Depuis le 19 mai 2026, la Commission européenne consulte les entreprises, fournisseurs, utilisateurs et autorités sur ses lignes directrices relatives à la classification des systèmes d’intelligence artificielle à haut risque. La consultation est ouverte jusqu’au 23 juin 2026. Pour une entreprise qui achète ou déploie un outil d’IA, le sujet n’est pas théorique.
Un logiciel de tri de CV, un outil qui note des candidats, un système de scoring client, une solution qui priorise des demandes de crédit, un outil de détection de fraude ou une IA intégrée dans un processus de décision peut changer de catégorie juridique selon son usage réel. Le même outil peut être banal dans un contexte et sensible dans un autre.
La mauvaise question est : « le fournisseur dit-il que son outil est conforme ? » La bonne question est : « dans notre entreprise, cet outil influence-t-il l’accès à un emploi, à un service essentiel, à un financement, à une formation, à une prestation ou à une décision produisant un effet concret sur une personne ? »
Si la réponse est oui, l’entreprise doit vérifier la qualification du système avant de signer le contrat, de brancher l’outil sur ses données ou de l’utiliser en production. La page officielle de la Commission européenne sur les lignes directrices relatives aux systèmes d’IA à haut risque rappelle que ces lignes doivent aider les fournisseurs et les déployeurs à déterminer si leur système relève ou non de la catégorie haut risque.
Pourquoi le classement haut risque change tout
L’AI Act repose sur une logique de risque. Certains usages sont interdits. D’autres sont soumis à des obligations de transparence. Les usages les plus sensibles sont qualifiés de systèmes d’IA à haut risque.
La Commission européenne cite notamment les outils utilisés dans l’emploi, la gestion des travailleurs, l’accès au travail indépendant, l’éducation, les services essentiels, le crédit, certaines infrastructures critiques, la biométrie, la police, la migration et la justice. Sur sa page générale consacrée à l’AI Act, elle donne comme exemples les logiciels de tri de CV pour le recrutement et certains systèmes de credit scoring.
Cette qualification a des conséquences pratiques. Elle impose de documenter le système, d’organiser une surveillance humaine, de prévoir une traçabilité, de contrôler la qualité des données, de gérer les risques et de conserver des preuves. Elle modifie aussi la négociation contractuelle avec le fournisseur.
Une entreprise qui traite le sujet comme une simple fonctionnalité logicielle risque de découvrir trop tard qu’elle a acheté un outil juridiquement sensible sans notice suffisante, sans registre, sans clause d’audit, sans garantie sur les données et sans procédure de réaction en cas d’erreur.
Recrutement assisté par IA : les questions à poser avant usage
Le recrutement est l’un des cas les plus sensibles. Un outil peut seulement aider à rédiger une annonce ou reformuler un message. Dans ce cas, le risque est limité si l’usage reste strictement éditorial et contrôlé.
La situation change lorsque l’outil classe des candidatures, attribue une note, recommande de recevoir ou d’écarter un candidat, analyse une vidéo d’entretien, évalue une personnalité, détecte des compétences ou influence la décision finale.
Avant de déployer un outil de recrutement assisté par IA, l’entreprise doit vérifier :
- la fonction exacte de l’outil dans le processus RH ;
- les données utilisées pour entraîner ou faire fonctionner le système ;
- l’existence d’un classement, d’une note ou d’un filtre automatisé ;
- le rôle réel du recruteur après la recommandation de l’IA ;
- les informations données aux candidats ;
- la possibilité de corriger une erreur ou de reprendre une décision humaine ;
- les engagements du fournisseur sur la documentation, les biais, la sécurité et les journaux d’activité.
Le point décisif n’est pas le nom commercial du produit. C’est sa destination. Un module présenté comme une aide au recrutement peut devenir sensible s’il sélectionne, hiérarchise ou écarte des personnes.
Scoring client, crédit, fraude : le risque ne se limite pas aux banques
Le scoring client est souvent présenté comme un outil commercial. Il sert à prioriser des prospects, anticiper un risque d’impayé, accorder une facilité, proposer un prix, détecter une fraude ou orienter un dossier vers un service.
