Décision possible
Décision concernée
Mon entreprise doit-elle se faire "certifier AI Act" ?
Non : pour les usages les plus fréquents en entreprise (chatbot, tri de CV, scoring de crédit), le règlement ne prévoit pas de certification délivrée par un organisme externe, même si un régulateur sectoriel comme l'ACPR peut, au titre de sa propre surveillance, exiger une revue indépendante que l'AI Act n'impose pas. Un chatbot client ou un générateur de contenu relève de l'obligation de transparence de l'article 50, paragraphe 1 du règlement (UE) 2024/1689, en vigueur depuis le 2 août 2026 : informer l'utilisateur qu'il interagit avec de l'IA suffit.
Un outil de tri de CV relève de l'annexe III, point 4(a) (systèmes à haut risque) ; un outil de scoring de crédit relève de l'annexe III, point 5(b), qui exclut explicitement la détection de fraude. Ces deux catégories entraînent des obligations bien plus lourdes (documentation technique, supervision humaine, gestion des risques), avec un délai reporté au 2 décembre 2027 par le règlement (UE) 2026/1744, mais l'évaluation de conformité elle-même y reste un contrôle interne au sens de l'article 43, paragraphe 2, et de l'annexe VI : sans intervention d'un organisme notifié, sauf pour les systèmes d'identification biométrique à distance (annexe III, point 1), un cas distinct non traité ici.
Cette différence de traitement est cohérente avec la logique graduée du règlement : parmi les catégories à haut risque, seule l'identification biométrique à distance conserve la possibilité d'une vérification par un tiers avant mise sur le marché ; les autres, dont le recrutement et le scoring de crédit, s'appuient sur le système de gestion des risques du fournisseur (article 9) et sur la surveillance du marché a posteriori (article 74), pas sur un contrôle préalable indépendant. Un usage purement interne et productif (rédaction, synthèse), sans impact sur une décision concernant une personne, peut échapper à la classification haut risque via l'exemption de l'article 6, paragraphe 3 pour tâche procédurale étroite, mais seulement s'il ne détermine pas matériellement une décision et ne profile personne. Classez d'abord chaque outil selon ce qu'il décide et pour qui, avant de payer pour une mise en conformité générique.
L'essentiel en 3 points
- La classification par usage prime sur le secteur ou la taille. Le règlement (UE) 2024/1689 distingue trois niveaux selon ce que fait le système, pas selon qui l'utilise : transparence (article 50) pour un chatbot ou un générateur de contenu, haut risque (annexe III) pour un outil de tri de CV (point 4(a)) ou de scoring de crédit (point 5(b), hors détection de fraude), pas d'obligation renforcée pour un usage interne purement productif qui ne détermine pas une décision sur une personne.
- Pas de certification externe exigée par l'AI Act pour ces deux cas de haut risque. Pour un outil de recrutement ou de scoring de crédit (annexe III, points 4(a) et 5(b)), l'évaluation de conformité se fait par contrôle interne (article 43, paragraphe 2, et annexe VI), sans intervention d'un organisme notifié. L'exception concerne les systèmes d'identification biométrique à distance (annexe III, point 1), une catégorie distincte des deux exemples les plus courants en entreprise. Un régulateur sectoriel peut en revanche exiger, dans les faits, une revue indépendante que le règlement lui-même n'impose pas.
- L'exemption « usage interne » est plus étroite qu'il n'y paraît. L'article 6, paragraphe 3, ne dispense un système relevant nominalement de l'annexe III que s'il exécute une tâche procédurale étroite sans influencer matériellement une décision et sans profiler de personne : un outil de présélection de CV qui « aide » un recruteur reste très généralement soumis au régime haut risque, l'exemption ne couvrant pas les outils réellement évaluatifs.