top of page

Règlement européen sur l'IA : ce que les cabinets doivent faire, et quand

Photo du rédacteur: Alexandre KOERFER
Alexandre KOERFER
il y a 9 heures
6 min de lecture
Rangée de drapeaux de l'Union européenne devant le siège de la Commission européenne à Bruxelles

Depuis le 2 août 2026, l'essentiel du règlement européen sur l'intelligence artificielle est applicable. Le règlement dit « omnibus numérique sur l'IA », publié en juillet 2026, a reporté les règles sur les systèmes à haut risque, pas le reste. Voici ce qui s'applique déjà à un cabinet d'avocats, d'expertise comptable ou à un office notarial, et ce qui arrive.

Votre cabinet est, le plus souvent, « déployeur »

Le règlement (UE) 2024/1689 distingue deux rôles principaux. Le fournisseur développe un système d'IA, ou le fait développer, et le met sur le marché ou en service sous son propre nom. Le déployeur est la personne « utilisant sous sa propre autorité un système d'IA », hors activité personnelle non professionnelle [3].

Un cabinet qui utilise un assistant conversationnel généraliste comme ChatGPT, Claude ou Gemini, un outil de recherche documentaire ou un logiciel d'analyse de pièces est donc déployeur. Ses obligations sont plus limitées que celles du fournisseur, mais elles existent.

Un cabinet qui met en service sous son propre nom un outil, par exemple un assistant conversationnel sur son site, doit vérifier s'il ne se rapproche pas de la définition du fournisseur [3].

Un calendrier modifié par l'omnibus numérique

Le règlement (UE) 2026/1744 du 8 juillet 2026, dit « omnibus numérique sur l'IA », a été publié au Journal officiel de l'Union européenne le 24 juillet 2026 [2]. Il est entré en vigueur le 27 juillet 2026 [2]. Le calendrier publié par la Commission européenne s'établit désormais ainsi [1] :

  • 1er août 2024 : entrée en vigueur du règlement sur l'IA.

  • 2 février 2025 : application des dispositions générales, dont la maîtrise de l'IA, et des interdictions de certaines pratiques.

  • 2 août 2025 : application des règles relatives aux modèles d'IA à usage général et mise en place de la gouvernance.

  • 2 août 2026 : application de la plupart des règles, dont les obligations de transparence de l'article 50. Début du contrôle, notamment sur les interdictions, la transparence et la maîtrise de l'IA.

  • 2 décembre 2026 : nouvelles interdictions visant les systèmes générant des hypertrucages sexuels non consentis et des contenus pédopornographiques. Fin du délai transitoire accordé à certains fournisseurs de systèmes générant des contenus synthétiques, déjà sur le marché avant le 2 août 2026, pour se conformer à l'article 50, paragraphe 2.

  • 2 décembre 2027 : application des règles sur les systèmes à haut risque de l'annexe III, initialement prévue au 2 août 2026.

  • 2 août 2028 : application des règles sur les systèmes à haut risque intégrés aux produits réglementés de l'annexe I.

Les règles sur les modèles d'IA à usage général visent leurs fournisseurs. Elles ne créent pas d'obligation directe pour le cabinet qui les utilise.

Maîtrise de l'IA : une obligation assouplie, pas supprimée

Dans sa version initiale, l'article 4 imposait aux fournisseurs et aux déployeurs de prendre des mesures pour garantir, « dans toute la mesure du possible », un niveau suffisant de maîtrise de l'IA [4]. Depuis l'omnibus, ils doivent prendre des mesures pour soutenir le développement de la maîtrise de l'IA de leur personnel et des personnes qui utilisent les systèmes pour leur compte [4]. Le texte précise que cette obligation n'impose pas de garantir un niveau déterminé pour chaque individu [4].

L'obligation demeure, et son contrôle a commencé le 2 août 2026 [1]. Les mesures doivent tenir compte des connaissances techniques, de l'expérience et de la formation des personnes, du contexte d'utilisation et des personnes à l'égard desquelles les systèmes sont utilisés [4]. La Commission doit publier des exemples pratiques de mise en conformité [4].

