Le 2 août 2026 n’est pas une simple date de calendrier pour les entreprises qui utilisent, développent ou commercialisent un système d’intelligence artificielle. C’est aussi la date autour de laquelle les dirigeants doivent pouvoir expliquer qui a choisi l’outil, pour quel usage, avec quelles données, sous quelle surveillance et avec quelles mesures de repli. Le train de mesures européen adopté par le règlement (UE) 2026/1744, publié le 24 juillet 2026, a toutefois modifié plusieurs échéances. Une présentation ancienne de l’AI Act qui annoncerait une application identique de toutes les obligations à cette date serait trompeuse.

La question utile n’est donc pas seulement de savoir si un logiciel contient de l’IA. Il faut déterminer le rôle de la société — fournisseur, importateur, distributeur ou déployeur —, la catégorie de risque, les personnes exposées et la capacité de l’entreprise à démontrer ses choix. Une erreur de classement, une décision automatisée non contrôlée ou un contrat trop vague avec l’éditeur peuvent ensuite devenir un sujet de responsabilité sociale, de litige avec un associé, de conflit avec un salarié ou de réclamation d’un client. Ce guide présente les obligations qui concernent le dirigeant, la preuve à conserver et les mesures à prendre immédiatement en France, notamment à Paris et en Île-de-France.

I. Que change l’AI Act pour une entreprise depuis le 2 août 2026 ?

A. Quelles obligations s’appliquent déjà à l’entreprise qui utilise une IA ?

L’AI Act ne vise pas uniquement les éditeurs de modèles. Le règlement (UE) 2024/1689 concerne les organisations qui fournissent, importent, distribuent ou déploient des systèmes d’IA dans l’Union européenne, y compris lorsqu’une entreprise utilise un service acquis auprès d’un prestataire. Une société qui se sert d’un outil génératif pour rédiger des réponses commerciales n’a pas nécessairement le même rôle qu’une société qui intègre un modèle dans un produit vendu à ses clients. La première peut être un déployeur ; la seconde peut aussi devenir fournisseur du système qu’elle met sur le marché.

Cette distinction détermine les obligations à examiner. Une entreprise doit au minimum recenser les usages réels : recrutement, évaluation de candidatures, notation de clients, détection de fraude, analyse de documents, service client automatisé, génération de publicités, surveillance d’un site, maintenance prédictive, aide à la décision médicale ou traitement de données confidentielles. La mention commerciale « assistant », « moteur », « automatisation » ou « outil d’aide » ne suffit pas à qualifier juridiquement le système. Le but poursuivi, la fonction effectivement activée et les conséquences pour les personnes sont déterminants.

Le règlement organise une gradation :

• les pratiques présentant un risque inacceptable sont interdites ou strictement encadrées ;
• les systèmes à haut risque concernent notamment certains usages dans l’emploi, l’accès à des services essentiels, la biométrie, l’éducation, la justice, les infrastructures critiques ou des produits réglementés ;
• les systèmes présentant un risque limité appellent surtout une information et une transparence adaptées, notamment lorsque l’utilisateur échange avec une machine ou reçoit un contenu généré ;
• les usages à risque minimal restent soumis aux autres règles applicables à l’activité, aux contrats, aux données personnelles, à la sécurité et à la responsabilité civile.

Le calendrier doit être lu avec le texte le plus récent. Le portail Service Public Entreprendre rappelle l’économie générale de l’AI Act et l’échéance du 2 août 2026, mais le règlement (UE) 2026/1744 a ensuite modifié l’article 113 du règlement initial. Pour les systèmes à haut risque relevant de l’article 6, paragraphe 2, et de l’annexe III, les sections 1, 2 et 3 du chapitre III s’appliquent à compter du 2 décembre 2027. Pour les systèmes à haut risque relevant de l’article 6, paragraphe 1, et de l’annexe I, la date est le 2 août 2028. Les obligations générales déjà applicables ne disparaissent pas pour autant.

