Depuis le 2 août 2026, le règlement européen sur l’intelligence artificielle est devenu largement applicable. Pour une entreprise française, cette date ne signifie pas que chaque logiciel conversationnel ou chaque outil de productivité est automatiquement soumis au même régime. Elle impose en revanche de qualifier sérieusement les usages, en particulier lorsque l’outil intervient dans le recrutement, l’évaluation des salariés, l’accès à un service essentiel, la solvabilité d’un client ou une décision qui peut affecter un droit. Le calendrier comporte aussi une nuance importante : les obligations liées à certaines classifications de systèmes prévues par l’article 6, paragraphe 1, sont différées au 2 août 2027, tandis que les autres obligations du règlement suivent le calendrier général prévu par son article 113.

La difficulté pratique apparaît rarement au moment où le dirigeant achète une licence. Elle surgit lorsqu’un candidat est écarté sans explication, lorsqu’un salarié reçoit une mauvaise évaluation, lorsqu’un client se voit refuser un financement, lorsqu’une donnée confidentielle est réutilisée pour entraîner un modèle ou lorsque le fournisseur modifie son service sans prévenir. L’entreprise utilisatrice doit alors démontrer ce qu’elle a fait, avec quelles données, selon quelle instruction, avec quelle supervision humaine et quelle réponse à l’incident. Ce dossier présente les critères de qualification, les clauses à négocier, les preuves à conserver et les premières mesures à prendre après une erreur ou une atteinte aux droits.

I. L’IA utilisée par l’entreprise relève-t-elle du haut risque après le 2 août 2026 ?

A. Quels usages de recrutement, d’évaluation et de crédit déclenchent les obligations renforcées ?

La première question ne consiste pas à demander au fournisseur si son produit porte l’étiquette « haut risque ». Il faut partir de l’usage réel, des personnes concernées et de la décision que le système influence. Le règlement (UE) 2024/1689, accessible dans sa version consolidée sur EUR-Lex, distingue notamment les systèmes utilisés dans les domaines sensibles énumérés à son annexe III. L’article 6 organise cette classification et vise, entre autres, les systèmes qui interviennent dans le recrutement ou la sélection, l’attribution de tâches fondée sur le comportement ou les caractéristiques personnelles, l’évaluation des performances ou la relation de travail.

Un outil qui trie des CV, calcule un score de compatibilité, recommande des candidats ou classe des profils pour une décision d’embauche doit donc faire l’objet d’une analyse documentée. Le même raisonnement s’applique à un logiciel qui mesure la productivité, prédit le risque de départ, recommande une promotion, propose une sanction ou détermine les horaires d’une équipe à partir de données individuelles. La décision finale signée par un responsable ne suffit pas à faire disparaître l’intervention automatisée : si le responsable ne fait que valider une recommandation qu’il ne peut pas comprendre ou contester, la supervision est seulement apparente.

Le secteur financier présente une autre zone de vigilance. Un modèle qui évalue la solvabilité d’une personne physique, priorise les demandes de crédit ou oriente l’accès à un service essentiel peut produire des effets très lourds avec une apparence de neutralité mathématique. Le dirigeant doit identifier les variables utilisées, les exclusions, les seuils, les taux d’erreur et les voies de contestation. Une entreprise qui achète un outil de scoring pour sélectionner ses clients professionnels ne se trouve pas nécessairement dans le même cas qu’un établissement qui évalue l’accès d’un particulier à un crédit. Cette différence doit apparaître dans la fiche d’usage, dans le contrat et dans les tests.

Le règlement prévoit aussi des régimes propres aux systèmes biométriques, à certains usages dans l’éducation, aux infrastructures critiques, à l’accès à des prestations essentielles et à la justice ou aux processus démocratiques. Une caméra qui identifie des personnes, un outil qui infère des émotions au travail ou une solution qui classe des personnes selon des caractéristiques sensibles appellent une prudence renforcée. L’entreprise doit vérifier non seulement si l’usage relève d’un système à haut risque, mais aussi s’il tombe dans une interdiction, dans une obligation de transparence ou dans une autre catégorie du règlement. Une réponse commerciale générale du type « notre moteur est conforme à l’AI Act » ne constitue pas une qualification juridique suffisante.

