AI Act : ce que la loi européenne change concrètement dans le quotidien d'un prompt engineer
Le règlement européen sur l'IA classe les usages par niveau de risque et impose des obligations concrètes. Décryptage de ce qui touche directement le travail et la responsabilité du prompt engineer.
- L'AI Act classe les systèmes d'IA par niveau de risque ; le périmètre d'usage que vous configurez via vos prompts détermine le régime applicable.
- Transparence, traçabilité et information de l'utilisateur deviennent des obligations dont le non-respect peut engager votre client, et par ricochet vous.
- Un prompt qui fait basculer un système vers un usage interdit ou à haut risque sans les garde-fous requis est une non-conformité imputable.
- La RC Pro couvre le préjudice causé au client par une non-conformité résultant de votre prestation et prend en charge votre défense.
Pourquoi l'AI Act concerne celui qui écrit les prompts
On présente souvent l'AI Act comme une affaire de fournisseurs de modèles et de grands déployeurs. C'est une lecture incomplète. Le règlement raisonne par usage : ce n'est pas le modèle en soi qui est régulé, mais ce qu'on lui fait faire. Or ce que le système fait, ce sont vos prompts qui le déterminent.
Un même modèle de langage peut servir à résumer des notes internes (risque minimal) ou à présélectionner des candidatures (système à haut risque, lourdement encadré). La frontière entre ces deux mondes passe souvent par la configuration que vous écrivez. Le prompt engineer n'est donc pas spectateur de la conformité : il en est un acteur direct, parfois sans en avoir conscience.
Les quatre niveaux de risque, vus du poste de travail
Le règlement organise les usages en paliers. Voici ce que chacun implique très concrètement pour vous.
| Niveau | Exemples d'usage | Ce que ça change pour le prompt engineer |
|---|---|---|
| Inacceptable (interdit) | Notation sociale, manipulation, certaines reconnaissances | Vous ne devez jamais configurer un système vers ces usages, même à la demande du client |
| Haut risque | Recrutement, scoring crédit, accès à des services essentiels | Exigences fortes : traçabilité, supervision humaine, documentation |
| Risque limité | Chatbots, contenus générés | Obligation de transparence : l'utilisateur doit savoir qu'il parle à une IA |
| Risque minimal | Assistants internes, résumés | Pas d'obligation spécifique, bonnes pratiques recommandées |
Le piège classique : un client demande "juste un petit ajout" qui, dans les faits, fait glisser un assistant de risque limité vers du haut risque, sans que les garde-fous correspondants soient mis en place. Si vous configurez ce glissement sans alerter, votre responsabilité peut être recherchée.
Transparence et marquage : des obligations qui passent par le prompt
Plusieurs obligations de l'AI Act se traduisent directement dans votre travail de conception.
Informer que l'utilisateur parle à une IA
Pour un système conversationnel, l'utilisateur doit savoir qu'il interagit avec une machine. Concrètement, cela se traduit dans le prompt système et l'interface : une mention claire, un comportement qui ne se fait pas passer pour humain. Si votre configuration entretient l'illusion, vous participez à la non-conformité.
Signaler les contenus générés
Les contenus de synthèse (texte, image) doivent pouvoir être identifiés comme tels. Le prompt engineer qui industrialise une chaîne de génération de contenus doit intégrer cette exigence dès la conception, pas l'ajouter après coup.
Tracer et documenter
Pour les usages sensibles, la capacité à expliquer pourquoi le système a répondu ainsi devient un attendu. Versionner ses prompts, documenter les garde-fous, conserver les journaux de tests : ce qui était une bonne pratique devient un élément de conformité.
Quand la non-conformité devient un sinistre
Le scénario qui fait basculer l'AI Act du droit vers l'assurance est simple : votre client subit une conséquence (sanction, perte de marché, litige avec un utilisateur) et estime qu'elle découle de la façon dont vous avez configuré le système.
Exemples concrets :
- Un chatbot que vous avez conçu ne signalait pas son caractère artificiel, le client est mis en demeure, vous êtes mis en cause pour défaut de conformité de la prestation.
- Vous avez industrialisé une chaîne de présélection RH sans les garde-fous de supervision humaine, exposant le client à un grief de discrimination.
- Un contenu généré non marqué est repris dans une communication officielle du client, provoquant un préjudice réputationnel.
Dans ces cas, on est sur le terrain de la faute professionnelle et du dommage immatériel : exactement le périmètre d'une RC Pro adaptée aux métiers de l'IA. Elle indemnise le préjudice du client et finance votre défense, y compris l'analyse juridique nécessaire pour établir qui, du fournisseur du modèle, du déployeur ou de vous, portait l'obligation manquée.
Vos réflexes de conformité et de protection
L'AI Act n'a pas à être un cauchemar administratif. Quelques habitudes structurent à la fois votre conformité et votre défendabilité assurantielle.
- Qualifier l'usage avant de coder le prompt : posez la question du niveau de risque dès le cadrage de mission, par écrit.
- Alerter par écrit quand une demande fait basculer le système vers un palier plus exigeant : votre devoir de conseil est aussi votre protection.
- Intégrer la transparence nativement : mention IA, marquage des contenus, dans le prompt système dès la première version.
- Documenter le périmètre dans le contrat : ce que vous garantissez relève de votre prestation, la conformité globale du déploiement reste de la responsabilité du déployeur.
- Conserver vos traces : versions de prompts, tests, échanges d'alerte avec le client. C'est votre dossier de défense prêt à l'emploi.
Ces réflexes transforment l'AI Act d'un risque flou en cadre maîtrisable, et alimentent le dossier qui permettra à votre assureur de vous défendre. Pour évaluer votre exposition selon les secteurs où vous intervenez, consultez la page métier prompt engineer.
Questions fréquentes
Non, l'AI Act n'impose pas en lui-même de RC Pro au prompt engineer. En revanche, en multipliant les obligations dont le non-respect peut engager le client, il augmente votre exposition à une mise en cause. Et dans la pratique, les donneurs d'ordre exigent de plus en plus une attestation d'assurance avant de confier des missions sur des systèmes sensibles.
Tout dépend de ce qui était convenu et de votre devoir de conseil. Si vous avez configuré sciemment un usage à haut risque sans les garde-fous requis, votre responsabilité peut être engagée. Si le client a détourné votre livrable vers un usage que vous n'aviez ni conçu ni validé, la chaîne de responsabilité change. D'où l'importance de cadrer le périmètre par écrit.
La conformité globale du système déployé incombe effectivement au déployeur. Mais votre prestation en est une brique : si une non-conformité résulte directement de la façon dont vous avez conçu les prompts ou les garde-fous, votre responsabilité de prestataire peut être recherchée. La RC Pro intervient précisément sur ce préjudice imputable à votre travail.
Par la traçabilité. Conservez les versions horodatées de vos prompts système intégrant les mentions d'information IA et le marquage des contenus, ainsi que vos échanges d'alerte avec le client. Ce dossier démontre que vous avez intégré la conformité dès la conception et constitue la meilleure pièce de défense en cas de litige.
La RC Pro couvre le préjudice immatériel causé au client par une faute professionnelle de votre part, ainsi que vos frais de défense. Les amendes administratives infligées au client par les autorités ne sont généralement pas assurables en tant que telles, mais le préjudice que le client vous réclame en raison de votre manquement, lui, entre dans le périmètre de la garantie.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Prompt engineer — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Prompt engineer →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.