Au 19 août 2026, la société doit donc distinguer plusieurs situations :

• les obligations des chapitres I et II qui s’appliquent depuis le 2 février 2025, avec certaines pratiques interdites dont l’échéance a été décalée au 2 décembre 2026 ;
• les règles d’information, de transparence et de maîtrise de l’IA qui concernent déjà les fournisseurs et les déployeurs selon leur rôle et leur usage ;
• les obligations techniques et de conformité des systèmes à haut risque, dont le calendrier doit être recherché dans la catégorie exacte du système, l’annexe pertinente et les mesures transitoires ;
• les articles relatifs à la gouvernance et à l’exécution qui sont devenus applicables à compter du 27 juillet 2026.

Le même règlement prévoit une période transitoire pour certains contenus synthétiques déjà mis sur le marché avant le 2 août 2026 : les fournisseurs concernés doivent prendre les mesures nécessaires pour l’article 50, paragraphe 2, au plus tard le 2 décembre 2026. La date d’achat d’un abonnement ne suffit pas à résoudre la question. Il faut connaître la date de mise sur le marché du système, la nature du contenu produit et le rôle de chaque intervenant.

La maîtrise de l’IA constitue déjà un sujet de direction. Le texte modifié de l’article 4 dispose que « Les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte ». Une simple présentation commerciale envoyée aux salariés ne démontre pas cette obligation. L’entreprise doit pouvoir identifier les personnes formées, le type d’outil utilisé, les limites expliquées, les données qui ne doivent pas être saisies et la conduite à tenir en cas de résultat dangereux ou erroné.

Le dirigeant doit aussi regarder les règles qui ne sont pas contenues dans l’AI Act. Une IA qui trie des candidatures peut soulever une question de discrimination et de droit du travail. Un outil qui analyse les fichiers clients engage les règles de protection des données. Un modèle qui génère une clause contractuelle peut produire une erreur de droit, divulguer un secret ou violer une obligation de confidentialité. Le règlement européen ne remplace ni le contrat, ni les règles de responsabilité, ni les obligations propres au secteur d’activité.

Une première qualification sérieuse tient dans un tableau daté. Pour chaque usage, le tableau indique la société qui décide, le fournisseur, le modèle ou la version, les utilisateurs internes, les personnes concernées, les données entrantes, la décision produite, le degré d’automatisation, la validation humaine, les pays de traitement, les incidents connus et la date de réexamen. Ce tableau fait apparaître les risques qui restent invisibles lorsque l’entreprise ne regarde que les factures de ses prestataires.

B. Pourquoi le dirigeant doit-il organiser une preuve de conformité ?

Une politique interne ne protège pas une société si elle ne correspond pas aux pratiques réelles. Le risque apparaît lorsque le comité de direction autorise un outil sans savoir que les salariés y copient des contrats, lorsqu’un service commercial laisse une IA répondre seule à des réclamations sensibles ou lorsqu’un responsable des ressources humaines utilise une notation automatique sans contrôle humain. La question posée après un incident sera concrète : qui savait quoi, à quelle date, sur quel document et avec quelle possibilité d’intervenir ?

Dans une société anonyme, le code de commerce, article L. 225-35, prévoit que « Le conseil d’administration détermine les orientations de l’activité de la société et veille à leur mise en oeuvre, conformément à son intérêt social, en considérant les enjeux sociaux et environnementaux de son activité ». Le même article ajoute que le conseil procède aux contrôles et vérifications qu’il juge opportuns et que le président ou le directeur général doit communiquer les documents et informations nécessaires à chaque administrateur. Un projet d’IA affectant les clients, les salariés ou la sécurité ne devrait donc pas rester une décision purement technique sans information du niveau de gouvernance compétent.