Le tableau suivant permet de lancer une première cartographie interne, sans remplacer l’examen du produit et de sa documentation :

Usage constaté	Risque pratique	Première preuve à réunir
Tri et classement de candidatures	Discrimination indirecte, refus non explicable, données inadaptées	Paramètres, jeux de test, historique des recommandations et validation humaine
Évaluation ou surveillance de salariés	Atteinte à la vie privée, décision disproportionnée, erreur d’évaluation	Finalité, information des salariés, critères pertinents et procédure de contestation
Scoring de solvabilité ou d’accès à un service	Refus injustifié, traitement inégal, information insuffisante	Variables utilisées, seuils, taux d’erreur et intervention d’un décideur identifiable
Assistant génératif connecté aux données de l’entreprise	Divulgation d’un secret, réutilisation des données, conseil erroné	Politique d’accès, journal des prompts, règles de conservation et validation des sorties

La date du 2 août 2026 doit être lue avec le calendrier européen complet. L’article 113 du règlement fixe l’application générale, mais prévoit des dates différentes pour certaines obligations. La Commission et les autorités nationales peuvent également préciser les modalités d’application, les codes de bonnes pratiques et les outils de conformité. Une entreprise ne doit donc pas transformer la date en slogan : elle doit inscrire, pour chaque usage, la règle qui s’applique immédiatement, celle qui sera applicable plus tard et les mesures qu’elle adopte volontairement dès maintenant pour réduire son exposition.

En matière de travail, le droit français ajoute des exigences indépendantes du règlement européen. L’article L. 1121-1 du Code du travail dispose que « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ». Un outil d’analyse des messages, de mesure du temps de connexion ou de prévision des performances doit donc être relié à une finalité professionnelle précise, nécessaire et proportionnée. L’argument selon lequel le fournisseur utilise une technologie avancée ne répond pas à cette exigence.

L’article L. 1222-3 du même code impose que « Le salarié est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d’évaluation professionnelles mises en oeuvre à son égard. Les résultats obtenus sont confidentiels. Les méthodes et techniques d’évaluation des salariés doivent être pertinentes au regard de la finalité poursuivie ». Une entreprise qui déploie une IA d’évaluation doit ainsi préparer une information compréhensible avant l’utilisation, préciser la finalité poursuivie et vérifier que les résultats restent pertinents. La confidentialité des résultats ne dispense pas de pouvoir expliquer la méthode à la personne concernée.

Il faut enfin distinguer l’outil et la décision. Un modèle peut seulement assister une personne, mais il peut aussi organiser de fait la décision en affichant un score, une alerte ou un classement que personne ne remet en cause. Pour caractériser une supervision réelle, l’entreprise doit prévoir un pouvoir de questionnement, de correction et d’arrêt. Le décideur humain doit disposer du temps, de la compétence et des informations nécessaires pour exercer ce pouvoir. Une signature placée à la dernière page d’un processus entièrement automatisé ne suffit pas.

B. Pourquoi la qualification ne se délègue pas au fournisseur de l’outil ?

Le règlement européen répartit des obligations entre le fournisseur, le déployeur, l’importateur, le distributeur et les autres acteurs de la chaîne. Cette répartition ne permet pas à l’entreprise utilisatrice de se contenter d’un contrat d’abonnement. Le fournisseur connaît l’architecture du produit, mais l’entreprise connaît la finalité, le public exposé, les données injectées et les conséquences de la décision. Une même application peut être peu sensible pour une tâche administrative et devenir critique lorsqu’elle est reliée à un recrutement, à une sanction ou à l’accès à un service.

Le contrat doit traduire cette répartition en engagements vérifiables. L’article 1103 du Code civil rappelle que « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits ». L’article 1104 ajoute que « Les contrats doivent être négociés, formés et exécutés de bonne foi. Cette disposition est d’ordre public ». Ces textes ne créent pas à eux seuls la conformité à l’AI Act, mais ils donnent une portée concrète aux clauses d’information, de coopération, d’alerte, d’audit et de réversibilité négociées avec le fournisseur.

