AI Act : jusqu'où va la responsabilité du consultant éthique IA ?

Le règlement européen sur l'intelligence artificielle (AI Act, règlement UE 2024/1689) ne crée pas de catégorie « consultant éthique IA » soumise à des sanctions directes. Les amendes administratives — jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites — visent les fournisseurs et les déployeurs de systèmes d'IA, pas leurs conseils.

Ce raisonnement rassure à tort. Votre responsabilité, en tant que consultant, ne relève pas du droit administratif mais du droit civil de la responsabilité contractuelle (articles 1231-1 et suivants du Code civil). Dès lors que votre client vous mandate pour l'orienter sur sa conformité, et qu'il prend une décision sur la foi de votre analyse, votre conseil devient le maillon faible que le contentieux remontera.

La mécanique est simple : la CNIL ou une autorité de marché sanctionne votre client opérateur ; celui-ci subit un préjudice financier ; il cherche alors qui l'a conduit à cette situation. Si votre mission portait précisément sur la conformité réglementaire, vous êtes en première ligne. Le fait que vous ne soyez pas la cible directe du régulateur ne vous protège pas du recours de votre propre client.

Le consultant éthique IA est, juridiquement, un prestataire de conseil spécialisé. La jurisprudence française traite ces professionnels avec une exigence accrue : on parle d'obligation de moyens renforcée. Vous n'êtes pas tenu de garantir un résultat — une IA parfaitement conforme et sans biais — mais vous êtes tenu de mobiliser toutes les diligences qu'un expert avisé déploierait dans la même situation.

Cette exigence se décline en trois devoirs concrets :

• Le devoir de compétence : maîtriser l'état de l'art réglementaire et technique au moment de la mission (normes ISO 42001, NIST AI RMF, lignes directrices de la Commission européenne).
• Le devoir d'information : exposer clairement au client les obligations qui s'imposent à lui, y compris celles qu'il n'a pas explicitement identifiées.
• Le devoir de mise en garde : alerter sur les risques avérés, même quand le client ne souhaite pas les entendre, et même quand cela complique la mission commerciale.

C'est ce dernier devoir qui concentre le contentieux. Un consultant qui valide une classification « risque limité » alors que le système relevait du « haut risque » au sens de l'annexe III de l'AI Act commet une faute de qualification lourde de conséquences pour le client.

L'AI Act repose sur une pyramide de risques. Un système qualifié à tort de « risque minimal » échappe, aux yeux du client, à un arsenal d'obligations : analyse d'impact, documentation technique, supervision humaine, journalisation, gestion de la qualité des données. Si la qualification réelle était « haut risque », l'opérateur se retrouve en non-conformité totale — et le consultant qui a posé le diagnostic en porte la responsabilité technique.

Les systèmes de l'annexe III concernent notamment le recrutement, l'évaluation de la solvabilité, l'accès aux services publics essentiels, ou la gestion des travailleurs. Un consultant qui sous-estime la portée d'un système de tri de CV ou de scoring crée une exposition massive.

La frontière entre « risque limité » et « haut risque » est l'endroit où se jouent la valeur de votre conseil et l'essentiel de votre risque juridique. Une erreur de qualification n'est pas une nuance : c'est une faute professionnelle caractérisée.

Face à ce risque structurel, la RC Pro intervient sur les conséquences financières d'une erreur de qualification ou d'un défaut de mise en garde, et prend en charge les frais de défense lorsque le client conteste votre analyse.

L'AI Act n'entre pas en vigueur d'un bloc. Son application s'échelonne : interdiction des pratiques prohibées dès février 2025, obligations sur les modèles à usage général en août 2025, régime complet du haut risque jusqu'en 2027. Cette montée en charge progressive crée une zone d'incertitude permanente pour le consultant.

Conseiller un client en 2026 sur une obligation qui ne deviendra contraignante qu'en 2027 suppose d'anticiper sans surévaluer ni sous-évaluer. Deux fautes symétriques guettent :

• Sous-anticiper : laisser le client penser qu'une obligation future ne le concerne pas encore, et le placer en situation de rattrapage impossible le jour de l'échéance.
• Sur-anticiper : imposer des contraintes prématurées coûteuses, que le client vous reprochera comme du conseil inadapté ayant grevé inutilement son budget.

Dans les deux cas, la solidité de votre dossier repose sur la traçabilité de ce que vous avez écrit, à quelle date, sur la base de quel état du droit. Le consultant qui documente ses recommandations en les datant et en citant les textes applicables se protège bien mieux que celui qui conseille à l'oral.

En matière de devoir de conseil, la jurisprudence a opéré un renversement majeur : c'est au conseil de prouver qu'il a bien informé son client, et non au client de prouver qu'il a été mal conseillé. Cette règle, issue de la responsabilité des professionnels du droit et du chiffre, s'applique pleinement au consultant éthique IA.

Concrètement, en cas de litige, on vous demandera de produire : les livrables datés, les comptes rendus de réunion, les courriels de mise en garde, les versions successives de la charte ou du rapport FRIA. Sans ces traces, vous êtes présumé avoir manqué à votre devoir, même si vous aviez verbalement alerté le client.

Quelques réflexes protègent durablement :

1. Formaliser chaque mise en garde par écrit, en nommant le risque et ses conséquences possibles.
2. Faire valider les arbitrages du client par écrit lorsqu'il choisit de ne pas suivre une recommandation.
3. Délimiter le périmètre de mission dans le contrat : ce que vous auditez, et ce que vous n'auditez pas.
4. Conserver l'ensemble de la documentation au-delà de la durée de la mission, le délai de prescription civile courant sur cinq ans.

Ces réflexes documentaires ne suppriment pas le risque : ils en réduisent la probabilité et la gravité. Pour le reste, l'assurance prend le relais. Si votre activité touche aussi à la manipulation de données sensibles des systèmes audités, une couverture cyber complète utilement votre dispositif.

Un dernier point mérite l'attention du consultant : la prescription. En matière contractuelle, l'action de votre client se prescrit par cinq ans à compter du jour où il a connu ou aurait dû connaître les faits lui permettant d'agir. Or un défaut de conformité AI Act peut ne se révéler que tardivement, lors d'un contrôle ou d'un incident en production. Une recommandation formulée aujourd'hui peut donc vous être reprochée plusieurs années plus tard, sur la base d'un état du droit qui aura évolué entre-temps. C'est une raison supplémentaire de dater rigoureusement vos livrables et de souscrire une garantie qui couvre les réclamations émergeant après la fin de la mission.