L’AI Act pour les entreprises qui déploient des agents IA et des chatbots

Si votre entreprise utilise des agents IA ou des chatbots construits sur le modèle d’un tiers, le règlement européen sur l’IA (AI Act) vous traite principalement comme un déployeur. Pour les agents d’entreprise courants, deux obligations s’appliquent déjà : la maîtrise de l’IA pour les personnes qui les utilisent (article 4, depuis le 2 février 2025) et, pour tout ce qui dialogue avec des clients ou des collaborateurs, une information claire indiquant qu’ils ont affaire à une IA (article 50, depuis le 2 août 2026). Les agents utilisés pour le recrutement, l’évaluation du personnel ou l’évaluation de la solvabilité sont à haut risque, mais ces obligations ont été reportées par l’omnibus numérique et commencent désormais le 2 décembre 2027.

Ce guide s’adresse aux dirigeants, directeurs des opérations et responsables informatiques qui déploient des agents, et non à ceux qui entraînent des modèles. Il explique quel rôle vous occupez, où se situent les agents courants, ce qui a changé en juillet 2026 et ce qu’il faut documenter avant la mise en production de votre premier agent.

#Fournisseur ou déployeur : quel est votre rôle

L’AI Act répartit les obligations selon le rôle. Un fournisseur développe un système d’IA, ou le fait développer, et le met sur le marché ou en service sous son propre nom (article 3, point 3). Un déployeur utilise un système d’IA sous sa propre autorité dans un cadre professionnel (article 3, point 4). L’éditeur du modèle est le fournisseur du modèle d’IA à usage général ; les obligations relatives à ces modèles s’appliquent depuis le 2 août 2025 et ne vous incombent pas.

La zone grise, c’est l’agent lui-même. Si vous achetez un produit fini, par exemple un outil de helpdesk doté d’un assistant intégré, vous en êtes le déployeur. Si vous, ou une agence, construisez un agent sur l’API d’un modèle et l’exploitez sous votre propre marque, vous êtes en général le fournisseur de ce système d’IA en plus d’en être le déployeur. Pour un chatbot en contact avec les clients, cela change peu de chose en pratique, car l’obligation d’information incombe à celui qui construit le système, et c’est vous dans les deux cas.

#Les catégories de risque, et où se situent les agents d’entreprise courants

Le règlement ne prévoit aucune catégorie spécifique pour les agents. Ce qui compte, c’est la finalité pour laquelle un agent est utilisé, et non le fait qu’il converse, appelle des outils ou agisse de manière autonome. Il existe quatre niveaux : les pratiques interdites (article 5), les systèmes à haut risque (article 6, avec les annexes I et III), les systèmes soumis à des obligations de transparence (article 50) et tout le reste, qui n’entraîne que l’obligation générale de maîtrise de l’IA.

Deux détails piègent souvent. D’abord, l’article 6, paragraphe 3 permet à certains systèmes de l’annexe III d’échapper à la qualification de haut risque s’ils n’accomplissent qu’une tâche procédurale étroite ou préparatoire, mais jamais lorsque le système effectue un profilage de personnes physiques, et classer des candidats constitue un profilage. Ensuite, la détection de la fraude est expressément exclue de la catégorie de l’évaluation de la solvabilité : un agent de paiement qui signale des transactions suspectes n’est donc pas à haut risque à ce titre.

#Le calendrier, et ce que l’omnibus numérique a changé

Le 19 novembre 2025, la Commission européenne a proposé un omnibus numérique sur l’IA pour simplifier l’AI Act et reporter les règles relatives au haut risque, faute de normes harmonisées prêtes à temps. Le Parlement et le Conseil sont parvenus en mai 2026 à un accord politique qui a remplacé le déclenchement flexible proposé par la Commission par des dates fixes. Le texte a été adopté sous la forme du règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026 et en vigueur depuis le 27 juillet 2026. C’est du droit en vigueur, pas une proposition.

Ce que l’omnibus n’a pas fait compte tout autant. Il n’a pas touché à la date de transparence de l’article 50, il n’a supprimé aucune obligation à haut risque (il en a déplacé les dates) et il a maintenu la maîtrise de l’IA comme obligation des fournisseurs et des déployeurs, bien qu’en termes plus souples. Ne le confondez pas avec la proposition distincte d’omnibus numérique qui modifierait le RGPD : au moment de la rédaction, celle-ci est encore en cours de procédure législative ; tenez donc compte du RGPD tel qu’il est aujourd’hui.