Une clause qui se limite à déclarer que le prestataire respecte « toutes les lois applicables » laisse subsister l’essentiel du risque. Le contrat doit identifier la version du produit, sa finalité prévue, les fonctions activées, les sous-traitants, les lieux d’hébergement, les catégories de données traitées et les modifications susceptibles d’altérer le niveau de risque. Il doit aussi préciser qui prépare la documentation technique, qui réalise les tests, qui conserve les journaux, qui répond aux demandes des personnes et dans quel délai le fournisseur informe l’entreprise d’un incident ou d’un changement de modèle.

Cette exigence s’inscrit dans la jurisprudence classique des contrats informatiques. Dans un arrêt du 9 décembre 2020, la chambre commerciale de la Cour de cassation a rappelé que « Il résulte des deux premiers textes que manque à son obligation de délivrance le vendeur qui livre une chose non conforme à celle convenue ou à l’usage auquel elle était destinée » (Cour de cassation, chambre commerciale, 9 décembre 2020, n° 19-10.119). Cette décision ne tranche pas la conformité d’un système d’IA au règlement européen. Elle montre toutefois qu’une fonctionnalité déterminante, une limite connue ou un usage promis peuvent être examinés au regard de ce qui a réellement été convenu.

Dans une autre décision rendue le même jour, la chambre commerciale a retenu que « C’est dès lors sans se fonder exclusivement sur le rapport Y… que la cour d’appel a retenu que la société Isagri avait manqué à son obligation de délivrance conforme » (Cour de cassation, chambre commerciale, 9 décembre 2020, n° 19-17.291). La leçon utile pour l’entreprise est probatoire : un rapport, une brochure commerciale ou une promesse de conformité ne doit pas être l’unique élément conservé. Les échanges de cadrage, les tests, les réserves, les tickets et les versions du service doivent pouvoir reconstituer la réalité de la prestation.

La qualification peut également évoluer lorsque l’entreprise modifie substantiellement le système, le relie à ses propres données ou le met en service pour une finalité différente de celle prévue. Le fournisseur doit alors être interrogé sur la répartition des responsabilités et sur les conséquences de cette modification. L’entreprise doit documenter les adaptations qu’elle réalise elle-même : prompts persistants, règles de filtrage, seuils de décision, connexions à un logiciel métier, sélection des données d’entraînement ou d’évaluation. Cette documentation est utile pour déterminer si l’entreprise reste un simple déployeur ou si son rôle devient plus large au regard du règlement.

Avant la signature, six questions doivent recevoir une réponse écrite :

• Quelle est la finalité exacte du système et quelle décision humaine peut-il influencer ?
• Le fournisseur classe-t-il le produit dans une catégorie particulière du règlement et sur quels éléments techniques s’appuie-t-il ?
• Quelles données entrent dans le système, où sont-elles hébergées, combien de temps sont-elles conservées et sont-elles utilisées pour améliorer le service ?
• Quelles limites, taux d’erreur, tests de biais et restrictions d’usage sont documentés ?
• Comment l’entreprise obtient-elle les journaux, les versions, les alertes et les éléments nécessaires à une contestation ?
• Comment le service est-il suspendu, réversible ou remplacé si le fournisseur modifie le modèle ou si un incident survient ?

Une réponse incomplète n’interdit pas toujours l’achat, mais elle doit être traitée comme un risque contractuel. L’entreprise peut conditionner le déploiement à la remise de documents, limiter l’usage à un environnement de test, interdire l’envoi de données sensibles ou imposer une validation manuelle. Elle peut aussi demander une garantie spécifique, une assurance adaptée et une procédure de sortie. Les plafonds d’indemnisation doivent être examinés à la lumière du dommage possible : une limitation uniforme de responsabilité peut être très insuffisante si l’outil affecte des centaines de salariés ou divulgue des données stratégiques.

