AI Act : les premières règles applicables et les actions à engager dans votre organisation

Intelligence artificielle et droit Publié le 07/02/2025 Dimitri Jorand

Depuis le 2 février 2025, l'AI Act interdit certaines pratiques d'IA et impose la maîtrise de l'IA. Ce que cela change pour les déployeurs et comment agir sans attendre.

Depuis le 2 février 2025, une partie du règlement européen sur l'intelligence artificielle s'applique concrètement. La Commission européenne l'a confirmé dans un communiqué publié le 3 février 2025 : les interdictions de certaines pratiques d'IA et l'obligation de maîtrise de l'IA (AI literacy) sont désormais en vigueur. Pour un CHU, un EHPAD, une collectivité territoriale ou une entreprise privée du secteur santé et médico-social, cette échéance appelle une préparation dès maintenant. Elle appelle une vérification immédiate des usages d'IA déjà en place.

La grande majorité des lecteurs de cet article sont des déployeurs au sens du règlement, c'est-à-dire des organisations qui utilisent un système d'IA sous leur autorité, sans l'avoir conçu elles-mêmes. Un éditeur de logiciel qui construit un outil de tri de candidatures ou d'aide au codage est fournisseur. Un établissement de santé qui achète cet outil et le déploie auprès de ses équipes est déployeur. Cette distinction conditionne les obligations qui s'appliquent réellement, et elle évite d'endosser des responsabilités qui ne relèvent pas de votre rôle.

Cet article explique ce qui devient applicable dès maintenant, ce que cela signifie concrètement pour une direction, une DSI ou un service RH, et quelles actions engager sans attendre les prochaines échéances du calendrier de l'AI Act.

Ce qui devient applicable au 2 février 2025

Le règlement européen sur l'intelligence artificielle (AI Act) n'entre pas en application d'un seul bloc. Il prévoit une entrée en vigueur échelonnée, avec des échéances successives jusqu'en 2027. Le communiqué de la Commission européenne du 3 février 2025 porte sur deux volets précis, ceux dont l'échéance est fixée au 2 février 2025 :

• l'interdiction des pratiques d'IA considérées comme présentant un risque inacceptable pour les droits fondamentaux.
• l'obligation de maîtrise de l'IA, qui impose aux fournisseurs et aux déployeurs de veiller à ce que leur personnel et les autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA disposent d'un niveau suffisant de compétences.

Les autres obligations du règlement, notamment celles qui concernent les systèmes d'IA à haut risque, suivent un calendrier distinct et plus tardif. Le site euaiact.fr propose, dans un décryptage édité par DEMETER, une frise chronologique de ces échéances qui peut aider à situer votre organisation dans le temps.

La notion de système d'IA, un préalable indispensable

Avant de vérifier si un outil relève d'une pratique interdite ou d'une obligation de compétences, il faut savoir s'il s'agit bien d'un système d'IA au sens du règlement. Le texte retient une définition volontairement large : un système fondé sur une machine, conçu pour fonctionner avec un niveau d'autonomie variable, qui peut faire preuve d'une capacité d'adaptation après son déploiement, et qui, à partir des entrées qu'il reçoit, déduit la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions susceptibles d'influencer des environnements physiques ou virtuels.

Cette définition couvre un périmètre plus vaste que les seuls outils d'intelligence artificielle générative. Un logiciel de planification des soins qui priorise automatiquement des tâches, un outil de tri de CV, un chatbot d'accueil ou un dispositif de détection d'anomalies dans un dossier patient peuvent relever de cette qualification. À l'inverse, un simple tableur avec des formules figées, sans capacité d'inférence, n'en relève généralement pas. Cette vérification préalable conditionne toute la suite de l'analyse.

Les pratiques d'IA interdites, des lignes rouges à connaître

Le règlement liste des pratiques que ni un fournisseur ni un déployeur ne peuvent mettre en œuvre sur le territoire de l'Union, quel que soit le secteur. Elles concernent notamment :

• les techniques de manipulation subliminale ou trompeuse qui altèrent substantiellement le comportement d'une personne d'une manière susceptible de lui causer un préjudice.
• l'exploitation des vulnérabilités liées à l'âge, au handicap ou à une situation sociale ou économique particulière.
• la notation sociale de personnes physiques par des autorités publiques ou en leur nom, lorsqu'elle conduit à un traitement défavorable injustifié.
• certains usages de la reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement, sauf exceptions médicales ou de sécurité strictement encadrées.
• certains usages de la catégorisation biométrique et de l'identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives, dans des conditions très encadrées.

Pour un établissement de santé ou médico-social, l'usage le plus sensible concerne la reconnaissance des émotions. Un outil qui analyserait le ton de voix ou les expressions faciales d'agents pour évaluer leur charge émotionnelle au travail, hors finalité médicale ou de sécurité strictement justifiée, entre potentiellement dans le champ de l'interdiction. Un décryptage détaillé de ces pratiques, avec des exemples concrets, est disponible sur euaiact.fr dans sa page dédiée aux pratiques interdites, à titre d'éclairage non contraignant édité par DEMETER.