Dans une société par actions simplifiée, la répartition des pouvoirs dépend d’abord des statuts, mais le code de commerce, article L. 227-8, dispose que « Les règles fixant la responsabilité des membres du conseil d’administration et du directoire des sociétés anonymes sont applicables au président et aux dirigeants de la société par actions simplifiée ». Le président ne peut pas se retrancher derrière l’absence de conseil d’administration pour ignorer un risque qu’il a organisé, validé ou laissé perdurer. La décision doit être prise par l’organe prévu par les statuts, avec un dossier adapté à la taille et à l’activité de la société.

Dans une SARL, le code de commerce, article L. 223-22, énonce : « Les gérants sont responsables, individuellement ou solidairement, selon le cas, envers la société ou envers les tiers, soit des infractions aux dispositions législatives ou réglementaires applicables aux sociétés à responsabilité limitée, soit des violations des statuts, soit des fautes commises dans leur gestion. » L’outil peut être bon marché, courant dans le secteur ou recommandé par un partenaire ; cela ne transfère pas la décision de gestion au fournisseur.

La preuve attendue peut être structurée en six dossiers :

1. un registre des usages, avec la qualification du rôle de l’entreprise et la catégorie de risque envisagée ;
2. une fiche de décision exposant le besoin métier, les solutions écartées, les données utilisées, la validation humaine et le responsable désigné ;
3. un dossier fournisseur réunissant le contrat, les conditions de traitement, la documentation disponible, les engagements de sécurité, les niveaux de service, les droits d’audit, la gestion des sous-traitants et la procédure de notification d’incident ;
4. un dossier de fonctionnement contenant les versions du modèle, les tests, les résultats anormaux, les contrôles de biais ou d’erreur, les journaux utiles et les actions correctives ;
5. un dossier humain regroupant les formations, les consignes, les habilitations, les validations et les décisions prises malgré ou à la suite d’une recommandation automatique ;
6. un dossier de crise prévoyant l’arrêt de l’outil, la conservation des preuves, l’information des personnes concernées, la correction du résultat et la reprise manuelle de l’activité.

Cette architecture répond à une difficulté fréquente : l’entreprise ne possède pas toujours le code ou le modèle. Elle peut toutefois conserver la preuve de son propre comportement. Elle peut démontrer que le prestataire a été interrogé sur les données d’entraînement et les sous-traitants, que les utilisateurs ont reçu une formation, qu’une personne a validé la décision, que les accès ont été limités et que l’incident a été traité sans effacement précipité des journaux.

Le rapport de gestion offre un autre point d’attention. Le code de commerce, article L. 232-1, demande que le rapport de gestion « Décrit les principaux risques et incertitudes auxquels la société est confrontée ». Une dépendance forte à un fournisseur d’IA, une automatisation d’une fonction critique, une exposition de données confidentielles ou un incident ayant affecté les clients peuvent entrer dans cette analyse lorsque ces risques sont significatifs. La rédaction doit rester proportionnée, mais l’absence totale de réflexion peut fragiliser la cohérence entre le rapport, les décisions sociales et la réalité opérationnelle.

La gouvernance doit également traiter les conflits d’intérêts. Si la société achète une prestation d’IA à une entreprise contrôlée par un dirigeant, un associé important ou une personne liée, le prix, les garanties et le niveau de service doivent être examinés avec la procédure applicable à la forme sociale. Pour une société anonyme, l’article L. 225-38 du code de commerce prévoit que « Toute convention intervenant directement ou par personne interposée entre la société et son directeur général, l’un de ses directeurs généraux délégués, l’un de ses administrateurs, l’un de ses actionnaires disposant d’une fraction des droits de vote supérieure à 10 % ou, s’il s’agit d’une société actionnaire, la société la contrôlant au sens de l’article L. 233-3, doit être soumise à l’autorisation préalable du conseil d’administration ». L’autorisation doit être motivée par l’intérêt de la convention pour la société et ses conditions financières.