Dans certains cas, l’usage est purement marketing. Dans d’autres, il peut affecter l’accès à un service, à un paiement différé, à un contrat, à une prestation ou à une relation commerciale essentielle. Le risque juridique augmente lorsque le score produit un effet défavorable : refus, délai, dépôt de garantie plus élevé, réduction d’accès, résiliation, contrôle renforcé ou traitement prioritaire d’un contentieux.
L’entreprise doit donc distinguer trois niveaux.
Premier niveau : l’outil aide à segmenter une base commerciale sans effet direct sur les droits ou l’accès à un service. Le risque AI Act peut être limité, mais le RGPD et le droit de la consommation restent à vérifier si des données personnelles sont traitées.
Deuxième niveau : l’outil influence une décision commerciale individualisée. Il faut documenter les critères, l’information donnée à la personne concernée, le contrôle humain et les voies de contestation.
Troisième niveau : l’outil intervient dans un domaine sensible, par exemple crédit, accès à un service essentiel, emploi, assurance, formation ou prestation ayant un impact important. La qualification haut risque doit être examinée en priorité.
Fournisseur ou déployeur : ne pas se tromper de rôle
Une entreprise qui utilise un outil développé par un tiers peut penser que tout repose sur l’éditeur. C’est incomplet.
Le fournisseur doit assumer ses propres obligations lorsqu’il met sur le marché un système d’IA. Mais l’entreprise utilisatrice peut être déployeur. Elle choisit le contexte d’utilisation, branche l’outil sur ses données, définit les personnes concernées, organise le contrôle humain et décide comment la recommandation de l’IA est utilisée.
Le contrat doit donc répartir les responsabilités. Il ne suffit pas d’insérer une clause générale de conformité. Il faut exiger des éléments vérifiables :
- la description de la destination de l’outil ;
- la qualification AI Act retenue par le fournisseur ;
- la notice d’utilisation ;
- les limites connues du système ;
- les exigences de qualité des données d’entrée ;
- les obligations de journalisation ;
- les mesures de cybersécurité ;
- les modalités d’audit ;
- les incidents devant être signalés ;
- les conditions de suspension de l’outil en cas d’erreur grave ;
- les engagements de sous-traitance et d’hébergement des données.
Si le fournisseur refuse de fournir ces informations, l’entreprise doit traiter ce refus comme un signal de risque. L’argument « l’outil est propriétaire » ne justifie pas l’absence totale de documentation opérationnelle.
RGPD et AI Act : deux contrôles différents
L’AI Act ne remplace pas le RGPD. Les deux régimes se cumulent.
Si l’outil traite des données personnelles, l’entreprise doit vérifier la base légale, l’information des personnes, la durée de conservation, les destinataires, les droits d’accès et d’opposition, les transferts hors Union européenne, la sécurité et, selon les cas, l’analyse d’impact.
La CNIL met à disposition des fiches pratiques IA, dont une liste de vérification pour le développement des systèmes d’IA conformes au RGPD. Elle rappelle aussi que la sécurité des systèmes d’IA doit être anticipée dès le développement et avant le déploiement.
En pratique, une entreprise doit tenir deux dossiers.
Le premier est le dossier RGPD : quelles données, quelle finalité, quelle base légale, quelles personnes concernées, quels droits, quelles mesures de sécurité ?
Le second est le dossier AI Act : quel système, quel usage, quel niveau de risque, quel rôle de l’entreprise, quelle documentation, quelle surveillance humaine, quels incidents, quels contrôles ?
Ces deux dossiers doivent se parler. Un outil qui classe des candidats à partir de données personnelles mal qualifiées crée un double risque : protection des données et conformité IA.
La checklist avant de signer ou de déployer
Avant d’acheter ou d’activer un outil d’IA dans un processus sensible, l’entreprise doit procéder par ordre.
D’abord, décrire l’usage concret. Il faut écrire noir sur blanc ce que l’outil fait, qui l’utilise, quelles données il traite, quelles personnes sont affectées, et quelle décision humaine ou automatique suit sa recommandation.
Ensuite, classer le risque. L’outil relève-t-il d’un usage interdit, d’un usage à haut risque, d’un usage soumis à transparence ou d’un usage minimal ? Le classement doit être motivé. Il ne doit pas rester une affirmation commerciale du fournisseur.
