Professionnels
Accueil Le blog Professionnels
Ce que l'AI Act change pour un cabinet qui utilise l'IA
Mis à jour le 5 min de lecture Professionnels
Le tableau de synthèse
| Date | Ce qui s’applique |
|---|---|
| 1ᵉʳ août 2024 | Entrée en vigueur du règlement (UE) 2024/1689, sans application pratique |
| 2 février 2025 | Dispositions générales et pratiques interdites de l’article 5 |
| 2 août 2025 | Modèles d’IA à usage général, gouvernance, sanctions |
| 2 décembre 2027 | Application complète, dont les systèmes à haut risque de l’annexe III, initialement prévus au 2 août 2026 et reportés par le règlement (UE) 2026/1744 |
| 2 août 2028 | Systèmes à haut risque intégrés aux produits de l’annexe I, initialement prévus au 2 août 2027 |
| Manquement | Amende maximale |
|---|---|
| Pratiques interdites, article 5 | 35 millions d’euros ou 7 % du chiffre d’affaires mondial |
| Obligations du fournisseur ou du déployeur | 15 millions d’euros ou 3 % |
| Informations incorrectes aux autorités | 7,5 millions d’euros ou 1 % |
La distinction qui commande tout
Le règlement (UE) 2024/1689 organise les obligations selon le rôle de chaque acteur.
Le fournisseur développe ou fait développer un système d’IA et le met sur le marché sous son nom. Il porte l’essentiel des obligations : gestion des risques, qualité des données, documentation technique, conformité.
Le déployeur utilise un système d’IA sous sa propre autorité, dans le cadre de son activité professionnelle. Ses obligations sont plus légères, mais elles existent.
Un cabinet qui utilise un outil du marché est déployeur. Attention toutefois : si vous mettez un système sur le marché sous votre propre marque, ou si vous en modifiez substantiellement la finalité, vous pouvez basculer dans le régime du fournisseur. C’est le point à vérifier avant toute démarche de marque blanche.
Les obligations qui vous concernent en pratique
La transparence à l’égard des personnes. Une personne qui interagit avec un système d’IA doit en être informée. Concrètement : si un assistant conversationnel est accessible à vos clients, la mention doit être présente et lisible. Un texte à faible contraste ou en très petits caractères ne remplit pas l’obligation : c’est un défaut fréquent et facile à corriger.
La compétence des utilisateurs. Le règlement prévoit que les acteurs veillent à un niveau suffisant de maîtrise de l’IA chez les personnes qui l’utilisent pour leur compte. Pour un cabinet, cela se traduit par une formation documentée des collaborateurs : ce que l’outil fait, ce qu’il ne fait pas, comment vérifier une sortie.
La supervision humaine. Pour les systèmes soumis au régime renforcé, une supervision humaine effective est exigée. Indépendamment de cette qualification, elle constitue une bonne pratique dont vous avez de toute façon besoin : vous restez responsable de la recommandation que vous délivrez.
La question du haut risque
Le règlement prévoit un régime renforcé pour certains usages listés, notamment en matière d’accès à des services essentiels. La qualification d’un usage donné dans le domaine du conseil patrimonial n’est pas évidente et dépend étroitement de la finalité concrète du système.
Deux conséquences pratiques.
La première : ne présumez pas, dans un sens ou dans l’autre. Une analyse de la finalité réelle de l’outil, documentée, vaut mieux qu’une affirmation.
La seconde : demandez à votre fournisseur sa position écrite sur la qualification de son système et sur sa conformité. C’est une question légitime en phase contractuelle, et la qualité de la réponse est en soi informative.
Ce que l’AI Act ne change pas
Les obligations financières demeurent intégralement. Une recommandation produite avec l’aide d’un outil reste votre recommandation. L’obligation d’adéquation, l’obligation d’information, le caractère clair, exact et non trompeur des communications à caractère promotionnel s’appliquent de la même manière.
Aucune automatisation ne déplace la responsabilité professionnelle. C’est le point à retenir avant tout autre.
Les quatre actions concrètes
Inventoriez les systèmes d’IA utilisés dans le cabinet, y compris les outils généralistes employés par les collaborateurs.
Vérifiez la mention d’information partout où un client peut interagir avec un système.
Formez et documentez la formation.
Interrogez vos fournisseurs par écrit sur la qualification de leurs systèmes et sur les données qu’ils traitent, notamment au regard du RGPD.
Le dossier minimal à constituer
En matière d’IA comme ailleurs, ce qui n’est pas écrit n’existe pas. Cinq pièces suffisent à constituer un dossier défendable, et elles se rassemblent en quelques heures.
L’inventaire des systèmes. Une liste tenue à jour : quel outil, pour quelle finalité, utilisé par qui, depuis quand, sur quelles données. Incluez les outils généralistes employés par les collaborateurs, qui échappent presque toujours au recensement alors qu’ils traitent parfois des données clients.