Le contrat ne doit pas se limiter à une promesse de disponibilité. Il doit prévoir l’usage autorisé des données, la localisation des traitements, la réversibilité, l’accès aux journaux, la conservation des preuves, la notification des changements de modèle, la coopération en cas de demande d’une autorité, l’assistance à la réponse d’un client ou d’un salarié, l’indemnisation négociée et la possibilité de suspendre le service. Le dirigeant qui signe un contrat sans aucune information sur la modification des performances ou la gestion d’un incident peut ensuite rencontrer une difficulté pour établir que le risque avait été maîtrisé.

Enfin, la formation doit atteindre les personnes qui utilisent réellement l’outil. La maîtrise de l’IA ne signifie pas que chaque salarié doit devenir ingénieur. Elle implique qu’un collaborateur sache repérer une hallucination, ne pas transmettre un secret, distinguer une suggestion d’une décision, vérifier une citation, signaler un résultat discriminatoire et appeler le responsable lorsque le système sort de son périmètre. Ces éléments peuvent être démontrés par des supports, des sessions, des tests simples et un registre de présence.

II. Quelle responsabilité pour le dirigeant, la société et le prestataire d’IA ?

A. Quand la responsabilité civile ou sociale peut-elle être recherchée ?

Un résultat erroné ne rend pas automatiquement le président, le gérant ou le directeur général personnellement responsable. Il faut distinguer la responsabilité de la société, la responsabilité des dirigeants envers la société ou les associés et la responsabilité personnelle envers un tiers. Cette distinction évite deux excès : croire qu’un abonnement à une IA transfère toutes les obligations au prestataire, ou considérer que chaque défaut d’un outil constitue à lui seul une faute personnelle du dirigeant.

Pour les sociétés anonymes, l’article L. 225-251 du code de commerce prévoit : « Les administrateurs et le directeur général sont responsables individuellement ou solidairement selon le cas, envers la société ou envers les tiers, soit des infractions aux dispositions législatives ou réglementaires applicables aux sociétés anonymes, soit des violations des statuts, soit des fautes commises dans leur gestion. » Cette règle invite à rechercher la décision, l’information disponible et le contrôle exercé, plutôt qu’à s’arrêter au seul fait qu’un logiciel a été utilisé.

La Cour de cassation a rappelé cette limite dans un arrêt de la chambre commerciale du 21 mai 2025, pourvoi n° 23-22.573. La décision précise que « L’existence d’une faute détachable de ses fonctions, qui s’entend d’une faute commise intentionnellement et d’une particulière gravité incompatible avec l’exercice normal des fonctions sociales, constitue une condition de fond et non de recevabilité de l’action en responsabilité personnelle du gérant d’une société à responsabilité limitée à l’égard des tiers sur le fondement de l’article L 223-22 du code de commerce ». Le texte intégral est consultable sur la décision de la Cour de cassation du 21 mai 2025.

Cette solution ne signifie pas que le dirigeant est à l’abri. Elle signifie que le tiers doit démontrer une faute personnelle présentant le caractère requis. Une validation consciente d’un outil dont le dirigeant connaît le caractère interdit, une falsification de données, une dissimulation d’un incident grave ou une décision prise dans l’intention de contourner une règle peuvent être examinées de manière différente d’une erreur technique imprévisible malgré des contrôles sérieux.

Dans un arrêt du 20 mai 2003, pourvoi n° 99-17.092, la chambre commerciale a formulé le principe suivant : « Mais attendu que la responsabilité personnelle d’un dirigeant à l’égard des tiers ne peut être retenue que s’il a commis une faute séparable de ses fonctions ; qu’il en est ainsi lorsque le dirigeant commet intentionnellement une faute d’une particulière gravité incompatible avec l’exercice normal des fonctions sociales ». Cette décision de la Cour de cassation du 20 mai 2003 reste utile pour analyser un dommage causé par une IA : le débat porte sur le comportement personnel du dirigeant, son intention éventuelle et la gravité de la faute.