Le fournisseur ne doit pas être choisi uniquement sur l’ergonomie ou le prix. L’entreprise doit mesurer sa capacité à répondre à une demande d’explication six mois après la décision, lorsque l’interface a changé et que l’équipe projet n’est plus la même. Les droits d’accès internes, la séparation entre environnement de test et production, l’authentification forte et la conservation des journaux sont des conditions opérationnelles du contrat. Sans ces éléments, la discussion sur la responsabilité devient abstraite dès le premier incident.

II. Quelles obligations et quelle responsabilité pour l’entreprise qui déploie l’IA ?

A. Quelles clauses, preuves et contrôles faut-il réunir avant la mise en service ?

La mise en service doit être précédée d’un dossier proportionné au risque. Ce dossier commence par une fiche d’usage : nom du système, version, fournisseur, finalité, population concernée, décision influencée, données utilisées, opérateur responsable et conditions d’arrêt. Il faut y ajouter l’analyse de la classification au regard du règlement européen, l’inventaire des traitements de données personnelles, les mesures de sécurité, les tests réalisés et la procédure de traitement des contestations.

L’article 9 du règlement européen prévoit qu’« Un système de gestion des risques est établi, mis en œuvre, documenté et tenu à jour ». Cette obligation implique une démarche continue. Le risque ne disparaît pas parce que le premier test est satisfaisant : les données peuvent changer, les utilisateurs peuvent détourner l’outil, le fournisseur peut modifier son modèle et les critères de décision peuvent évoluer. La fiche de risque doit donc être révisée lors d’une mise à jour majeure, d’un changement de finalité, d’un incident, d’une réclamation ou d’une modification du public exposé.

Le contrôle humain doit être conçu avant le lancement. Le règlement exige que la conception et le développement d’un système à haut risque permettent « un contrôle effectif par des personnes physiques ». En pratique, cela suppose de désigner les personnes habilitées à examiner une recommandation, à demander une nouvelle analyse, à corriger une donnée, à refuser le résultat ou à arrêter le système. La personne ne doit pas être évaluée sur sa seule rapidité de validation, faute de quoi la procédure peut la pousser à suivre le modèle sans recul.

Le contrôle suppose également une formation. Une personne qui ignore les limites statistiques du système ne peut pas repérer une erreur de distribution, une corrélation trompeuse ou une réponse inventée. La formation doit couvrir la finalité autorisée, les données interdites, les signes d’un résultat incohérent, la procédure de remontée et les modalités d’information de la personne touchée. Les attestations, supports, exercices et dates de renouvellement doivent être archivés.

Les journaux sont une pièce centrale. Le déployeur doit pouvoir reconstituer qui a utilisé le système, à quel moment, avec quelle version, sur quelles données, pour quelle finalité et avec quel résultat. Les journaux ne doivent pas être conservés sans règle : il faut fixer une durée, limiter les accès, protéger les données sensibles et prévoir la réponse à une demande d’exercice de droits. Le contrat doit garantir l’accès aux événements conservés chez le fournisseur lorsque l’entreprise ne maîtrise pas l’infrastructure.

Le dossier doit contenir une matrice de tests. Elle doit couvrir des cas ordinaires, des cas limites, des erreurs de données, des variations de langue et des situations où une caractéristique protégée peut être corrélée à une décision. Pour un outil de recrutement, on testera par exemple des candidatures équivalentes avec des présentations différentes, la cohérence des critères entre plusieurs postes et la capacité du responsable à expliquer un classement. Pour un outil de relation client, on contrôlera la fidélité des réponses, les escalades vers un humain et les refus de fournir une information lorsqu’une réponse automatique serait incertaine.

Le droit de la preuve doit guider l’organisation. L’article 1353 du Code civil énonce que « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation ». Une entreprise qui demande au fournisseur de corriger un modèle ou de réparer une défaillance doit pouvoir démontrer la promesse, l’usage, l’erreur et le dommage. Le fournisseur qui affirme avoir donné une alerte ou corrigé un incident doit pouvoir produire la trace correspondante.

