Second volet de notre série réglementaire, après « Pourquoi le cloud US est un choix réglementaire ». Ici : ce que l'AI Act exige concrètement d'un RSSI qui déploie de l'IA, et comment s'y préparer sans y passer ses nuits.
La chronologie à retenir (et déjà en cours)
L'AI Act (règlement UE 2024/1689) est entré en vigueur le 1er août 2024. Ses obligations s'appliquent par vagues :
| Date | Ce qui commence à s'appliquer |
|---|---|
| 2 février 2025 | Interdictions (usages IA prohibés) + littératie IA (obligation de former les utilisateurs) |
| 2 août 2025 | Règles GPAI (modèles à usage général), gouvernance, sanctions |
| 2 août 2026 | Le gros morceau : obligations systémiques des systèmes à haut risque (annexe III) |
| 2 août 2027 | IA haut risque embarquée dans des produits réglementés (annexe I) |
Ce qui compte pour un RSSI en 2026 : tout ce qu'il faut avoir en place avant le 2 août 2026, c'est-à-dire maintenant.
La classification : où votre cas d'usage se range
L'AI Act classe les systèmes d'IA en 4 niveaux. Pour une plateforme Voice AI, la grille est :
| Niveau | Exemple Voice AI | Obligations |
|---|---|---|
| Interdit (risque inacceptable) | IA qui note les émotions au travail, scoring social | Exclu, DalonCorp n'en expose aucun |
| Haut risque (annexe III) | IA de tri de CV, scoring crédit, biométrie à distance légale | Obligation lourde (évaluation conformité, logs, supervision humaine) |
| Risque limité | Chatbots, assistants vocaux grand public | Transparence : l'utilisateur doit savoir qu'il parle à une IA |
| Minimal | Filtrage anti-spam, aide contextuelle métier | Code de conduite recommandé |
Le point de vigilance n°1 : la transparence. Si votre assistant vocal parle à un humain sans qu'il le sache, vous êtes en infraction dès août 2025 (obligation déjà entrée en vigueur). L'accueil vocal doit s'identifier comme IA, c'est un paramètre de configuration, pas une option.
Les obligations du fournisseur vs du déployeur
L'AI Act distingue deux rôles, et vous êtes souvent les deux :
Le fournisseur (qui développe le système) doit :
- Documenter le modèle (technical documentation)
- Implémenter la gestion du risque
- Garantir la qualité et la gouvernance des données
- Journaliser (logs automatiques)
- Fournir l'information aux déployeurs
- Concevoir pour la supervision humaine
Le déployeur (vous, l'entreprise qui le déploie) doit :
- Utiliser le système conformément aux instructions
- Assigner la supervision humaine à des personnes compétentes (littératie IA)
- Garantir la qualité des données d'entrée
- Journaliser et conserver les logs
- Informer les utilisateurs (transparence IA)
- Pour les systèmes à haut risque : évaluer l'impact (DPIA au sens RGPD, souvent complémentaire)
La bonne nouvelle pour les déployeurs DalonCorp : le rôle fournisseur est notre responsabilité contractuelle. L'architecture on-premise vous donne, en revanche, le contrôle total des logs, donc la capacité de démontrer la conformité (les obligations de journalisation sont les vôtres en tant que déployeur, et vos données restent chez vous).
Ce que le RSSI doit mettre en place, concrètement
1. L'inventaire des systèmes IA (inventaire existant ≠ inventaire AI Act)
Listez tous les systèmes qui utilisent de l'IA générative dans votre SI (y compris SaaS tiers et copilotes embarqués). Pour chacun : quel niveau de risque ? Quelles données traitées ? Qui supervise ?
2. La journalisation (article 12)
Toute plateforme à haut risque doit journaliser automatiquement : identifiants, horodatages, contextes d'entrée, comportements du modèle. C'est exactement le rôle de l'audit log DalonCorp : chaque conversation, chaque tool call, chaque détection AAGuard est tracée avec son identité NSC.
3. La littératie IA (article 4, déjà applicable)
Depuis février 2025, vous devez garantir que les utilisateurs de vos systèmes IA ont la formation nécessaire. Une formation IA de base est donc déjà une obligation, pas un bonus. Nos programmes couvrent ce socle.
4. La transparence de bout en bout
- L'utilisateur doit savoir qu'il parle à une IA
- Vous savez quel modèle tourne, sur quel GPU, avec quelles données (Ollama on-prem, pas de boîte noire)
- Chaque décision du système est tracée et explicable
5. La supervision humaine
L'agent vocal doit pouvoir passer la main : escalade vers un humain, circuit de réclamation, possibilité de contester une décision automatisée. Dans la plateforme DalonCorp, le transfert vers un agent humain est un tool natif, pas un développement spécifique.
Le bonus sous-estimé : une conformité RGPD déjà en place
Le gros de la préparation AI Act pour un déployeur recoupe le RGPD :
- DPIA : analyse d'impact, déjà obligatoire pour les traitements sensibles
- Journalisation : déjà exigée par NIS2 et DORA dans les secteurs régulés
- Supervision humaine : déjà exigée par le RGPD pour les décisions automatisées (art. 22)
- Minimisation des données : l'argument on-premise, pas de données qui sortent, donc pas de DPIA sur les transferts
Si vous êtes déjà conforme RGPD sur votre infrastructure, l'AI Act est une extension de votre dispositif existant, pas un chantier de fond. La différence : il faut maintenant documenter le système d'IA spécifiquement.
Checklist de préparation (à télécharger)
Au niveau gouvernance
- [ ] Inventaire des systèmes IA (SaaS inclus !)
- [ ] Classification par risque (interdit / haut risque / limité / minimal)
- [ ] Désignation d'un responsable IA (ou extension du rôle du RSSI)
- [ ] Programme de littératie IA pour les utilisateurs
Au niveau technique
- [ ] Logs conversationnels complets (qui, quoi, quand, quel modèle)
- [ ] Transparence IA pour tous les canaux (voice, chat, email)
- [ ] Mécanisme de supervision humaine (handoff agent → humain)
- [ ] Capacité de démonstration du chemin de conformité (spec → code → logs)
Questions à poser à vos fournisseurs d'IA 1. Où tourne l'inférence, physiquement ? (Si réponse SaaS : quelle juridiction ?) 2. Quel modèle exact tourne-t-il ? (Version figée ? Mise à jour silencieuse ?) 3. Avec quelles données ? (Y a-t-il entraînement sur mes données ?) 4. Où sont les logs ? Combien de temps ? Qui y accède ? 5. Comment l'utilisateur sait-il qu'il parle à une IA ?
---
Ce ne sont pas des notes juridiques, mais une grille de lecture technique depuis l'expérience d'opérateur de plateforme. Pour l'interprétation juridique de votre cas, votre DPO reste la référence.
Pour aller plus loin
- La sécurité DalonCorp de bout en bout, les 5 couches techniques qui servent la conformité
- Notre positionnement, la Voice AI souveraine pour l'Europe
- Le texte intégral : REGULATION (EU) 2024/1689, AI Act
- Télécharger la proposition de valeur (PDF)