Dans une SAS, l’article L. 227-8 rend applicables les règles de responsabilité des administrateurs et dirigeants de sociétés anonymes au président et aux dirigeants. Dans une SARL, l’article L. 223-22 permet en outre aux associés d’exercer l’action sociale en responsabilité lorsque la faute de gestion a causé un préjudice à la société. Une décision qui fait perdre un marché, expose un fichier client ou provoque une sanction peut donc être examinée dans la relation entre la société et son dirigeant, même si aucun tiers ne peut établir une faute détachable.

La responsabilité contractuelle doit être lue avec l’article 1103 du code civil : « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. » Cette règle, reproduite par l’article 1103 du code civil, donne une portée pratique aux clauses négociées avec le fournisseur. Si le contrat promet une conservation des journaux, un contrôle humain, un niveau de sécurité ou une notification sous un délai précis, l’entreprise doit conserver les éléments permettant de vérifier l’exécution de ces engagements. Si la clause exclut presque tout recours ou autorise une modification unilatérale du traitement des données, le risque doit être mesuré avant le déploiement.

L’article 1240 du code civil dispose également : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Le texte est accessible sur Légifrance, article 1240 du code civil. Dans un dossier d’IA, la faute peut résulter d’une absence de contrôle, d’un défaut d’information, d’une conservation illicite de données, d’une décision discriminatoire, d’une sécurité insuffisante ou d’une utilisation de l’outil hors du périmètre prévu. Le dommage et le lien de causalité doivent ensuite être démontrés.

Il faut aussi vérifier les conventions conclues avec une société liée. Pour une SAS, l’article L. 227-10 du code de commerce prévoit que le commissaire aux comptes, ou à défaut le président, présente aux associés un rapport sur certaines conventions intervenues entre la société et son président, un dirigeant ou un actionnaire disposant de plus de 10 % des droits de vote. Le même texte indique que « Les conventions non approuvées, produisent néanmoins leurs effets, à charge pour la personne intéressée et éventuellement pour le président et les autres dirigeants d’en supporter les conséquences dommageables pour la société ». Une absence d’approbation ne doit donc pas être traitée comme une formalité sans conséquence.

Un litige peut se construire autour de faits très différents :

• un candidat écarté par un outil de recrutement demande les critères appliqués et soutient que l’entreprise n’a pas mis en place de contrôle humain ;
• un client reçoit une réponse générée qui reconnaît une dette ou divulgue les informations d’un autre client ;
• un associé reproche au dirigeant d’avoir engagé une dépense importante auprès d’une société liée sans information suffisante ni comparaison des offres ;
• un partenaire commercial subit une perte parce qu’un système intégré dans le produit vendu a pris une décision sans le niveau de sécurité annoncé ;
• un salarié alerte sur l’utilisation d’un outil dans une procédure sensible et l’entreprise ne peut produire ni registre, ni formation, ni validation humaine.

Dans chacune de ces hypothèses, les preuves essentielles sont rarement le modèle lui-même. Il s’agit souvent du cahier des charges, de la fiche de risque, des courriels de validation, de la décision sociale, du contrat du fournisseur, des journaux d’accès, des versions du modèle, des tests avant mise en production, des corrections apportées et de la personne qui a finalement décidé. Les données doivent être conservées de façon loyale, sécurisée et proportionnée, mais elles ne doivent pas être supprimées au moment où une contestation apparaît.

Le dirigeant doit enfin connaître la différence entre une recommandation et une délégation de pouvoir. Une IA peut proposer une réponse, classer un dossier ou signaler une anomalie. Elle ne devient pas un organe social. Si le salarié qui utilise l’outil n’a ni compétence, ni pouvoir, ni possibilité de contredire le résultat, la prétendue validation humaine risque de rester théorique. Une validation utile suppose une consigne, un délai, un accès aux éléments pertinents et une trace de la décision finale.

B. Quelles mesures prendre immédiatement en France, à Paris et en Île-de-France ?

Une société qui n’a pas encore organisé sa conformité peut commencer par un plan court, documenté et daté. La démarche suivante est adaptée à une PME, à une start-up, à une filiale ou à une société plus importante qui doit remettre de l’ordre dans des usages dispersés.