L'obligation de maîtrise de l'IA, une exigence organisationnelle

La deuxième obligation applicable depuis le 2 février 2025 concerne l'AI literacy, traduite en français par maîtrise de l'IA ou littératie de l'IA. Elle impose aux fournisseurs et aux déployeurs de systèmes d'IA de prendre des mesures pour garantir, dans la mesure du possible, un niveau suffisant de maîtrise de l'IA de leur personnel et de toute autre personne chargée de l'utilisation et du fonctionnement des systèmes d'IA en leur nom.

Cette obligation s'inscrit dans la durée, au-delà d'une formation ponctuelle. Elle suppose une prise en compte du contexte d'utilisation, du niveau de connaissances, d'expérience et d'éducation du personnel concerné, ainsi que du public auprès duquel les systèmes d'IA seront utilisés. Un agent qui saisit des informations dans un outil d'aide à la décision clinique n'a pas les mêmes besoins de compétences qu'un cadre RH qui pilote un projet de déploiement d'IA générative pour l'ensemble d'un service.

Ce que cela signifie pour la fonction publique hospitalière et le secteur associatif

Pour un GHT, un centre hospitalier ou une association gestionnaire de MAS/FAM, cette obligation rejoint des dispositifs de formation déjà connus : plan de développement des compétences, mobilisation de l'ANFH ou du CNFPT selon le statut des agents, ou de l'OPCO Santé pour le secteur privé non lucratif et lucratif. La nouveauté tient au fait que cette montée en compétences devient une obligation légale explicite, et non plus seulement une bonne pratique de gestion des ressources humaines.

Exemples sectoriels concrets

Un centre hospitalier qui utilise un outil de reconnaissance vocale pour la rédaction de comptes rendus médicaux doit s'assurer que cet usage ne dérive pas vers une analyse des émotions du praticien à son insu, et doit inscrire cet outil dans son plan de formation aux compétences numériques et à l'IA. Un SSIAD qui teste un assistant conversationnel pour orienter les familles doit vérifier que l'outil n'exploite pas la vulnérabilité de personnes âgées ou de proches aidants en situation de détresse, ce qui relèverait d'une pratique interdite.

Une collectivité territoriale qui envisage un outil de notation des dossiers d'aide sociale doit être particulièrement vigilante : une notation sociale de personnes physiques par une autorité publique, si elle conduit à un traitement défavorable disproportionné ou hors contexte, est expressément visée par l'interdiction. Une entreprise privée du secteur médico-social qui déploie un copilote de rédaction pour ses équipes RH doit, elle, se concentrer sur l'obligation de maîtrise de l'IA plutôt que sur les pratiques interdites, son usage n'étant a priori pas concerné par ces dernières.

Le plan d'action à engager maintenant

1. Recenser les systèmes d'IA en usage. Établir ou mettre à jour un registre des outils utilisés par les services, en identifiant pour chacun le fournisseur, la finalité et les utilisateurs concernés.
2. Qualifier le rôle juridique de l'organisation. Déterminer, pour chaque outil, si l'organisation agit comme déployeur, et écarter les obligations de fournisseur si aucun système n'est développé en interne pour être mis sur le marché.
3. Passer chaque usage au filtre des pratiques interdites. Vérifier en particulier les usages liés à la reconnaissance des émotions, à la notation de personnes et à l'exploitation de vulnérabilités.
4. Documenter les vérifications effectuées. Conserver une trace écrite des analyses menées, utile en cas de contrôle ou de question interne.
5. Construire un plan de maîtrise de l'IA. Adapter le contenu de la formation selon les publics : utilisateurs opérationnels, encadrement, DSI, direction.
6. Mobiliser les dispositifs de formation existants. S'appuyer sur l'ANFH, le CNFPT ou l'OPCO Santé selon le statut des agents et salariés concernés.
7. Planifier une revue à échéance régulière. Prévoir un point d'étape avant les prochaines échéances du calendrier de l'AI Act, notamment celles relatives aux systèmes à haut risque.

Objections fréquentes

« Nous n'utilisons pas d'IA. » Cette affirmation mérite d'être vérifiée en détail : de nombreux logiciels métiers intègrent désormais des fonctions de recommandation, de tri automatique ou de génération de texte sans que cela soit toujours présenté comme de l'intelligence artificielle. Un contact avec les éditeurs des logiciels utilisés permet souvent de lever le doute.

« La formation de nos agents suffit déjà. » L'obligation de maîtrise de l'IA dépasse une formation générale au numérique. Elle doit être adaptée à la fonction exercée, au contexte d'utilisation de chaque outil et au niveau d'autonomie laissé aux personnes qui utilisent l'IA dans leur travail quotidien.