#La transparence des chatbots selon l’article 50

L’article 50, paragraphe 1 est la règle que tout agent en contact avec la clientèle doit respecter. Il s’applique depuis le 2 août 2026, et les amendes en cas de violation peuvent atteindre 15 000 000 € ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (pour les PME, le moins élevé), en vertu de l’article 99, paragraphe 4.

Les lignes directrices de la Commission sur l’article 50, adoptées le 20 juillet 2026, rendent cette règle concrète. L’exception selon laquelle la nature de l’interaction « ressort clairement » doit être interprétée de manière restrictive : ne comptez donc pas dessus. L’information doit intervenir au plus tard lors de la première interaction, être intégrée à la conception du système et être claire : une ligne cachée dans les conditions générales ne suffit pas. Les formats texte, audio ou visuel sont tous acceptables, de sorte qu’un agent vocal peut l’annoncer en début d’appel. Le système doit aussi répondre sincèrement chaque fois qu’on lui demande s’il est un bot et, dans les contextes sensibles, comme les questions de santé ou les utilisateurs vulnérables, des rappels périodiques peuvent être nécessaires.

L’article 50 comporte trois autres volets. Les fournisseurs de systèmes génératifs doivent marquer leurs sorties dans un format lisible par machine (paragraphe 2). Les déployeurs de systèmes de reconnaissance des émotions ou de catégorisation biométrique doivent informer les personnes qui y sont exposées (paragraphe 3). Les déployeurs qui publient des hypertrucages (deepfakes), ou des textes générés par l’IA destinés à informer le public sur des questions d’intérêt public sans responsabilité éditoriale humaine, doivent le signaler (paragraphe 4). Un agent qui rédige des réponses aux clients qu’un humain relit puis envoie échappe en général au paragraphe 4, car cette disposition vise les publications d’intérêt public, mais vérifiez les lignes directrices pour votre cas précis.

#La maîtrise de l’IA selon l’article 4

L’article 4 s’applique depuis le 2 février 2025 à tous les fournisseurs et déployeurs, quel que soit le niveau de risque. L’omnibus a remplacé l’obligation initiale de « garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA » par une obligation de la favoriser, applicable depuis le 27 juillet 2026.

Le nouveau texte précise que vous n’êtes pas tenu de garantir un niveau de maîtrise donné pour une personne en particulier. Vous devez pourtant agir. Les questions-réponses de la Commission sur la maîtrise de l’IA indiquent qu’aucun certificat n’est exigé et qu’aucun format n’est imposé, que s’en remettre uniquement à la notice d’utilisation de l’éditeur ne suffit généralement pas, et qu’il est judicieux de tenir un registre interne des formations et des consignes. Les autorités nationales en assurent la surveillance depuis août 2026, et le règlement ne prévoit pas d’amende spécifique pour l’article 4 lui-même.

En pratique, adaptez-la à chaque rôle : une courte session pour tous sur ce que fait l’agent, là où il échoue et ce qu’il ne faut jamais y saisir ; une formation plus poussée pour les personnes qui le configurent, relisent ses résultats ou traitent les escalades ; et un responsable désigné qui tient les supports à jour lorsque l’agent évolue.

#Le haut risque dans les RH : ce que les déployeurs devront à partir de décembre 2027

Le recrutement et la gestion du personnel sont le terrain où la plupart des entreprises de taille moyenne rencontrent les règles relatives au haut risque. L’annexe III, point 4 couvre les systèmes de recrutement ou de sélection (y compris la diffusion d’offres d’emploi ciblées, le filtrage des candidatures et l’évaluation des candidats) ainsi que les systèmes qui prennent ou appuient des décisions de promotion, de licenciement, d’attribution de tâches fondée sur le comportement ou les traits personnels, et de suivi des performances. À partir du 2 décembre 2027, les déployeurs de ces systèmes doivent respecter l’article 26 :