La Cour de cassation a également souligné, dans un arrêt du 9 mars 2022, que « Cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés » (Cour de cassation, chambre commerciale, 9 mars 2022, n° 20-12.376). La décision concernait un autre contexte, mais son enseignement probatoire est transposable avec prudence : l’existence d’une trace technique ne prouve pas, à elle seule, le consentement, l’information ou la régularité de l’opération. Un journal qui montre qu’un score a été calculé ne prouve pas que le score était pertinent, que la personne a été informée ou qu’un humain a réellement contrôlé la décision.

Lorsque l’IA est proposée à des consommateurs, la transparence précontractuelle doit être ajoutée au dossier. L’article L. 111-1 du Code de la consommation impose une information sur les caractéristiques essentielles du bien ou du service et, pour certains contenus ou services numériques, sur leurs fonctionnalités, leur compatibilité et leur interopérabilité. Une entreprise qui vend un service reposant largement sur un agent conversationnel doit décrire ce que le service fait réellement, ses limites et le rôle éventuel d’un opérateur humain. Une présentation qui laisse croire qu’un professionnel intervient alors que la réponse est entièrement automatisée peut créer un risque distinct de pratique commerciale trompeuse.

Le Code de la consommation rappelle aussi, à l’article L. 132-1, que « Le délit de pratique commerciale trompeuse défini aux articles L. 121-2 à L. 121-4 est constitué dès lors que la pratique est mise en œuvre ou qu’elle produit ses effets en France ». Il faut donc relire les pages commerciales, les conditions générales, les démonstrations et les scripts des vendeurs. Le risque ne provient pas seulement d’une erreur du modèle : il peut venir d’une promesse trop large sur la fiabilité, l’absence de biais, l’autonomie ou la sécurité du système.

Pour les données personnelles, l’entreprise doit articuler le dossier IA avec son registre des traitements, ses analyses d’impact lorsqu’elles sont nécessaires, ses contrats de sous-traitance et ses procédures de violation de données. La base juridique, la minimisation, la durée de conservation et l’information des personnes restent applicables. L’outil ne peut pas recevoir toutes les informations disponibles au seul motif que le modèle serait capable de les traiter. Les droits d’accès, de rectification, d’opposition ou de limitation doivent être examinés selon la finalité et le traitement en cause.

Une clause de contrat utile couvre au minimum les points suivants :

• la description de l’usage autorisé, des utilisateurs habilités et des usages interdits ;
• la classification revendiquée par le fournisseur et la remise des notices, évaluations, tests et instructions ;
• la localisation des données, les sous-traitants, la conservation, l’entraînement et la réutilisation des contenus ;
• la sécurité, les mises à jour, la gestion des vulnérabilités et la notification des changements de modèle ;
• les journaux accessibles, leur format, leur durée de conservation et le délai de remise en cas de contestation ;
• les engagements de disponibilité, la suspension immédiate, la réversibilité et l’effacement en fin de contrat ;
• la coopération avec les autorités, les salariés, les clients et les personnes qui exercent leurs droits ;
• les responsabilités, les assurances, les plafonds, les exclusions et la réparation des coûts d’enquête, de notification et de remédiation.

La signature ne clôt pas le contrôle. Un comité interne ou un responsable identifié doit suivre les incidents, les changements de version, les réclamations et les résultats des tests. Les indicateurs ne doivent pas se limiter au taux de disponibilité : il faut regarder les écarts entre groupes, le taux d’escalade humaine, les faux positifs, les décisions annulées, les demandes d’explication et les délais de correction. L’entreprise peut prévoir une revue mensuelle au lancement, puis une périodicité adaptée au niveau de risque.

B. Que faire après une erreur, une discrimination ou un incident de sécurité ?

La première réaction ne doit pas être la suppression précipitée du compte ou des journaux. Il faut contenir le risque tout en préservant les éléments qui permettront de comprendre la décision. Selon la situation, l’entreprise suspend l’usage concerné, bloque l’envoi de nouvelles données, conserve la version du modèle, exporte les journaux, identifie les personnes touchées et désigne un responsable de crise. Une mesure de suspension temporaire peut être décidée avant même d’avoir une explication complète lorsque le système continue à produire des décisions potentiellement dommageables.

