Pourquoi ces questions arrivent
Le règlement européen sur l’intelligence artificielle (règlement (UE) 2024/1689), ou AI Act, est entré en vigueur en août 2024 et s’applique par étapes. Les pratiques interdites et la maîtrise de l’IA sont arrivées en premier, en février 2025. Les règles applicables aux modèles d’IA à usage général ont suivi en août 2025, puis les obligations de transparence en août 2026. Les systèmes d’IA déjà sur le marché à cette date ont jusqu’à décembre 2026 pour marquer les contenus qu’ils génèrent dans un format lisible par machine.
L’omnibus numérique (Digital Omnibus), la modification entrée en vigueur en juillet 2026, a changé trois points sur lesquels un fournisseur sera interrogé. Il a reporté les obligations relatives aux systèmes à haut risque à décembre 2027 pour les usages à haut risque listés, et à août 2028 pour l’IA intégrée à des produits réglementés. Il a assoupli l’obligation de maîtrise de l’IA : les fournisseurs et les déployeurs doivent prendre des mesures qui favorisent la maîtrise de l’IA de leur personnel, plutôt que garantir un niveau suffisant pour chaque personne. Enfin, il a ajouté deux pratiques interdites à partir de décembre 2026 : l’IA qui génère des images intimes d’une personne réelle sans son consentement, et l’IA qui génère des contenus pédopornographiques.
La plupart de vos clients sont des déployeurs au sens du règlement : ils utilisent un système d’IA dans leur propre activité et doivent en savoir assez pour l’utiliser dans le respect des règles. Pour s’en assurer, leurs équipes achats et sécurité ont ajouté une section IA au questionnaire fournisseur, et elle parvient à tout fournisseur dont le produit rédige, note, résume ou recommande quoi que ce soit.
Ce que demande un questionnaire AI Act
Les questions varient d’un client à l’autre, mais les mêmes thèmes reviennent :
- Quelles fonctionnalités utilisent l’IA, ce que fait chacune d’elles, et si un client peut la désactiver.
- Votre rôle : si vous êtes le fournisseur du système d’IA, et sur quels fournisseurs de modèles d’IA à usage général vous vous appuyez.
- La catégorie de risque : si un usage relève d’une pratique interdite ou figure sur la liste des usages à haut risque, et comment vous avez abouti à cette conclusion.
- Transparence : si les utilisateurs sont informés qu’ils interagissent avec une IA, et si le contenu généré est signalé comme tel.
- Données des clients : si les prompts, documents ou résultats servent à entraîner un modèle, où ils sont traités et combien de temps ils sont conservés.
- Contrôle humain : si une personne relit le résultat avant qu’il soit utilisé, et si elle peut le corriger ou l’écarter.
- Exactitude et tests : comment vous évaluez les résultats, comment vous traitez les défaillances connues, et ce que vous journalisez.
- Gouvernance : qui est responsable de l’IA dans votre entreprise, si vous avez une politique d’IA ou suivez ISO 42001, et ce que vous faites pour la maîtrise de l’IA de votre propre personnel.
Répondre en tant que fournisseur
Commencez par un inventaire, avec une entrée par fonctionnalité d’IA : ce qu’elle fait, quel modèle et quel fournisseur elle appelle, quelles données sont envoyées, si quelque chose est conservé ou sert à l’entraînement, qui relit le résultat, et sa catégorie de risque, justifiée en une phrase. Cinq fonctionnalités tiennent sur une page, et chaque ligne de la section IA trouve sa réponse dans ce document.
Deux réponses demandent une décision plutôt qu’un fait. La première est votre déclaration de rôle : ce que vous fournissez, ce que le client décide, et où commencent ses propres obligations en tant que déployeur. La seconde est la classification du risque. « Pas à haut risque » n’est une réponse complète que si elle nomme l’usage et la raison, par exemple « rédige des réponses relues par le personnel du client ; usage ne figurant pas à l’annexe III ». Validez les deux avec la personne qui signe vos contrats, pour que le questionnaire et le contrat disent la même chose.
La section IA recoupe deux sections auxquelles vous répondez déjà. L’entraînement sur les données des clients, les lieux de traitement et les sous-traitants ultérieurs sont des questions GDPR, posées une nouvelle fois pour les fournisseurs d’IA, et la journalisation, les accès et la gestion des incidents relèvent des réponses de sécurité que vous avez déjà. Répondez à partir du même texte aux deux endroits.
Les réponses et votre propre IA
Les réponses sur l’AI Act se trouvent dans la base de connaissances comme toute autre réponse approuvée, avec l’inventaire et votre politique d’IA joints comme preuves, chacun avec sa date de revue, et chaque questionnaire est rédigé à partir d’elles dans les termes du client. Responsemate est lui-même un produit d’IA, et ses propres réponses en donnent un exemple concret : chaque brouillon affiche ses sources et un score de confiance et attend qu’une personne l’approuve, le fournisseur et le modèle d’IA sont choisis par le client, et aucun contenu client ne sert à entraîner un modèle. Le rapport AI usage report montre les sources utilisées. Comment Responsemate gère sa propre IA et les données.
Questions fréquentes
L’AI Act s’applique-t-il à un fournisseur SaaS établi hors de l’UE ?
Oui, dès lors que le système d’IA est mis sur le marché de l’UE ou que ses sorties sont utilisées dans l’UE. Un fournisseur établi aux États-Unis ou au Royaume-Uni qui vend à des clients européens est concerné pour les systèmes que ces clients utilisent.
Notre produit est-il à haut risque au sens de l’AI Act ?
Probablement pas. Le haut risque correspond à une liste définie d’usages, comme le recrutement, l’évaluation de la solvabilité, l’accès à l’éducation ou aux services publics essentiels, et les composants de sécurité de produits réglementés. Rédiger du texte, résumer des documents ou faire une recherche dans une base de connaissances n’en fait pas partie. Indiquez dans quelle catégorie vous vous situez et pourquoi, en une ou deux phrases.
L’échéance du haut risque a été reportée à 2027. Pouvons-nous attendre pour répondre ?
Non. Le report concerne les obligations relatives aux systèmes à haut risque, et la plupart des logiciels B2B ne sont de toute façon pas à haut risque. Les pratiques interdites, les obligations de transparence et les règles applicables aux modèles d’IA à usage général s’appliquent déjà, et vos clients recueillent dès maintenant les réponses des fournisseurs, pour des contrats qui courront bien au-delà de 2027.
Faut-il être certifié ISO 42001 pour répondre à un questionnaire AI Act ?
Non. ISO/IEC 42001 est une norme volontaire pour les systèmes de management de l’IA, et une certification constitue une preuve utile, mais le questionnaire peut être rempli sans elle. Les clients demandent si vous l’avez, comme ils le font pour ISO 27001.