• Utiliser le système conformément à la notice d’utilisation du fournisseur.
• Confier le contrôle humain à des personnes disposant de la compétence, de la formation et de l’autorité nécessaires pour passer outre.
• Veiller à ce que les données d’entrée que vous maîtrisez soient pertinentes et suffisamment représentatives au regard de la finalité.
• Surveiller le fonctionnement, signaler les incidents graves et les risques au fournisseur et à l’autorité, et suspendre l’utilisation si nécessaire.
• Conserver les journaux générés automatiquement pendant au moins six mois.
• Informer les représentants des travailleurs et les salariés concernés avant la mise en service du système sur le lieu de travail.
• Informer les candidats et les salariés qu’un système à haut risque est utilisé dans les décisions qui les concernent ; l’article 86 ajoute un droit à l’explication.

En Allemagne, le comité d’entreprise (Betriebsrat) intervient de toute façon : l’introduction de dispositifs techniques propres à surveiller le comportement ou les performances des salariés est soumise à codétermination en vertu de l’article 87, paragraphe 1, point 6 du BetrVG. Le délai supplémentaire jusqu’en 2027 est à mettre à profit pour choisir des éditeurs qui fourniront la documentation dont vous avez besoin, pas pour attendre.

#Comment l’AI Act et le RGPD s’articulent

L’AI Act encadre le système ; le RGPD encadre les données personnelles qui y circulent. Un agent qui lit des e-mails de clients, des CV ou des factures comportant des noms traite des données personnelles : toutes les obligations du RGPD s’appliquent donc en parallèle. Les autorités allemandes de protection des données ont présenté leurs attentes dans l’orientation de la DSK sur l’IA et la protection des données.

• Base juridique (article 6 du RGPD). L’AI Act ne vous en fournit aucune. Désignez-en une pour chaque finalité, y compris toute utilisation des historiques de conversation pour améliorer l’agent.
• Contrat de sous-traitance et transferts (articles 28 et 44 et suivants). L’éditeur du modèle et la plateforme d’agents sont généralement des sous-traitants. Signez un contrat de traitement des données (DPA), vérifiez où les données sont stockées et traitées, et désactivez l’entraînement sur vos données lorsque l’éditeur le permet.
• Décisions automatisées (article 22). Les décisions produisant des effets juridiques ou des effets similaires significatifs ne peuvent pas être fondées exclusivement sur un traitement automatisé sans exception spécifique. Dans l’arrêt SCHUFA (C-634/21), la Cour de justice a jugé qu’un score peut lui-même constituer une telle décision lorsqu’il joue un rôle déterminant.
• Analyse d’impact relative à la protection des données, AIPD (article 35). Attendez-vous à devoir en réaliser une pour le tri RH, la notation ou la surveillance à grande échelle. Pour les systèmes à haut risque, l’article 26, paragraphe 9 vous demande d’utiliser à cet effet les informations du fournisseur, et une analyse d’impact sur les droits fondamentaux au titre de l’article 27 peut s’appuyer sur elle.
• Transparence (articles 13 et 14). Mettez à jour vos politiques de confidentialité pour qu’elles évoquent l’agent, ce qu’il traite et qui reçoit les données.

#Que documenter, et une checklist pour votre premier agent

Prenons une entreprise fictive de 300 salariés qui déploie un agent de service client chargé de répondre aux questions sur les commandes et de préparer des remboursements soumis à validation humaine. Son dossier n’a pas besoin d’être long, mais il doit exister avant la mise en production et être mis à jour chaque fois que le périmètre de l’agent change. Une autorité, un auditeur ou un comité d’entreprise demandera les mêmes choses : ce qu’est le système, pourquoi vous l’avez classé ainsi et comment les humains gardent le contrôle.

#Comment nous pouvons vous aider

Bespoke IT conçoit et développe des agents IA pour des entreprises en Allemagne, en Autriche et en Suisse, et nous traitons les points de l’AI Act et du RGPD évoqués ci-dessus comme des exigences de conception dès le premier atelier. Si vous souhaitez un regard extérieur sur les processus qui valent la peine d’être automatisés et sur leur classification, commencez par notre audit IA gratuit. Pour la validation juridique, nous vous dirons quand faire appel à votre avocat ou à votre délégué à la protection des données.