L’AI Act européen est en vigueur. Depuis août 2025, les premières obligations touchent déjà les entreprises qui déploient des chatbots IA. Pour les DSI, DPO et directeurs juridiques, l’enjeu est de comprendre ce qui s’applique concrètement aujourd’hui, et ce qui entrera en vigueur dans les mois suivants.
Quel est le calendrier réel d’application de l’AI Act ?
L’AI Act s’applique par étapes échelonnées sur 36 mois à partir de son entrée en vigueur en août 2024, avec des jalons clés en 2025 et 2026.
Le règlement (UE) 2024/1689, dit AI Act, a été publié au Journal officiel de l’Union européenne en juillet 2024 et est entré en vigueur le 1er août 2024. Mais son application est progressive :
- Février 2025 : les pratiques d’IA interdites (manipulation subliminale, notation sociale, biométrie prédictive non justifiée, etc.) sont désormais illégales.
- Août 2025 : les obligations applicables aux fournisseurs de modèles d’IA à usage général (GPAI), comme les LLM sous-jacents aux chatbots, sont entrées en vigueur. Cela inclut les exigences de documentation technique et de transparence sur les données d’entraînement.
- Août 2026 : les obligations complètes pour les systèmes à risque élevé (annexe III du règlement) deviennent applicables. C’est le jalon le plus structurant pour les entreprises utilisatrices.
- Août 2027 : extension aux systèmes d’IA intégrés dans des produits régulés (dispositifs médicaux, machines, jouets).
Selon la Commission européenne, ce calendrier échelonné vise à laisser aux entreprises et aux fournisseurs le temps de s’adapter sans bloquer l’innovation. Concrètement, pour les DSI : les obligations de transparence sur les chatbots sont déjà en vigueur. Le reste dépend du niveau de risque de votre système.
Comment classifier un chatbot d’entreprise sous l’AI Act ?
La majorité des chatbots d’assistance interne (base de connaissances, FAQ, support IT) sont classés “risque limité” : obligations de transparence uniquement, sans évaluation de conformité formelle.
L’AI Act distingue quatre niveaux de risque. Pour les chatbots d’entreprise, deux niveaux sont pertinents :
Risque inacceptable (interdit) : ne s’applique pas aux chatbots d’entreprise standard. Il vise les systèmes de manipulation ou de surveillance de masse.
Risque élevé : concerne les chatbots jouant un rôle décisionnel dans des domaines listés à l’annexe III : recrutement et sélection du personnel, évaluation des employés, accès à des services essentiels (crédit, assurance), gestion des infrastructures critiques, application de la loi. Si votre chatbot filtre des candidatures ou note des entretiens, il entre dans cette catégorie.
Risque limité : c’est la catégorie de la grande majorité des chatbots d’entreprise. Un assistant qui répond aux questions sur les procédures internes, les politiques RH, les produits ou les tickets de support est à risque limité. Les obligations sont principalement des obligations de transparence.
Risque minimal : les systèmes sans interaction directe avec des décisions ou des individus. Les filtres anti-spam en sont l’exemple le plus cité.
La Commission européenne précise dans sa documentation officielle que la grande majorité des systèmes d’IA actuellement utilisés dans l’Union européenne relèvent du risque minimal ou limité, les systèmes à risque élevé représentant une minorité ciblée dans des secteurs spécifiques.
Quelles obligations s’appliquent aux chatbots à risque limité ?
Pour un chatbot “risque limité”, l’AI Act impose une seule obligation centrale : informer clairement l’utilisateur qu’il interagit avec un système d’IA, sauf si cela est évident.
L’article 50 de l’AI Act précise cette obligation de transparence. Elle s’applique dès lors que le chatbot est susceptible d’interagir avec des personnes physiques. En pratique, pour un déployeur d’entreprise, cela signifie :
-
Identifier l’IA dans l’interface : le chatbot doit être clairement présenté comme un assistant automatisé. Une mention du type “Assistant IA” dans le titre ou l’en-tête de la fenêtre de chat suffit. Aucune formule normalisée n’est imposée par le règlement.
-
Ne pas se faire passer pour un humain : si un utilisateur demande explicitement s’il parle à un humain ou à une machine, le chatbot doit répondre honnêtement. Les chatbots qui imitent délibérément un conseiller humain sans signalement violent l’article 50.
-
Permettre la prise de conscience de l’automatisation : l’utilisateur doit pouvoir savoir, à tout moment, qu’il n’est pas en train d’échanger avec un humain.
