AI Act : et si vous classez mal le système de votre client ?

Le règlement européen sur l'intelligence artificielle (AI Act) a instauré une logique simple en apparence : tout système d'IA se range dans une catégorie de risque — inacceptable, haut risque, risque limité, risque minimal — à laquelle correspondent des obligations graduées. Pour les modèles génératifs polyvalents, une catégorie spécifique s'ajoute : celle des GPAI (modèles d'IA à usage général), avec ses propres exigences de transparence et de documentation.

Le piège, pour vous consultant, c'est que la classification se décide au moment du cadrage du cas d'usage — c'est-à-dire pendant votre mission. Un même modèle peut être anodin dans un usage marketing et tomber en « haut risque » dès qu'il sert à filtrer des CV, scorer un crédit ou trier des dossiers d'assurés. La qualification ne dépend pas du modèle, mais de l'usage que vous avez aidé à concevoir. Vous êtes donc en première ligne sur la grille de lecture.

Erreur n°1 : sous-estimer le haut risque. Vous accompagnez un cabinet RH sur un assistant de présélection de candidatures. Vous le traitez comme un simple outil de productivité. Or l'AI Act range explicitement les systèmes utilisés pour le recrutement et l'évaluation de personnes dans les usages à haut risque, avec à la clé des obligations lourdes : évaluation de conformité, gestion des risques, supervision humaine, documentation technique. Si vous n'avez ni signalé ce statut ni intégré ces exigences, votre client se retrouve en infraction sans même le savoir.

Erreur n°2 : ignorer les obligations GPAI. Vous déployez une solution reposant sur un grand modèle de fondation. Des obligations de transparence pèsent sur la chaîne — information des utilisateurs qu'ils interagissent avec une IA, marquage des contenus générés, documentation. Les négliger expose votre client, et le défaut de conseil vous expose vous.

La question que pose un contrôle n'est pas « le modèle est-il conforme ? » mais « qui a qualifié ce cas d'usage, et pourquoi a-t-il conclu qu'il échappait aux obligations ? »

Beaucoup de consultants pensent se mettre à l'abri en arguant qu'ils sont des experts techniques, pas des juristes. C'est une protection illusoire. Le droit français reconnaît un devoir de conseil qui s'étend à tout ce qu'un professionnel diligent de votre spécialité est censé connaître. Or aujourd'hui, un consultant Generative AI est censé savoir qu'un cas d'usage RH ou crédit déclenche un régime « haut risque ». Ne pas le signaler, c'est manquer à votre devoir de conseil.

Ce devoir ne vous oblige pas à rendre un avis juridique. Il vous oblige à identifier le drapeau rouge et à orienter le client vers la bonne expertise. La bonne posture : « Ce cas d'usage relève potentiellement du haut risque au sens de l'AI Act ; je recommande une analyse de conformité dédiée avant la mise en production. » Cette phrase, écrite et datée, vous protège ; son absence vous expose.

Quand un système d'IA est jugé non conforme, c'est l'organisation qui le déploie qui encaisse la sanction administrative et le surcoût de mise en conformité. Mais cette organisation a un recours naturel : se retourner contre le prestataire qui l'a conseillée et a validé l'architecture sans l'alerter. Le préjudice qu'elle vous réclame couvre alors :

• Le coût de la mise en conformité d'urgence (audits, documentation technique, refonte des process).
• L'arrêt ou le report du projet, avec la perte de bénéfice attendue.
• Le cas échéant, la quote-part de la sanction réglementaire imputable à votre défaut de conseil.
• Les frais juridiques de gestion du contrôle.

C'est un préjudice immatériel par excellence, et c'est exactement ce que prend en charge une RC Pro adaptée aux consultants en IA. Sans elle, vous absorbez seul une réclamation qui peut dépasser largement le montant de la mission qui l'a générée.

Face à l'AI Act, votre meilleure défense n'est pas de tout savoir, mais de tracer ce que vous avez signalé. Construisez systématiquement un livrable de qualification réglementaire, même léger, qui acte pour chaque cas d'usage :

1. La finalité précise du système et les personnes concernées.
2. La catégorie de risque pressentie (minimal, limité, haut risque, GPAI).
3. Les obligations qui en découlent et les actions recommandées.
4. Les points nécessitant un avis juridique externe.

Ce document a une double vertu : il rend un vrai service au client (qui dispose d'une base de conformité) et il constitue votre preuve que vous avez exercé votre devoir de conseil. En cas de litige, un consultant qui produit ce livrable n'est pas dans la même position que celui qui n'a rien écrit.

Notez que la conformité AI Act et la conformité RGPD se recouvrent partiellement : un système haut risque manipule souvent des données personnelles. Si une fuite survient en marge du dossier, c'est une assurance cyber qui prend le relais sur le volet data, en complément de la RC Pro sur le volet conseil.

Le meilleur moment pour traiter l'AI Act n'est pas la veille de la mise en production, mais la proposition commerciale. Intégrez explicitement une phase de qualification réglementaire dans votre périmètre, ou au contraire excluez-la noir sur blanc en renvoyant vers un conseil spécialisé. Ce que vous ne pouvez pas faire, c'est rester dans le flou : un périmètre ambigu est toujours interprété en votre défaveur lorsque le client a subi un préjudice.

En clarifiant dès le départ qui porte la responsabilité de la conformité, vous réduisez à la fois le risque de litige et l'ampleur d'une éventuelle réclamation. Couplé à une RC Pro dont la prime démarre à 18,90 €/mois, ce cadrage contractuel constitue votre dispositif de protection le plus rentable.