La position du fournisseur, obtenue par écrit : qualification qu’il retient pour son système, conformité revendiquée, documentation technique disponible, traitement des données et sous-traitances ultérieures.
La trace de l’information délivrée aux personnes qui interagissent avec un système d’IA : capture de la mention affichée, date de mise en ligne. Vérifiez sa lisibilité réelle, un texte à faible contraste ou en très petits caractères ne remplissant pas l’obligation.
La preuve de la formation des collaborateurs : contenu, date, participants. Le niveau de maîtrise attendu ne se présume pas, il se démontre.
La description de la supervision humaine : qui vérifie quoi, à quel moment, selon quels critères, et ce qui déclenche une reprise en main. C’est la pièce la plus utile, parce qu’elle est aussi celle qui vous protège sur le terrain financier.
Une revue annuelle de ce dossier, calée sur une échéance existante du cabinet, suffit à le maintenir vivant.
Questions fréquentes
Un cabinet est-il fournisseur ou déployeur ?
Déployeur dans la très grande majorité des cas, dès lors qu'il utilise un outil du marché sous sa propre autorité. La bascule vers le statut de fournisseur, aux obligations nettement plus lourdes, intervient si vous mettez un système sur le marché sous votre propre marque ou si vous en modifiez substantiellement la finalité. C'est le point à vérifier avant toute démarche de marque blanche.
Faut-il informer les clients de l'usage d'un outil d'IA ?
Une personne qui interagit avec un système d'IA doit en être informée. Concrètement, si un assistant conversationnel est accessible à vos clients, la mention doit être présente et lisible. Pour un usage purement interne, sans interaction du client avec le système, l'obligation de transparence à son égard ne se pose pas dans les mêmes termes, mais vos obligations en matière de données personnelles demeurent.
L'usage de l'IA en conseil patrimonial relève-t-il du haut risque ?
La qualification dépend de la finalité concrète du système et n'est pas évidente dans ce domaine. Ne la présumez ni dans un sens ni dans l'autre : documentez une analyse de la finalité réelle de l'outil et demandez à votre fournisseur sa position écrite. La qualité de sa réponse est en soi une information sur son sérieux.
L'IA déplace-t-elle la responsabilité de la recommandation ?
Non, en aucune manière. Une recommandation produite avec l'aide d'un outil reste la vôtre. L'obligation d'adéquation, l'obligation d'information et le caractère clair, exact et non trompeur des communications s'appliquent à l'identique. Aucune automatisation ne transfère la responsabilité professionnelle.
Peut-on utiliser un assistant généraliste avec des données clients ?
Cela suppose de vérifier trois points avant tout usage : ce que le fournisseur fait des contenus soumis, notamment s'ils alimentent l'entraînement de modèles, la localisation des traitements, et l'existence d'un contrat conforme aux exigences applicables à la sous-traitance. À défaut, la pratique la plus simple consiste à ne soumettre aucune donnée permettant d'identifier un client. C'est aussi l'usage le plus répandu dans les cabinets, et le moins recensé dans les inventaires.
Qui doit porter ce sujet dans le cabinet ?
Une personne désignée, même à temps très partiel, et de préférence celle qui porte déjà la conformité. L'essentiel du travail consiste à tenir l'inventaire des systèmes, à obtenir les positions écrites des fournisseurs et à conserver la trace des formations. Sans désignation explicite, ce dossier n'est porté par personne et se reconstitue dans l'urgence le jour où la question est posée.
Sources
Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l'intelligence artificielle, articles 5, 6, 50, 86 et 99 · Règlement (UE) 2026/1744, dit « Digital Omnibus IA », entré en vigueur le 27 juillet 2026, reportant l'application des systèmes à haut risque de l'annexe III au 2 décembre 2027 et de l'annexe I au 2 août 2028 · Calendrier d'application consolidé et plafonds d'amendes · Lignes directrices de la Commission européenne sur les pratiques interdites.
Chiffres et textes vérifiés au 14 septembre 2026. Les taux et seuils évoluent : cet article sera daté à nouveau s'il est mis à jour.
Maxime Bouché
Conseiller en investissements financiers et courtier en assurance, immatriculé à l'ORIAS sous le n° 26008152, membre de la CNCGP. Fondateur de SAFIA.
Découvrir son parcoursCet article a une vocation informative et pédagogique. Il ne constitue pas un conseil en investissement personnalisé au sens de l'article L. 541-1 du Code monétaire et financier, ni une incitation à souscrire un produit. Les taux et seuils cités sont ceux en vigueur à la date de publication et peuvent évoluer. Avertissement complet
Applique-le à ta situation.
SAFIA réunit tes comptes et répond à tes questions à partir de tes chiffres, pas de cas généraux.
Télécharger l'app