Pour les avocats, le Conseil national des barreaux a adopté le 17 mars 2026 un guide sur la déontologie et l'intelligence artificielle. Il rappelle notamment le secret professionnel, le respect du RGPD, la compétence, la prudence et l'information [8].

Transparence : ce qui est dû aux clients et au public

L'article 50 s'applique depuis le 2 août 2026 [1]. Il distingue plusieurs situations [6] :

  • les systèmes destinés à interagir directement avec des personnes doivent être conçus pour que celles-ci sachent qu'elles échangent avec une IA, sauf si cela est évident. Cette obligation pèse sur le fournisseur ;

  • le déployeur d'un système qui génère ou manipule des images, des sons ou des vidéos constituant un hypertrucage doit indiquer que le contenu a été généré ou manipulé par une IA ;

  • le déployeur d'un système qui génère ou manipule des textes publiés pour informer le public sur des questions d'intérêt public doit le signaler. L'obligation tombe si le texte a fait l'objet d'un examen humain ou d'un contrôle éditorial et qu'une personne assume la responsabilité éditoriale de la publication.

Ces informations doivent être fournies de manière claire et reconnaissable, au plus tard lors de la première interaction ou de la première exposition [6].

Un visuel ou une vidéo réaliste générés par IA et diffusés sur votre site ou vos réseaux appellent une mention. Un article de veille rédigé avec une IA puis relu et publié sous la responsabilité d'un associé semble relever de l'exception, à condition que cette relecture soit réelle et traçable. Hors de ces cas et des systèmes à haut risque [5], l'information du client sur l'usage de l'IA dans son dossier relève surtout de la déontologie et du RGPD.

Haut risque et RGPD : ce qui arrive, ce qui ne change pas

Les usages courants d'un cabinet relèvent rarement du haut risque. Certains usages internes peuvent y entrer : la CNIL cite le tri automatique de CV [7]. Les règles correspondantes s'appliqueront à partir du 2 décembre 2027 [1]. Le déployeur d'un tel système devra notamment [5] :

  • l'utiliser conformément à la notice du fournisseur ;

  • confier le contrôle humain à des personnes compétentes, formées et dotées de l'autorité nécessaire ;

  • surveiller son fonctionnement et conserver les journaux qu'il contrôle pendant au moins six mois ;

  • informer les représentants du personnel et les salariés concernés avant la mise en service sur le lieu de travail ;

  • informer les personnes faisant l'objet de décisions prises ou facilitées par le système.

Le RGPD, lui, s'applique sans attendre. La CNIL rappelle que le règlement sur l'IA « ne remplace pas les exigences du RGPD » et que les deux textes s'appliquent ensemble lorsqu'un système traite des données personnelles [7]. Pour les systèmes à haut risque, l'analyse d'impact relative à la protection des données sera présumée requise. Elle pourra s'appuyer sur la documentation exigée par le règlement sur l'IA [7].

Ce que nous recommandons

  • Recenser les outils d'IA utilisés au cabinet, y compris les usages individuels non déclarés, et qualifier votre rôle pour chacun.

  • Formaliser une politique d'usage : usages permis et interdits, données à ne jamais saisir, relecture obligatoire. Pour les avocats, l'articuler avec le guide du CNB.

  • Documenter vos actions de maîtrise de l'IA : formations, supports, dates, participants.

  • Contrôler vos publications : mention pour les visuels et vidéos générés, trace de la relecture humaine des textes.

  • Repérer dès maintenant tout usage susceptible de relever de l'annexe III, notamment en recrutement, et préparer l'analyse d'impact avant décembre 2027.

Pour faire le point sur la situation de votre cabinet, Tao Sense propose un diagnostic gratuit.

Sources

Commentaires

Les commentaires sur ce post ne sont plus acceptés. Contactez le propriétaire pour plus d'informations.
bottom of page