Le règlement européen sur l'intelligence artificielle (AI Act) ne remplace pas le RGPD : il s'y ajoute. Dans la plupart des organisations, le DPO se retrouve naturellement en première ligne pour recenser les outils d'IA utilisés et déterminer ce que le texte impose pour chacun. La plupart des entreprises ne développent pas d'IA : elles en utilisent. Elles sont alors « déployeurs » au sens du règlement, avec des obligations plus légères que les fournisseurs, mais bien réelles.
Question 1 : s'agit-il d'une pratique interdite ?
L'article 5 interdit certaines pratiques depuis le 2 février 2025 : manipulation portant atteinte au libre arbitre, notation sociale, reconnaissance des émotions sur le lieu de travail ou dans l'enseignement (sauf raisons médicales ou de sécurité), ou encore certaines formes d'identification biométrique. Ces cas sont rares dans les outils de bureautique, mais la reconnaissance des émotions peut se nicher dans certains outils d'analyse d'entretiens ou de centres d'appels.
Question 2 : l'usage relève-t-il du haut risque ?
L'annexe III du règlement liste les domaines d'usage à haut risque. Pour une entreprise, le plus fréquent est celui de l'emploi : outils de tri de candidatures, d'évaluation des candidats, d'aide aux décisions de promotion ou de licenciement, ou de suivi de la performance des salariés. D'autres domaines concernent l'accès à des services essentiels, comme l'évaluation de la solvabilité.
Depuis le règlement dit « Omnibus numérique » (règlement (UE) 2026/1744), entré en vigueur le 27 juillet 2026, les obligations applicables aux systèmes à haut risque de l'annexe III s'appliquent à compter du 2 décembre 2027. Pour un déployeur, elles comprennent notamment l'utilisation conforme aux instructions du fournisseur, un contrôle humain effectif, la conservation des journaux et l'information des salariés concernés.
Question 3 : une obligation de transparence s'applique-t-elle ?
L'article 50, applicable depuis le 2 août 2026, prévoit des obligations de transparence : informer les personnes qu'elles interagissent avec un système d'IA (un agent conversationnel, par exemple) et signaler certains contenus générés ou manipulés par l'IA. Les assistants conversationnels et les outils de génération de contenus entrent souvent dans cette catégorie.
Question 4 : sinon, risque minimal
Les autres outils (correcteurs, traduction, assistants de rédaction internes) relèvent généralement du risque minimal, sans obligation spécifique au titre de l'AI Act. Le RGPD, lui, continue de s'appliquer pleinement dès que des données personnelles sont traitées.
Mettre la grille en pratique
- Partir de l'inventaire réel des outils d'IA, y compris ceux connectés sans validation aux comptes professionnels.
- Qualifier l'usage et non l'outil : un même assistant peut être à risque minimal pour rédiger un email et à haut risque s'il sert à évaluer des candidats.
- Documenter chaque qualification, sa justification et sa date, pour pouvoir la réviser si l'usage évolue.
- Croiser avec le RGPD : un usage à haut risque au sens de l'AI Act appelle presque toujours une AIPD.
Cette grille est un outil de tri, pas une analyse juridique : en cas de doute sur un usage sensible, notamment en matière d'emploi, un avis spécialisé reste recommandé.