La réglementation européenne sur l'IA inquiète beaucoup de dirigeants — y compris hors d'Europe, car dès que vous servez des clients européens, elle vous concerne. En pratique, un projet bien cadré dès le départ absorbe l'essentiel des exigences sans surcoût majeur. C'est le projet rattrapé en fin de course qui coûte cher : refonte de l'architecture, renégociation des contrats, parfois arrêt pur et simple.
RGPD : les fondamentaux s'appliquent déjà
Dès que votre système IA traite des données personnelles — candidatures, e-mails clients, historiques d'achat, enregistrements d'appels — le RGPD s'applique, comme pour n'importe quel traitement :
- Base légale et finalité : définissez pourquoi vous traitez ces données, et documentez-le. Un traitement IA n'échappe pas à la règle.
- Minimisation : n'envoyez au modèle que les données nécessaires à la tâche. L'anonymisation ou la pseudonymisation en amont réduit drastiquement le risque — et souvent sans perte de qualité.
- Droits des personnes : accès, rectification, effacement. Votre architecture doit permettre de retrouver et supprimer les données d'une personne, y compris dans les index et les journaux.
- Sous-traitants : si un service tiers traite vos données, il vous faut un contrat conforme (art. 28) et des garanties de localisation. Une IA hébergée chez vous supprime ce maillon et simplifie considérablement le dossier.
Pour les entreprises marocaines : la loi 09-08 pose des exigences voisines (déclaration à la CNDP, finalité, sécurité), et le RGPD s'ajoute dès que vous traitez des données de résidents européens.
AI Act : une logique de niveaux de risque
Le règlement européen classe les systèmes d'IA selon leur niveau de risque, avec des obligations proportionnées :
| Niveau | Exemples | Obligations principales |
|---|---|---|
| Risque minimal | Tri de documents, assistants internes, génération de contenu | Bonnes pratiques volontaires |
| Risque limité | Chatbots face au public, contenus générés | Transparence : l'utilisateur doit savoir qu'il parle à une IA |
| Haut risque | Recrutement, scoring de crédit, décisions RH significatives | Documentation technique, supervision humaine, journalisation, gestion des risques |
| Inacceptable | Notation sociale, manipulation | Interdits |
Pour la plupart des usages métiers en PME, on reste dans les deux premières catégories : les obligations sont légères et relèvent du bon sens. Le point de vigilance : un même outil peut changer de catégorie selon l'usage. Un modèle qui résume des CV est un assistant ; le même modèle qui écarte des candidats devient un système à haut risque.
Trois réflexes qui couvrent l'essentiel
- Cartographiez. Quels systèmes IA, quelles données, quelles décisions ? Un tableau tenu à jour suffit pour commencer — c'est aussi la première pièce demandée en cas de contrôle.
- Gardez un humain dans la boucle pour toute décision qui affecte une personne. C'est une bonne pratique métier autant qu'une exigence réglementaire : l'IA propose, l'humain décide et reste responsable.
- Documentez au fil de l'eau : choix du modèle, données d'entraînement ou de contexte, limites connues, procédures d'escalade, résultats des tests. Trente minutes par sprint valent mieux qu'un audit de rattrapage.
Exemple : un assistant RH conforme dès la conception
Une entreprise veut aider ses recruteurs à traiter les candidatures. Version risquée : un outil qui classe et écarte automatiquement des candidats — haut risque, obligations lourdes. Version bien conçue : un assistant qui résume les dossiers, extrait les compétences et prépare des questions d'entretien, la présélection restant humaine. Même gain de temps, exposition réglementaire radicalement différente. La conformité se joue souvent dans la définition du rôle de l'IA, pas dans la technologie.
La conformité comme argument commercial
Vos clients — surtout les grands comptes — posent désormais ces questions dans leurs appels d'offres : où sont hébergées les données ? Qui supervise le système ? Pouvez-vous documenter vos traitements ? Une conformité intégrée dès le premier jour cesse d'être un coût : elle devient un différenciateur qui rassure et qui fait gagner des contrats.