Dix domaines, trois familles
Tous les domainesAvocat en intelligence artificielle · Paris et toute la France
Une IA mal documentée devient un risque de responsabilité.
Le cabinet assiste les entreprises qui utilisent, déploient ou commercialisent des systèmes d’intelligence artificielle, depuis la qualification des usages et la mise en conformité documentaire et contractuelle jusqu’à la documentation qui rend leur conformité démontrable.
Situations
Le règlement vise des usages précis. Chaque situation renvoie au régime applicable et à la mission correspondante.
Vos salariés utilisent l’IA générative, autorisée ou non
Encadrer ce qui peut y être saisi et consulter le CSE si le travail change.
Toute entrepriseMissions 0205
Un outil intervient dans le recrutement ou l’évaluation des salariés
Contrôle humain des résultats, information des candidats et des salariés.
Haut risqueMission 03
Vous vendez un produit ou un service qui intègre de l’IA
Vous pouvez devenir « fournisseur » : documenter, informer, adapter les clauses.
FournisseurMissions 0103
Un client vous demande de justifier la conformité de votre outil
Un algorithme décide ou pré-décide du sort de personnes
Analyse d’impact, base légale et droits des personnes au titre du RGPD.
Haut risque possibleMission 01
Un incident, un contrôle ou une réclamation est survenu
Reconstituer les faits et préparer la réponse à l’autorité, au client ou au juge.
Mission 04
Ce que dit le règlement
La qualification dépend de trois éléments : ce que fait le système, le rôle de l’entreprise — déployeur, fournisseur, importateur ou distributeur — et les personnes concernées.
Selon le niveau de risque du système
Déjà applicable
Le report des obligations à haut risque ne suspend ni ces obligations, ni le droit du travail, ni le RGPD, ni les engagements contractuels. Une obligation applicable sans amende immédiate reste opposable devant le juge civil ou prud’homal.
Prendre des mesures pour favoriser la maîtrise de l’IA des personnes qui utilisent les systèmes, adaptées à leur rôle, et en garder la trace.
Vérifier qu’aucun outil utilisé ne relève des pratiques de l’article 5.
Signaler l’agent conversationnel à ses interlocuteurs ; signaler les contenus hypertruqués diffusés.
Données personnelles, secrets d’affaires, propriété des contenus produits : règles écrites, charte d’usage.
Informer et consulter le CSE lorsque l’outil modifie les conditions de travail.
Recenser les systèmes utilisés, leur fournisseur et leur usage. Mesure recommandée : sans lui, aucune qualification n’est possible.
Applicable depuis le 2 février 2025
Tous les acteurs
Ne pas mettre sur le marché, mettre en service ou utiliser ces systèmes. Les amendes les plus élevées du règlement s’y appliquent.
Synthèse indicative du règlement (UE) 2024/1689, modifié par le règlement (UE) 2026/1744. Les listes de cas ne sont pas exhaustives ; la qualification dépend de l’usage réel.
Annexe III : 2 décembre 2027 · annexe I : 2 août 2028
Déployeur
Signaler les contenus hypertruqués ; informer les personnes exposées à certains systèmes (reconnaissance des émotions, catégorisation biométrique).
Mesures techniques et organisationnelles pour respecter la notice d’utilisation du fournisseur.
Désigner des personnes compétentes, formées et disposant de l’autorité nécessaire.
Surveiller le fonctionnement, signaler les incidents graves, conserver les journaux au moins six mois.
Informer les représentants du personnel et les salariés avant la mise en service au travail ; informer les personnes faisant l’objet d’une décision.
Analyse d’impact sur les droits fondamentaux pour les organismes publics et certains usages (crédit, assurance) ; analyse d’impact RGPD le cas échéant.
Fournisseur
Informer les personnes qu’elles interagissent avec un système d’IA ; marquer les contenus générés.
Système de gestion des risques sur tout le cycle de vie ; qualité et gouvernance des données d’entraînement.
Documentation technique, journalisation automatique, notice d’utilisation claire pour les déployeurs.
Conception permettant le contrôle humain ; exactitude, robustesse et cybersécurité.
Système de gestion de la qualité, évaluation de la conformité, déclaration UE, marquage CE, enregistrement.
Surveillance après commercialisation et signalement des incidents graves.
Synthèse indicative du règlement (UE) 2024/1689, modifié par le règlement (UE) 2026/1744. Les listes de cas ne sont pas exhaustives ; la qualification dépend de l’usage réel.
Applicable depuis le 2 août 2026
Fournisseur
Informer les personnes qu’elles interagissent avec un système d’IA ; marquer les contenus générés.
Déployeur
Signaler les contenus hypertruqués ; informer les personnes exposées à certains systèmes (reconnaissance des émotions, catégorisation biométrique).
Synthèse indicative du règlement (UE) 2024/1689, modifié par le règlement (UE) 2026/1744. Les listes de cas ne sont pas exhaustives ; la qualification dépend de l’usage réel.