Le dossier d’incident doit répondre à des questions factuelles : quelle version était active, quel utilisateur a déclenché le traitement, quelles données ont été entrées, quelle sortie a été générée, quelle décision a été prise, qui l’a validée, quelle information a été donnée à la personne et quel dommage est allégué ? Il faut conserver les captures utiles, les paramètres, les courriels, les tickets et les échanges avec le fournisseur. Les données doivent être protégées contre une modification ultérieure, avec une date, un responsable et une méthode d’archivage identifiables.

Si des données personnelles ont été divulguées, altérées ou rendues accessibles à un tiers non autorisé, la procédure de violation de données doit être déclenchée. L’article 33 du RGPD, consultable dans le texte officiel européen, prévoit la notification à l’autorité de contrôle dans les conditions et délais prévus par le règlement, notamment lorsque la violation est susceptible d’engendrer un risque pour les personnes. Le fournisseur doit être interrogé immédiatement sur l’étendue de l’incident, mais l’entreprise ne doit pas attendre une réponse commerciale pour analyser sa propre obligation de notification.

Une décision automatisée ou assistée peut aussi créer un litige avec un salarié. Celui-ci peut contester la pertinence d’un indicateur, demander l’accès aux informations qui le concernent ou soutenir que la mesure est disproportionnée. L’entreprise doit alors séparer l’examen du comportement professionnel, l’analyse statistique et la décision managériale. Une sanction fondée sur un score non vérifié ou sur une donnée obtenue dans un contexte différent expose l’employeur à une contestation sur la cause réelle de la mesure, la proportionnalité de l’atteinte et la régularité de l’information préalable.

Un client ou un partenaire commercial peut invoquer une mauvaise exécution du contrat. L’article 1217 du Code civil prévoit notamment que la partie lésée peut « obtenir une réduction du prix », provoquer la résolution du contrat ou « demander réparation des conséquences de l’inexécution », selon les conditions du texte. La réponse dépendra de la promesse contractuelle, de l’importance de la défaillance, de la possibilité de correction et du dommage démontré. Il faut vérifier sans délai les clauses de recette, de garantie, de limitation, de notification et de règlement des différends.

L’article 1231-1 du Code civil précise que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure ». Une indisponibilité du fournisseur n’est donc pas automatiquement une force majeure. L’entreprise doit examiner la cause, la prévisibilité, les mesures de sauvegarde et les engagements de disponibilité. De son côté, l’article 1240 énonce que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ». Ce fondement peut être discuté lorsque le dommage provient d’une faute distincte de l’inexécution contractuelle et qu’un préjudice ainsi qu’un lien de causalité sont établis.

Le règlement IA ajoute des obligations de réaction pour le déployeur d’un système à haut risque : utiliser le système conformément aux instructions, affecter une supervision humaine compétente, surveiller son fonctionnement, conserver les journaux sous son contrôle et suspendre l’utilisation lorsqu’un risque sérieux apparaît. Il faut aussi informer le fournisseur ou l’autorité compétente lorsque l’entreprise identifie un risque ou un incident relevant des procédures prévues. Le plan de réponse doit donc donner un numéro d’astreinte, une chaîne de décision, un modèle de notification et une règle claire de suspension.

Les sanctions européennes peuvent être élevées, avec des plafonds qui varient selon la nature du manquement et la catégorie de l’acteur. L’article 99 du règlement prévoit notamment, pour certaines violations par un fournisseur ou un déployeur d’un système à haut risque, une amende pouvant atteindre 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu dans les conditions du texte. La sanction concrète dépend de la gravité, de la durée, du nombre de personnes touchées, de la coopération et des mesures correctrices. Une erreur rapidement contenue et documentée n’est pas traitée comme un système maintenu malgré des alertes répétées, mais la réaction doit être démontrable.

