PSL Avocat accompagne les déployeurs d'IA, les éditeurs SaaS et les plateformes dans la cartographie de leurs obligations, la documentation contractuelle, la négociation des contrats fournisseurs LLM et la gestion des risques. Pratique opérationnelle construite sur quinze ans d'expérience in-house au sein d'organisations internationales. En français, anglais et espagnol.
Fournisseurs et vendeurs d'IA, établis dans ou hors de l'UE, vendant à des clients européens : lisez notre guide sur ce que le Digital Omnibus sur l'IA change réellement pour votre calendrier de conformité.
Application progressive de l'AI Act
Le règlement (UE) 2026/1744 (Digital Omnibus sur l'IA), publié au Journal officiel de l'Union européenne le 24 juillet 2026 et en vigueur depuis le 27 juillet 2026, fixe le calendrier final de l'AI Act. Les dates ci-dessous sont définitives.
Les interdictions de l'article 5 et l'obligation d'alphabétisation en matière d'IA (article 4) s'appliquent depuis cette date, inchangées.
Les obligations relatives aux modèles d'IA à usage général (chapitre V) s'appliquent depuis cette date, inchangées. Les modèles mis sur le marché avant cette date disposent d'une transition jusqu'au 2 août 2027 (article 111, paragraphe 3).
L'AI Act entre en application générale. Les obligations de transparence de l'article 50 s'appliquent. Les amendes de l'article 101 pour les fournisseurs de modèles d'IA à usage général deviennent applicables.
La nouvelle interdiction de l'article 5 visant les systèmes d'IA qui génèrent des contenus intimes non consentis ou des contenus pédocriminels s'applique. La période transitoire de l'obligation de marquage lisible par machine de l'article 50, paragraphe 2, prend fin pour les systèmes d'IA générative déjà présents sur le marché de l'UE avant le 2 août 2026.
Les obligations relatives aux systèmes à haut risque s'appliquent aux systèmes listés à l'annexe III.
Les obligations relatives aux systèmes à haut risque s'appliquent aux systèmes d'IA intégrés aux produits couverts par l'annexe I.
HR AI et ed-tech : les deux secteurs en première ligne
Les fournisseurs d'outils HR AI et les éditeurs ed-tech relèvent de deux domaines explicitement listés à l'annexe III du règlement AI Act (éducation et formation professionnelle, emploi et gestion des travailleurs). La classification haut risque y est probable pour la majorité des cas d'usage. Le déployeur porte des obligations distinctes du fournisseur, qui s'ajoutent au socle RGPD.
Plateformes d'apprentissage adaptatif, outils de notation automatisée, tuteurs IA, dispositifs de surveillance d'examen, orientation algorithmique des parcours.
Classification haut risque probable au titre de l'annexe III pour la majorité des cas d'usage scolaires et universitaires.
Information renforcée des élèves et des familles, notamment lorsque les utilisateurs finaux sont mineurs (articulation RGPD données mineurs et AI Act transparence).
Surveillance humaine effective sur toute décision affectant l'évaluation, l'orientation ou la sélection.
Contrats fournisseurs LLM revus pour répercuter les obligations déployeur en cascade.
Outils de sourcing, scoring de candidatures, analyse vidéo d'entretiens, gestion algorithmique de la performance, prédiction de turnover, optimisation des plannings.
Classification haut risque probable au titre de l'annexe III (recrutement, gestion des travailleurs).
Analyse d'impact sur les droits fondamentaux (article 27 AI Act) avant déploiement.
Information du candidat ou du salarié sur l'existence et la logique du traitement (RGPD article 14 et AI Act article 50 à compter du 2 août 2026).
Audit du biais et registre de tests, dans le sillage de l'arrêt Foundever de l'Audiencia Nacional du 4 juillet 2025, susceptible de pourvoi devant le Tribunal Supremo.
Information et consultation des représentants du personnel en France (article L. 2312-38 du code du travail) et en Espagne (article 64.4.d de l'Estatuto de los Trabajadores depuis la loi 12/2021).
