seulement s'il ne détermine pas matériellement une décision et ne profile personne. Classez d'abord chaque outil selon ce qu'il décide et pour qui, avant de payer pour une mise en conformité générique.
L'essentiel en 3 points
- La classification par usage prime sur le secteur ou la taille. Le règlement (UE) 2024/1689 distingue trois niveaux selon ce que fait le système, pas selon qui l'utilise : transparence (article 50) pour un chatbot ou un générateur de contenu, haut risque (annexe III) pour un outil de tri de CV (point 4(a)) ou de scoring de crédit (point 5(b), hors détection de fraude), pas d'obligation renforcée pour un usage interne purement productif qui ne détermine pas une décision sur une personne.
- Pas de certification externe pour ces deux cas de haut risque. Pour un outil de recrutement ou de scoring de crédit (annexe III, points 4(a) et 5(b)), l'évaluation de conformité se fait par contrôle interne (article 43, paragraphe 2, et annexe VI) : aucun organisme notifié n'intervient. L'exception concerne les systèmes d'identification biométrique à distance (annexe III, point 1), une catégorie distincte des deux exemples les plus courants en entreprise.
- L'exemption « usage interne » est plus étroite qu'il n'y paraît. L'article 6, paragraphe 3, ne dispense un système relevant nominalement de l'annexe III que s'il exécute une tâche procédurale étroite sans influencer matériellement une décision et sans profiler de personne : un outil de présélection de CV qui « aide » un recruteur reste très généralement soumis au régime haut risque, l'exemption ne couvrant pas les outils réellement évaluatifs.
Mes réserves
Ce qui pourrait faire basculer cette lecture
- L'absence d'obligation AI Act de certification externe ne dispense pas d'un contrôle sectoriel équivalent dans les faits : pour un assureur ou une banque, l'ACPR peut exiger, au titre de sa propre surveillance prudentielle (Code des assurances, Code monétaire et financier), une revue indépendante d'un système de notation ou de scoring avant déploiement, un contrôle qui produit, dans les faits, l'équivalent d'une certification externe que l'AI Act lui-même n'impose pourtant pas.
- Le statut de l'autorité de surveillance nationale française reste en cours de stabilisation à la date de rédaction : la loi DDADUE, adoptée par le Sénat le 17 février 2026, prévoit la DGCCRF comme coordinatrice au sens de l'article 70 du règlement, avec une répartition sectorielle (CNIL sur le biométrique, ACPR pour la finance et l'assurance, Arcom pour les deepfakes). Cette architecture n'est pas encore stabilisée par un texte définitivement promulgué, à vérifier avant toute décision qui en dépendrait directement.
- L'exemption de l'article 6, paragraphe 3 (tâche procédurale étroite), s'apprécie au cas par cas et de façon évolutive : un système présenté comme un simple outil de présélection peut être requalifié en système à haut risque si un contrôle a posteriori établit qu'il influence matériellement la décision finale, la frontière n'est pas tranchée une fois pour toutes au moment du déploiement.
- La liste de l'annexe III peut elle-même évoluer par acte délégué de la Commission (article 7 du règlement) : un usage aujourd'hui hors périmètre ou classé haut risque peut changer de statut sans modification du règlement lui-même.
Écart au Standard Probans
Dimension en cause : exhaustivité de la recherche. Les quatre études de cas sectorielles de ce dossier (assurance, banque, PME, éditeur SaaS) affirment chacune apporter un angle absent des guides de conformité généralistes, sans nommer de source concurrente précise à l'appui de cette affirmation, contrairement à l'analyse longue qui documente explicitement ce que disent déjà Gibson Dunn, DLA Piper et White & Case sur le calendrier de l'AI Act. Deux passes de révision n'ont pas suffi à combler cet écart ; il est signalé ici plutôt que masqué, conformément à la règle du site au-delà du plafond de deux tours de révision.