Ces obligations sont simples à respecter pour les plateformes sérieuses. Elles sont déjà implémentées dans RAG Weaver : chaque interface déployée affiche une mention “assistant IA” configurable par le déployeur.
Qui est responsable : le fournisseur ou l’entreprise déployeuse ?
L’AI Act distingue clairement les responsabilités : le fournisseur garantit la conformité du système, le déployeur garantit un usage conforme. Les deux cumulent des obligations distinctes.
Cette distinction est fondamentale pour les DSI. L’article 3 de l’AI Act définit :
- Le fournisseur (provider) : l’entité qui développe, met sur le marché ou met en service un système d’IA. Dans le cas d’un chatbot d’entreprise, c’est la société éditrice de la plateforme (RAG Weaver, par exemple).
- Le déployeur (deployer) : l’entité qui utilise un système d’IA dans un contexte professionnel. C’est l’entreprise cliente qui déploie le chatbot auprès de ses collaborateurs ou de ses clients.
Obligations du fournisseur (pour les systèmes à risque limité) : documentation technique sur le système, respect des règles de transparence, signalement des incidents graves à l’autorité nationale compétente.
Obligations du déployeur (votre entreprise) : s’assurer que l’usage du système est conforme à sa destination prévue, informer les utilisateurs finaux, mettre en place une supervision humaine appropriée, et ne pas modifier le système d’une façon qui augmente son niveau de risque.
La distinction protège les déployeurs sur un point essentiel : vous n’avez pas à refaire l’évaluation de conformité technique du modèle sous-jacent. C’est la responsabilité de votre fournisseur. Votre responsabilité porte sur la manière dont vous déployez et utilisez le système.
Quels sont les 10 points à vérifier avant de déployer un chatbot IA ?
Avant toute mise en production, vérifiez ces 10 points. Les 4 premiers s’appliquent à tous les chatbots. Les 6 suivants ajoutent des couches de robustesse pour une conformité durable.
Cette checklist est conçue pour les DSI, DPO et responsables juridiques. Elle se concentre sur les chatbots à risque limité (assistance interne, support, base de connaissances).
Points obligatoires (risque limité)
- Mention IA visible dans l’interface : le chatbot est identifié comme assistant automatisé dans l’en-tête ou à l’ouverture de la session.
- Réponse honnête sur la nature du système : si l’utilisateur demande s’il parle à un humain, le chatbot répond non.
- DPA signé avec le fournisseur de la plateforme : cf. article 28 RGPD, toujours couplé à la conformité AI Act.
- Vérification du périmètre d’usage : confirmer que le chatbot n’intervient pas dans des décisions listées à l’annexe III (recrutement, crédit, contrôle d’accès critique).
Points de robustesse recommandés
- Registre de traitement mis à jour : le déploiement du chatbot crée une nouvelle activité de traitement de données, à documenter au registre RGPD.
- Procédure de signalement des incidents : en cas de dysfonctionnement ou d’usage abusif, qui est alerté, comment et en combien de temps ?
- Durée de rétention des journaux de conversation définie : pas de conservation indéfinie. Une durée de 90 à 180 jours est courante pour les usages internes.
- Documentation des sources utilisées par le chatbot : quels documents sont indexés, qui les a validés, qui peut les mettre à jour ?
- Canal d’escalade vers un humain : l’utilisateur peut-il facilement solliciter un interlocuteur humain depuis l’interface ?
- Information des représentants du personnel : pour un usage interne, le CSE ou les délégués syndicaux ont été informés du déploiement, conformément au code du travail article L. 2312-38.
Comment l’AI Act et le RGPD s’articulent-ils pour les chatbots ?
L’AI Act et le RGPD ne sont pas redondants : le RGPD protège les données personnelles, l’AI Act régit le comportement du système d’IA. Un chatbot doit satisfaire aux deux simultanément.
C’est une confusion fréquente dans les équipes DSI : penser que la conformité RGPD suffit, ou inversement que l’AI Act se substitue au RGPD. Les deux textes s’appliquent en parallèle et couvrent des périmètres distincts.
Le RGPD couvre : la licéité du traitement, la durée de conservation, les droits des personnes (accès, effacement, portabilité), les transferts hors UE, et la sécurité des données personnelles contenues dans les conversations. Nous avons détaillé ces obligations dans notre guide chatbot IA RGPD pour les ETI françaises.