Première étape : identifier les usages existants, y compris ceux qui ne passent pas par le service informatique. Il faut interroger les ressources humaines, les équipes commerciales, la finance, le support, la production, la direction juridique et les prestataires externes. Les comptes individuels, extensions de navigateur et outils gratuits peuvent créer un traitement de données qui n’apparaît dans aucun budget. Chaque usage reçoit un responsable, une finalité, un niveau de confidentialité et une décision temporaire : poursuivre, limiter, suspendre ou remplacer.

Deuxième étape : établir le rôle de la société. Est-elle déployeur d’un service ? Fournit-elle elle-même un système à ses clients ? Modifie-t-elle un modèle existant au point d’assumer de nouvelles obligations ? Importe-t-elle un produit ? Distribue-t-elle une solution ? Les réponses doivent être reportées dans la fiche du projet, avec le nom du fournisseur, la version du système et la date de mise à disposition. Une chaîne contractuelle floue rend les demandes d’information plus difficiles lorsque le service est fourni depuis un autre État.

Troisième étape : classer les usages par risque et par population exposée. Un chatbot de prise de rendez-vous ne se traite pas comme une IA qui trie des candidatures, évalue la solvabilité d’un client ou pilote un équipement de sécurité. Une erreur de classification doit être expliquée : le droit applicable peut évoluer si le produit, la finalité, les données ou le niveau d’autonomie change. La société doit prévoir une date de réexamen et une personne qui déclenche cette revue.

Quatrième étape : sécuriser le contrat et la circulation des données. La direction doit obtenir des réponses écrites sur la conservation des prompts, l’entraînement éventuel du modèle, les sous-traitants, les transferts, la restitution des données, les journaux, les versions, les audits et les incidents. Si le fournisseur refuse toute information, toute réversibilité ou tout contrôle, ce refus doit apparaître dans la décision de gestion. Le prix seul ne justifie pas le maintien d’un outil exposant un risque disproportionné.

Cinquième étape : mettre en place une supervision humaine véritable. La personne qui valide un résultat doit savoir ce que l’outil a reçu, ce qu’il a produit et sur quels points elle doit exercer son jugement. Pour une décision de recrutement, de crédit, de sanction interne ou de relation client, la supervision ne peut pas consister à cliquer mécaniquement sur « accepter ». Les cas douteux doivent être redirigés vers un responsable identifié, avec un délai de réponse et une procédure de correction.

Sixième étape : former et limiter les habilitations. Tout salarié n’a pas besoin d’utiliser tous les outils. Les accès doivent correspondre aux fonctions, les données confidentielles doivent être exclues par défaut et les consignes doivent dire quoi faire lorsque l’outil produit une information inventée, un contenu discriminatoire ou une citation non vérifiée. Une formation courte, répétée et documentée est souvent plus utile qu’une charte générale jamais relue.

Septième étape : préparer l’incident. L’entreprise doit savoir qui bloque l’outil, qui conserve les éléments, qui informe la direction, qui répond au client ou au salarié, qui contacte le fournisseur et qui décide de la reprise. L’équipe doit préserver la requête, la réponse, la version du modèle, le contexte, les validations, les journaux et la chronologie. Une capture d’écran seule peut être insuffisante ; elle doit être replacée dans un dossier daté et protégé.

À Paris et en Île-de-France, cette organisation concerne particulièrement les sociétés qui travaillent avec des éditeurs de logiciels, des cabinets de recrutement, des plateformes financières, des prestataires de santé, des acteurs de la publicité, des groupes de distribution ou des entreprises innovantes. La proximité d’un grand nombre de sièges sociaux, de fournisseurs numériques et d’investisseurs ne modifie pas le texte de l’AI Act, mais elle augmente la fréquence des audits, des demandes de garanties contractuelles, des opérations de financement et des échanges avec les directions juridiques. Une start-up qui prépare une levée de fonds doit pouvoir expliquer ses données et ses outils ; une PME qui répond à un appel d’offres doit pouvoir produire ses engagements de sécurité ; un groupe qui centralise ses traitements doit identifier la société qui décide et celle qui exécute.