Ce que votre organisation peut faire maintenant

Trois actions sont réalisables dans les prochaines semaines sans attendre un budget conséquent ou une réorganisation lourde. La première consiste à réunir la DSI, la direction qualité et les ressources humaines pour dresser la première version du registre des usages d'IA. La deuxième consiste à identifier, parmi ces usages, ceux qui touchent à l'évaluation de personnes, à la détection d'émotions ou à des publics vulnérables, pour les examiner en priorité au regard des pratiques interdites. La troisième consiste à lancer une première session de sensibilisation à destination de l'encadrement, avant de déployer un parcours de formation plus complet pour l'ensemble du personnel concerné.

• Un registre des systèmes d'IA utilisés existe et mentionne le fournisseur de chaque outil.
• Le statut de déployeur, fournisseur ou les deux a été vérifié pour chaque système recensé.
• Aucun usage identifié ne relève d'une reconnaissance des émotions non justifiée au travail.
• Aucun usage identifié ne relève d'une notation sociale ou d'une exploitation de vulnérabilités.
• Un plan de formation à la maîtrise de l'IA est engagé pour les équipes concernées.
• Un dispositif de financement de la formation (ANFH, CNFPT, OPCO Santé) a été identifié.
• Une date de revue du dispositif est fixée avant la prochaine échéance du calendrier de l'AI Act.

Conclusion

Le 2 février 2025 marque le premier jalon concret du règlement européen sur l'intelligence artificielle. Pour une organisation déployeuse, cela se traduit par deux priorités immédiates : vérifier qu'aucun usage ne relève d'une pratique interdite, et engager un plan de maîtrise de l'IA adapté aux différents métiers. Ces deux chantiers, menés avec méthode, préparent également le terrain pour les échéances suivantes, notamment celles qui concerneront les systèmes d'IA à haut risque dans le secteur de la santé. Pour aller plus loin sur la classification des risques et la structuration d'une gouvernance interne, consultez nos articles dédiés à la methode SMART pour fixer des objectifs utiles en etablissement de sante et à santé mentale, Grande cause 2025 : construire une politique d'établissement crédible.

Pour approfondir le calendrier complet des échéances du règlement et le détail des pratiques interdites, le site euaiact.fr propose des décryptages édités par DEMETER, notamment sur son calendrier de l'AI Act, sa page consacrée aux pratiques interdites et son dossier sur les compétences et la maîtrise de l'IA. Ces pages, non contraignantes, complètent la lecture du texte officiel et des lignes directrices de la Commission européenne.

Pour structurer ces travaux, DEMETER accompagne les établissements de santé et médico-social, les collectivités et les entreprises dans la mise en œuvre de leurs obligations, du diagnostic à la formation des équipes. Voir nos articles sur stratégie nationale IA et données de santé : les décisions à préparer dès maintenant, sur schéma directeur immobilier en santé : piloter un projet qui relie soins, usages et climat, sur plan psychiatrie 2025 : repérer, soigner et reconstruire dans les territoires, sur former les agents publics à l'IA : traduire le cadre DGAFP en parcours par métier et sur IA éthique en santé : appliquer le guide d'implémentation à un projet réel.

Questions fréquentes

Qu'est-ce qu'un déployeur au sens de l'AI Act ?

Un déployeur est une organisation qui utilise un système d'IA sous sa propre autorité, sans l'avoir développé pour le mettre sur le marché. La plupart des établissements de santé, collectivités et entreprises qui utilisent des outils d'IA achetés auprès d'éditeurs sont dans cette situation. Cette qualification détermine les obligations qui s'appliquent réellement à l'organisation.

Quelles obligations sont applicables depuis le 2 février 2025 ?

Deux volets du règlement sont applicables depuis cette date : l'interdiction de certaines pratiques d'IA jugées inacceptables et l'obligation de maîtrise de l'IA pour les fournisseurs et les déployeurs. Les autres obligations, notamment celles relatives aux systèmes à haut risque, suivent un calendrier ultérieur.

Qu'est-ce que la maîtrise de l'IA ou AI literacy ?

Il s'agit de l'obligation, pour les fournisseurs et les déployeurs, de veiller à ce que leur personnel dispose d'un niveau suffisant de compétences pour utiliser les systèmes d'IA de manière éclairée, en tenant compte du contexte d'utilisation et du public concerné.

Un outil de reconnaissance vocale médicale est-il concerné par les pratiques interdites ?

Pas en tant que tel. Le risque apparaîtrait si l'outil dérivait vers une analyse des émotions du professionnel de santé à son insu, en dehors d'une finalité médicale ou de sécurité strictement justifiée, ce qui relèverait alors d'une pratique interdite.

Les lignes directrices publiées par la Commission sont-elles obligatoires ?

Non. Elles interprètent le règlement pour en faciliter l'application mais ne sont pas contraignantes en elles-mêmes. Le règlement lui-même, publié au Journal officiel de l'Union européenne, reste la seule source juridiquement opposable.

Par où commencer concrètement dans un établissement de santé ?

La première étape consiste à recenser les systèmes d'IA réellement utilisés par les services, à vérifier leur finalité et à écarter tout usage qui relèverait d'une pratique interdite, avant d'engager un plan de formation à la maîtrise de l'IA adapté à chaque métier.