Aucune obligation propre à ce niveau — voir les obligations applicables à toute entreprise
Tous les acteurs
Pas d’obligation spécifique au titre du risque ; la maîtrise de l’IA par les équipes (article 4) et les autres règles (RGPD, droit du travail, contrats) restent applicables.
Synthèse indicative du règlement (UE) 2024/1689, modifié par le règlement (UE) 2026/1744. Les listes de cas ne sont pas exhaustives ; la qualification dépend de l’usage réel.
Sanctions prévues par l’article 99 : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, 15 millions ou 3 % pour les autres obligations. Calendrier détaillé, article par article — ressource à paraître.
Nos interventions
Vous recevezUne cartographie des systèmes, une note de qualification par système et un plan d’action priorisé et daté.
Vous recevezLe registre des systèmes d’IA, une charte d’usage opposable et la trame d’information du CSE.
Vous recevezLa documentation technique, les clauses IA pour vos contrats fournisseurs et clients, et le dossier de preuve associé.
Vous recevezUne trame de réponse au contrôle ou à la réclamation, et la stratégie de défense correspondante.
Vous recevezLes supports de formation et les justificatifs de participation, qui permettent de documenter les mesures prises au titre de l’article 4. Voir la formation →
La plupart des missions commencent par l’audit. Le cabinet oriente ensuite vers la mission adaptée à la situation identifiée.
Dossiers traités
Éditeur de logiciel — 90 salariés
Missions 01 · 03
Dossier opposable transmis aux clients ; les appels d’offres bloqués ont pu être réengagés.
Groupe industriel — direction des ressources humaines
Missions 03 · 04
Procédure de recrutement redocumentée et supervision humaine rétablie avant tout contentieux.
Méthode
Avocat au Barreau de Paris
Qualification des systèmes et de leurs usages, mise en conformité au règlement, engagements contractuels avec les fournisseurs et les clients.
Docteure en intelligence artificielle
Maîtresse de conférences en informatique à l’Université Côte d’Azur. Examine le fonctionnement réel des systèmes (architecture, données, tests, supervision, biais) pour que chaque qualification juridique repose sur des constats vérifiés.
Résultat commun. Une documentation cohérente avec le fonctionnement réel du système. C’est cette correspondance qui est examinée en cas de contrôle, et c’est elle qui manque le plus souvent aux dossiers constitués sans examen technique.
Déroulement
Une prise de contact suffit. Aucun questionnaire technique n’est demandé en amont.
Trente à quarante-cinq minutes, par téléphone ou en visioconférence, sur les outils utilisés, le produit et les contrats existants. Aucun document n’est exigé à ce stade.
Définition du périmètre à examiner et des interlocuteurs à mobiliser côté entreprise — direction des systèmes d’information, métiers utilisateurs, ressources humaines lorsque des salariés sont concernés. Une convention d’honoraires chiffrée est signée avant tout travail d’analyse.
Premier livrable : la cartographie des systèmes, la qualification des rôles et des niveaux de risque, et un plan d’action hiérarchisé entre ce qui est exigible immédiatement et ce qui peut attendre.
Avant d’engager une mission
Livre blanc — AI Act : qui doit faire quoi
Répartition des obligations entre fournisseur, déployeur et importateur. Sans formulaire ni inscription.
Les obligations les plus lourdes ne s’appliquent pas à cet usage. L’obligation de maîtrise de l’IA de l’article 4 s’applique en revanche dès maintenant, et l’usage d’un assistant générique soulève d’autres questions : confidentialité des informations saisies, secrets d’affaires, propriété des contenus produits, information des salariés. Ces sujets relèvent du RGPD, du droit du travail et du droit des contrats, et sont exigibles aujourd’hui.
L’audit établit ce que l’entreprise utilise, à quel titre et quelles obligations en découlent. La mise en conformité consiste ensuite à identifier les obligations applicables, mettre en place les mesures nécessaires, produire la documentation, traiter les risques résiduels et préparer un éventuel contrôle. Aucune intervention ne garantit une conformité absolue : elle organise la capacité de l’entreprise à en rendre compte.
La durée dépend du nombre de systèmes et du rôle tenu. Un inventaire et une qualification sur un périmètre restreint se traitent en quelques semaines. La constitution d’un dossier de conformité pour un système à haut risque commercialisé s’inscrit sur plusieurs mois. Le périmètre et le calendrier sont fixés dans la convention d’honoraires, avant toute analyse.
Non. L’examen technique est mobilisé lorsque la qualification en dépend : système développé ou adapté en interne, décision individuelle contestée, incident à reconstituer. Pour un encadrement d’usages d’outils achetés sur étagère, l’intervention juridique suffit le plus souvent. Ce point est tranché lors de la définition du périmètre.
Sujets liés :Données personnelles et RGPDContrats informatiquesContentieux informatique et commercialCybersécurité et NIS 2Formation IA en entreprise
Décrivez les outils développés ou utilisés : le cabinet identifie votre rôle et les premières obligations.