Puis, vérifier le contrat. Le bon de commande ne suffit pas. Les annexes doivent prévoir la documentation, la sécurité, les logs, les données, les incidents, la sous-traitance, les audits, la réversibilité et la suspension.
Il faut ensuite organiser le contrôle humain. Une personne identifiée doit pouvoir comprendre la recommandation, la vérifier, l’écarter et documenter sa décision. Une validation automatique déguisée en contrôle humain ne protège pas l’entreprise.
Enfin, préparer la preuve. En cas de contestation par un candidat, un salarié, un client, un partenaire ou une autorité, l’entreprise devra démontrer qu’elle a classé l’outil, informé les personnes, sécurisé les données et conservé une trace de sa décision.
Les erreurs fréquentes des PME et ETI
La première erreur consiste à croire qu’un outil standard est nécessairement sans risque. Un outil standard peut devenir sensible s’il est utilisé pour recruter, noter, exclure, refuser, prioriser ou contrôler.
La deuxième consiste à acheter une solution IA par un service métier sans passage juridique, DPO, sécurité informatique ou direction générale. L’outil est alors branché avant que les responsabilités soient comprises.
La troisième consiste à accepter une documentation commerciale à la place d’une notice exploitable. Une brochure ne permet pas de vérifier les limites du système, les données nécessaires, les risques de biais ou les mesures de surveillance.
La quatrième consiste à oublier les personnes concernées. Candidat, salarié, client ou prospect doivent comprendre lorsqu’une IA intervient dans un processus qui les affecte, dans les cas où l’information est exigée.
La cinquième consiste à ne pas prévoir la sortie. Une entreprise doit savoir comment suspendre l’outil, récupérer ses données, conserver les preuves utiles et passer à une autre solution sans perdre la traçabilité des décisions déjà prises.
Paris et Île-de-France : pourquoi documenter avant le déploiement
À Paris et en Île-de-France, les entreprises déploient souvent des outils IA dans des fonctions à fort volume : recrutement, relation client, scoring commercial, recouvrement, gestion de fraude, service après-vente, conformité, assurance, finance ou plateformes.
Ces usages produisent vite des litiges. Un candidat écarté demande pourquoi son dossier n’a pas été retenu. Un client conteste un refus. Un partenaire refuse une clause d’IA opaque. Un fournisseur impose des conditions qui transfèrent trop de risques. Un contrôle RGPD ou contractuel oblige l’entreprise à expliquer un système déjà en production.
Le bon réflexe est de faire l’audit avant le déploiement. Il faut vérifier la qualification AI Act, le contrat fournisseur, les données traitées, le contrôle humain, les preuves conservées et les clauses de responsabilité.
Le cabinet intervient en droit des affaires pour sécuriser les contrats numériques, les clauses fournisseurs, les procédures internes et les contentieux liés à l’utilisation d’outils d’IA par l’entreprise.
Que faire si l’outil est déjà utilisé ?
Si l’outil est déjà en production, il ne faut pas se limiter à une régularisation documentaire.
Il faut d’abord geler le périmètre : quels services l’utilisent, depuis quand, sur quelles données, avec quels effets ? Il faut ensuite récupérer les contrats, notices, annexes de sécurité, engagements de sous-traitance, paramétrages, journaux disponibles et supports de formation.
L’entreprise doit ensuite choisir entre trois options.
Première option : l’usage est limité et peut être conservé avec une documentation renforcée.
Deuxième option : l’usage est sensible mais régularisable, à condition de modifier les clauses, l’information des personnes, le contrôle humain et la traçabilité.
Troisième option : l’usage crée un risque trop élevé. Il faut suspendre, remplacer ou cantonner l’outil.
Cette décision doit être écrite. En matière d’IA, l’absence de trace est souvent le premier problème. Une entreprise peut avoir pris de bonnes décisions, mais être incapable de les prouver.
Besoin d’un avis rapide sur votre dossier.
Consultation téléphonique en 48 heures avec un avocat du cabinet.
Nous vérifions votre outil IA, votre contrat fournisseur, votre registre de traitement, vos clauses de responsabilité et les actions à mener si un outil de recrutement, de scoring client ou d’automatisation est déjà utilisé à Paris ou en Île-de-France.
Appelez le cabinet au 06 46 60 58 22 ou utilisez le formulaire de contact.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.