Décisions de référence
Trois décisions qui structurent aujourd'hui la pratique pour les déployeurs d'IA en France, en Espagne et au niveau européen.
L'article 22 du RGPD s'applique aux scores algorithmiques produits par un tiers et utilisés pour fonder une décision individuelle automatisée, même quand l'utilisateur du score n'est pas celui qui le calcule. Lecture directe pour les déployeurs HR AI et ed-tech qui s'appuient sur des outils de scoring fournis par un tiers.
Lire la décisionPremière décision espagnole consacrant le droit des représentants du personnel à connaître les paramètres des algorithmes utilisés en relations de travail. Alignement entre droit français et droit espagnol sur la transparence des outils d'évaluation automatisée et de gestion algorithmique de carrière.
Lire la décisionPremière sanction RGPD majeure contre un fournisseur d'IA générative en Europe. La décision établit que l'entraînement d'un grand modèle de langage constitue un traitement de données personnelles à part entière, soumis à l'identification d'une base légale, à l'information des personnes concernées et à la gestion des incidents. Référence centrale pour tout déployeur LLM tiers.
Lire la décisionNIS2 : cybersécurité des entités essentielles et importantes
La directive (UE) 2022/2555, dite NIS2, élargit le périmètre des obligations de cybersécurité à un nombre significatif d'entreprises tech, notamment les fournisseurs de services managés, les services cloud, les marketplaces et les éditeurs SaaS dépassant les seuils PME. Les catégories d'entités essentielles et importantes sont définies aux annexes I et II de la directive. La date limite de transposition était fixée au 17 octobre 2024. À la date du 12 mai 2026, ni la France ni l'Espagne n'ont achevé leur transposition. En France, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité poursuit son parcours parlementaire et la promulgation est attendue courant 2026. En Espagne, l'anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad est en cours de tramitación. La Commission européenne a adressé un avis motivé aux deux États membres le 7 mai 2025 pour défaut de notification. Les entreprises concernées sont néanmoins exposées au régime de la directive et à l'effet direct vertical pour ses dispositions inconditionnelles, ainsi qu'aux attentes des donneurs d'ordre européens qui appliquent déjà les standards NIS2 dans leurs cahiers des charges.
Êtes-vous en scope NIS2 ?
Trois questions binaires. Trois réponses positives indiquent une applicabilité probable et justifient une analyse approfondie.
Votre activité relève-t-elle d'un secteur listé aux annexes I ou II de la directive 2022/2555 (énergie, transport, banque, santé, infrastructure numérique, services managés ICT, fournisseurs cloud, marketplaces, moteurs de recherche, réseaux sociaux, fabrication, recherche, etc.) ?
Votre entreprise atteint-elle le seuil de moyenne ou grande entreprise (au moins 50 salariés ou 10 millions d'euros de chiffre d'affaires annuel) ? Certaines entités sont en scope quelle que soit leur taille.
Vos services sont-ils rendus à au moins un destinataire établi dans l'Union européenne ?
Règlements connexes
Questions fréquentes
Mon entreprise est établie hors UE mais vend à des clients européens. Le RGPD s'applique-t-il ?
Oui. Le RGPD s'applique dès lors que vous offrez des biens ou des services à des personnes qui se trouvent dans l'Union, ou que vous suivez leur comportement, que votre entreprise soit établie en Europe ou non. La désignation d'un représentant dans l'Union est alors requise dans la plupart des cas.
Comment savoir si mon système d'IA est concerné par l'AI Act ?
L'AI Act classe les systèmes d'IA selon leur niveau de risque (inacceptable, élevé, limité, minimal). La classification détermine les obligations applicables. Une analyse préalable permet d'identifier rapidement ce qui s'applique à votre situation concrète.
Quelle est la sanction maximale prévue par l'AI Act ?