L’AI Act couvre : la transparence sur la nature automatisée du système, l’absence de manipulation de l’utilisateur, la documentation technique du système, et les exigences de supervision humaine. Il ne parle pas de bases légales de traitement ni de droits des personnes physiques.
Les deux textes se croisent sur un point : l’information des utilisateurs. Le RGPD exige une information sur le traitement des données personnelles. L’AI Act exige une information sur la nature automatisée de l’interaction. Ces deux mentions peuvent coexister dans une même banière ou politique de confidentialité, à condition d’être claires et distinctes.
Pour les entreprises déjà conformes RGPD, l’adaptation à l’AI Act pour un chatbot à risque limité est généralement incrémentale : quelques ajustements d’interface et une mise à jour de la documentation.
Un chatbot RH d’aide au recrutement est-il à risque élevé ?
Oui. L’annexe III de l’AI Act classe explicitement dans “risque élevé” tout système d’IA utilisé pour le recrutement ou la sélection de personnel, y compris l’analyse de CV et l’évaluation de candidats.
C’est le cas d’usage qui concentre le plus de risques réglementaires dans les équipes RH. Un chatbot RH qui répond aux questions des collaborateurs sur les congés ou la mutuelle est à risque limité. Mais dès qu’il participe à une décision concernant le recrutement ou l’évaluation d’un employé, il bascule dans la catégorie risque élevé.
Les obligations supplémentaires pour les systèmes à risque élevé incluent :
- Une évaluation de conformité documentée avant le déploiement
- Un système de gestion des risques tout au long du cycle de vie
- Des données d’entraînement et de test documentées et auditables
- Une journalisation automatique des décisions assistées par l’IA
- Une surveillance humaine obligatoire sur les décisions prises avec l’aide du système
- Un enregistrement auprès de la base de données EU AI Act (pour les fournisseurs)
Pour les entreprises qui souhaitent déployer un chatbot RH, la distinction est donc critique : assistance à l’information (risque limité) versus aide à la décision sur les individus (risque élevé). Nous l’avons traité en détail dans notre guide chatbot IA ressources humaines.
Selon une analyse de l’European Labour Authority publiée en 2025, les outils d’IA utilisés dans le recrutement doivent également satisfaire aux exigences de non-discrimination prévues par le droit du travail européen, indépendamment de l’AI Act.
Que ne couvre pas l’AI Act pour un chatbot d’assistance interne classique ?
L’AI Act ne couvre pas la qualité des réponses, les hallucinations, la pertinence des résultats ni les accords de niveau de service. Ces aspects relèvent du contrat avec votre fournisseur.
C’est un point souvent mal compris lors des audits de conformité. L’AI Act n’est pas un standard de qualité pour les systèmes d’IA : il ne régit pas la précision des réponses, la fiabilité du système (uptime), ou le risque de génération de contenu inexact. Ces aspects relèvent entièrement de la relation contractuelle avec votre fournisseur.
De même, l’AI Act ne couvre pas :
- Les performances du moteur RAG : la pertinence des résultats de recherche dans vos documents n’est pas une obligation réglementaire.
- Les coûts opérationnels : le règlement ne parle pas de tarification, de consommation de tokens ou d’optimisation des coûts LLM.
- L’intégration aux outils existants : la connexion à SharePoint, Confluence ou Teams n’est pas réglementée par l’AI Act.
- La satisfaction des utilisateurs : l’expérience conversationnelle et le taux d’adoption sont des métriques métier, pas réglementaires.
Ce périmètre délimité est une bonne nouvelle pour les DSI : la conformité AI Act pour un chatbot d’assistance interne standard est atteignable rapidement, sans refonte de l’architecture ni audit externe coûteux.
Pour aller plus loin sur les aspects RGPD (qui s’appliquent en complément), notre checklist RGPD pour les chatbots d’entreprise en anglais couvre les 7 points de contrôle à valider avec votre DPO.
RAG Weaver et la conformité AI Act : ce que couvre la plateforme
L’AI Act impose des obligations au fournisseur et au déployeur. RAG Weaver prend en charge la partie fournisseur : documentation technique du système, transparence de l’interface (mention IA configurable), absence de pratiques interdites, et mise à jour au fil des évolutions réglementaires.
En tant que déployeur, votre entreprise reste responsable de la définition du périmètre d’usage, de la mise à jour du registre de traitement, et de l’information des utilisateurs finaux.
Pour auditer votre situation ou déployer un chatbot conforme dès aujourd’hui, contactez notre équipe ou consultez nos formules d’accompagnement.