Le ressort territorial ne se déduit pas de la seule adresse du prestataire. Une contestation peut relever d’une juridiction civile, commerciale, prud’homale ou administrative selon les parties, le contrat et la nature du dommage. Le dossier doit donc réunir le siège social, les clauses attributives de compétence, les lieux d’exécution, les personnes concernées et les demandes formulées. À Paris comme dans les départements de l’Île-de-France, cette vérification intervient avant de laisser croire qu’une seule procédure répondra à toutes les conséquences d’un incident.

Un associé ou un dirigeant qui découvre une utilisation d’IA non déclarée doit demander rapidement les documents utiles : décision d’autorisation, registre des usages, contrat fournisseur, politique de données, tests, incidents, formation, procès-verbal et rapport de gestion lorsque le risque est significatif. Un salarié ou un client doit conserver les échanges, le résultat reçu, la date, le contexte et les conséquences concrètes. Une entreprise mise en cause doit éviter deux réflexes dangereux : supprimer les historiques pour faire disparaître le problème, ou reconnaître immédiatement une responsabilité personnelle sans analyse des rôles et du dommage.

Lorsqu’un incident est déjà survenu, le conseil juridique doit être organisé autour de questions précises : le système était-il autorisé ? La personne qui l’a utilisé avait-elle une habilitation ? Les données étaient-elles nécessaires ? Le résultat a-t-il été vérifié ? Le fournisseur avait-il promis une garantie ? Un organe social a-t-il validé la dépense ou le projet ? Une personne a-t-elle été informée ou lésée ? Existe-t-il une preuve d’une intention, d’une dissimulation ou d’une négligence grave ? Les réponses déterminent la stratégie : correction interne, mise en demeure du fournisseur, information d’un associé, défense d’un dirigeant, négociation contractuelle ou action en responsabilité.

La mise en conformité ne suppose pas toujours de retirer toute IA de l’entreprise. Elle suppose de choisir les usages que la société peut expliquer, de réduire ceux qu’elle ne maîtrise pas, de documenter les décisions importantes et de donner aux personnes les moyens de contester un résultat. Cette méthode protège la société, améliore sa relation avec ses partenaires et donne au dirigeant une base concrète pour démontrer que l’innovation a été conduite dans l’intérêt social.

Conclusion

Depuis l’entrée en vigueur du règlement (UE) 2026/1744, le 2 août 2026 ne doit plus être présenté comme une échéance uniforme qui ferait basculer toutes les obligations de l’AI Act au même jour. Les entreprises doivent lire la catégorie du système, le rôle qu’elles jouent et les mesures transitoires. Les obligations de maîtrise de l’IA, de transparence, de sécurité, de contrôle et de traçabilité appellent déjà une organisation concrète.

Pour le dirigeant, le sujet devient un sujet de gouvernance : connaître les usages, décider avec les bons documents, contrôler les prestataires, former les utilisateurs, conserver les preuves et réagir sans délai. En cas de dommage, la responsabilité de la société, la responsabilité sociale du dirigeant et sa responsabilité personnelle ne se confondent pas. Une analyse sérieuse commence par la forme sociale, les statuts, les contrats, la chronologie et les preuves disponibles.

Besoin d’un avis rapide sur votre dossier

Consultation téléphonique en 48 heures avec un avocat du cabinet.
Nous analysons votre situation, vos documents et les premières mesures à prendre.

Appelez le 06 46 60 58 22 ou utilisez le formulaire de contact.

Envoyez vos pièces. Recevez une stratégie.

Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.

Appeler maintenant →Écrire au cabinet

Première analyse offerte

Réponse personnelle sous 24 h

100 % confidentiel

Jusqu’à 1 Go de pièces