À Paris et en Île-de-France, le canal de traitement dépend du litige. Un différend entre sociétés commerciales peut relever du tribunal de commerce de Paris lorsque les conditions de compétence sont réunies. Une demande civile qui ne relève pas de cette compétence, un litige de consommation ou une question touchant un autre droit doit être orientée vers la juridiction adaptée. Un conflit individuel de travail relève du conseil de prud’hommes compétent, tandis que les questions de données personnelles peuvent appeler un échange avec la CNIL. L’adresse du siège, le lieu d’exécution, la clause attributive de juridiction, la nature des parties et l’urgence doivent être vérifiés avant toute saisine. Une entreprise francilienne ne gagne rien à envoyer une mise en demeure à la mauvaise entité du groupe ou à une adresse qui n’est pas celle prévue au contrat.

Une mise en demeure utile décrit l’usage, la date, la version du système, la décision contestée, la demande précise et le délai de réponse. Elle peut demander la conservation des journaux, la communication des documents, la suspension d’une fonction, la révision humaine d’une décision et la prise en charge des mesures de remédiation. Il faut éviter d’accuser le fournisseur d’une infraction avant d’avoir établi les faits, mais il faut être suffisamment précis pour empêcher une réponse générale. Les réserves sur les droits, les dommages futurs et les mesures d’urgence doivent être formulées avec soin.

La feuille de route des 48 premières heures peut être organisée ainsi :

1. désigner un pilote juridique et technique, puis suspendre l’usage qui continue à créer un risque ;
2. préserver les journaux, la version du système, les données pertinentes et les décisions prises ;
3. identifier les personnes touchées, les destinataires des données et les contrats concernés ;
4. demander au fournisseur une confirmation écrite de l’incident, de son périmètre et de ses mesures correctrices ;
5. évaluer la notification RGPD, l’information des salariés ou clients et les échanges avec les autorités ;
6. préparer une décision humaine de remplacement ou de réexamen pour les dossiers urgents ;
7. envoyer, si nécessaire, une mise en demeure ciblée en conservant la preuve de sa réception ;
8. mettre à jour l’analyse de risques, le contrat, les tests et les consignes avant toute reprise.

La prévention reste moins coûteuse que la reconstruction d’une décision après disparition des traces. Une entreprise qui possède une fiche d’usage, des tests datés, une procédure de contestation, un contrat lisible et des journaux exploitables peut expliquer ce qui s’est passé et corriger rapidement. Une entreprise qui a seulement conservé une facture d’abonnement et une présentation commerciale aura plus de difficulté à répartir les responsabilités, à répondre à une personne et à défendre la proportionnalité de son dispositif.

Conclusion

Après le 2 août 2026, la question décisive n’est pas de savoir si l’entreprise utilise « de l’IA » en général. Il faut déterminer quel système influence quelle décision, sur quelles personnes, avec quelles données et selon quelle capacité de contrôle. Les usages de recrutement, d’évaluation, de surveillance, de scoring et d’accès à des services doivent être cartographiés en priorité. Le calendrier de l’AI Act comporte des échéances différées, mais cette nuance ne justifie pas l’absence de préparation : les règles du contrat, du travail, de la protection des données, de la consommation et de la responsabilité s’appliquent déjà selon les faits.

Le dossier de conformité doit être concret : classification, finalité, tests, supervision, journaux, formation, information des personnes, clauses de fournisseur, procédure d’incident et preuve des décisions humaines. En cas d’erreur, la priorité est de contenir le risque, préserver les traces, réexaminer les décisions touchées et qualifier les obligations de notification. Une analyse rapide du contrat et des preuves disponibles permet ensuite de choisir entre correction, suspension, mise en demeure, négociation ou action judiciaire.

Envoyez vos pièces. Recevez une stratégie.

Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.

Appeler maintenant →Écrire au cabinet

Première analyse offerte

Réponse personnelle sous 24 h

100 % confidentiel

Jusqu’à 1 Go de pièces