L'AI Act prévoit trois niveaux de sanctions administratives, en fonction de la nature de l'infraction. La mise sur le marché ou l'utilisation d'un système d'IA à risque inacceptable (par exemple la notation sociale généralisée, ou la reconnaissance faciale en temps réel dans les espaces publics à des fins répressives hors des cas limitativement autorisés) expose à une amende pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Le non-respect des autres obligations, dont celles des fournisseurs, des déployeurs et les obligations de transparence pour les systèmes en interaction avec des humains, est sanctionné jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires. La fourniture d'informations inexactes, incomplètes ou trompeuses aux autorités ou aux organismes notifiés expose à une amende allant jusqu'à 7,5 millions d'euros ou 1 % du chiffre d'affaires. Pour les PME et les startups, chaque amende est plafonnée au montant le plus bas entre le seuil fixe et le pourcentage du chiffre d'affaires.
Notre entreprise est déployeur d'un LLM tiers (OpenAI, Anthropic, Mistral). Quelles sont nos obligations ?
Vos obligations dépendent de la classification de votre cas d'usage, pas du fait que le modèle vienne d'un tiers. Hors haut risque, le déployeur doit prendre des mesures de soutien au développement de la maîtrise de l'IA de ses équipes, et respecter les obligations de transparence de l'article 50 lorsqu'elles s'appliquent, notamment l'information des personnes exposées à des contenus générés ou manipulés par le système. Pour un usage classé à haut risque (recrutement, éducation, évaluation de solvabilité), le régime est nettement plus lourd : utilisation conforme à la notice du fournisseur, supervision humaine confiée à des personnes compétentes, pertinence des données d'entrée que vous contrôlez, conservation des journaux générés par le système, information des travailleurs concernés avant tout usage sur le lieu de travail. Ces obligations s'appliquent à compter du 2 décembre 2027 pour les cas de l'annexe III et du 2 août 2028 pour l'IA intégrée dans des produits réglementés, depuis le report opéré par le règlement (UE) 2026/1744. L'analyse d'impact sur les droits fondamentaux et l'enregistrement ne visent que certains déployeurs, principalement les organismes publics, les entités privées assurant un service public et les acteurs du crédit et de l'assurance. Une cartographie de vos cas d'usage détermine lequel de ces deux régimes vous concerne.
Nous avons déjà une politique de protection des données. Sommes-nous conformes ?
Pas nécessairement. La conformité RGPD ne se réduit pas à un document publié sur le site. Elle implique une organisation interne, des contrats avec vos sous-traitants, une gestion des droits des personnes et une capacité de réponse aux incidents. Un audit rapide permet d'identifier les écarts réels.
Combien de temps prend une mise en conformité RGPD ?
À titre indicatif, pour une PME ou une startup, un premier niveau de conformité opérationnelle peut être atteint en 4 à 8 semaines selon la complexité des traitements.
DSA et DMA : mon entreprise est-elle une plateforme concernée ?
Le DSA s'applique à toute plateforme numérique proposant des services à des utilisateurs dans l'UE : places de marché, réseaux sociaux, plateformes de contenu, moteurs de recherche, hébergeurs. Les obligations varient selon la taille. Le DMA cible un périmètre plus étroit : les contrôleurs d'accès (gatekeepers) désignés par la Commission européenne. Si vous n'êtes pas désigné gatekeeper, le DMA ne s'applique pas directement à vous, mais peut affecter vos conditions d'accès aux plateformes qui le sont.
Qu'est-ce que le Data Act et qui est concerné ?
Le Data Act (Règlement (UE) 2023/2854, applicable depuis septembre 2025) régit l'accès aux données générées par les objets connectés et les services associés. Il s'adresse principalement aux fabricants de produits connectés (IoT), aux éditeurs de services numériques liés à ces produits, et aux fournisseurs de services de traitement de données (cloud, edge). Son objectif est de permettre aux utilisateurs, particuliers et entreprises, d'accéder aux données que leurs équipements génèrent et de les partager avec des tiers de leur choix.
Articles liés sur le blog
Mis à jour le 28 juillet 2026
Demander un premier échange
Décrivez votre besoin en quelques lignes. Réponse sous 24 heures ouvrées.