AI Act : le jour où votre mission bascule en « haut risque »

Le règlement européen sur l'intelligence artificielle (le « AI Act ») a changé la grille de lecture. Beaucoup de consultants imaginent encore que la réglementation cible les modèles les plus puissants — les grands modèles de langage, les réseaux de neurones profonds. C'est faux. Le texte raisonne par niveau de risque pour les droits fondamentaux, pas par sophistication technique.

Quatre catégories structurent le règlement : risque inacceptable (interdit), haut risque (très encadré), risque limité (obligations de transparence) et risque minimal (libre). Un simple algorithme de tri de CV, techniquement trivial, peut relever du haut risque. À l'inverse, un modèle de recommandation musicale ultra-complexe reste en risque minimal.

Ce renversement est central pour votre métier : ce que vous devez évaluer en premier lieu, ce n'est pas « quel modèle vais-je construire », mais « à quoi va-t-il servir et qui va-t-il impacter ».

L'annexe du règlement liste précisément les domaines sensibles. Si votre mission touche l'un d'eux, vous quittez la zone de confort réglementaire. Parmi les plus fréquents en conseil :

• Ressources humaines : tri de candidatures, scoring de candidats, évaluation de performance, décisions de promotion ou de licenciement.
• Accès au crédit et à l'assurance : scoring de solvabilité, tarification automatisée pour les particuliers.
• Biométrie : identification ou catégorisation de personnes à distance.
• Éducation : notation d'examens, orientation, admission.
• Services publics essentiels : attribution de prestations sociales, priorisation des secours.

Un consultant qui livre un moteur de présélection de CV à un cabinet de recrutement conçoit, sans toujours le réaliser, un système d'IA à haut risque. Le ticket d'entrée change radicalement.

Basculer en haut risque, ce n'est pas cocher une case de plus : c'est endosser une mécanique d'exigences techniques et documentaires. Concrètement, le système doit répondre à un faisceau d'obligations :

Si l'architecture que vous proposez ne prévoit ni journalisation, ni supervision humaine, ni documentation technique, vous livrez un système non conforme par construction. Le défaut ne se voit pas le jour de la livraison — il éclate au premier contrôle ou au premier litige.

Le AI Act distingue plusieurs acteurs : le fournisseur (qui développe et met sur le marché), le déployeur (qui utilise le système). Votre client est généralement l'un des deux. Mais en tant que concepteur, vous êtes celui qui oriente les choix d'architecture qui rendront le système conforme… ou non.

Si vous classez à tort un système comme « risque limité » alors qu'il relève du haut risque, et que votre client se fait épingler, le préjudice est double : sanction réglementaire (les amendes du AI Act se comptent en millions d'euros ou en pourcentage du chiffre d'affaires mondial) et retrait du marché du produit, parfois après des mois de développement.

Votre client ne vous reprochera pas le code. Il vous reprochera de ne pas l'avoir alerté que sa solution tombait dans le périmètre réglementé.

C'est exactement le terrain de la faute de conseil : un manquement à votre devoir d'information et de mise en garde, qui engage votre responsabilité civile professionnelle. Ce devoir est d'autant plus exigeant que vous êtes présenté — sur votre site, dans vos propositions commerciales — comme un expert de l'IA. Plus votre positionnement est spécialisé, plus le juge attendra de vous une connaissance fine du cadre applicable.

Le AI Act n'est pas un texte lointain dont la mise en œuvre serait repoussée aux calendes. Il entre en application par paliers, et chaque palier referme une fenêtre de tolérance. Les pratiques interdites s'appliquent en premier, les obligations sur les modèles d'usage général ensuite, puis le gros morceau : les exigences sur les systèmes à haut risque.

Pour un consultant, cela signifie qu'un système conçu aujourd'hui pour une mise en production future devra déjà intégrer la conformité dès la phase de design. On ne « rajoute » pas après coup une journalisation, une supervision humaine ou une documentation technique : ces exigences structurent l'architecture. Les concevoir trop tard, c'est condamner le projet à une refonte.

Le réflexe professionnel consiste donc à intégrer la question réglementaire au cadrage, au même titre que les contraintes techniques et budgétaires. Un consultant qui découvre le sujet de la conformité à la livraison a déjà, mécaniquement, accumulé un risque.

Deux leviers se combinent. D'abord, la méthode contractuelle :

• Réalisez une cartographie de classification en début de mission et faites-la valider par écrit par le client.
• Inscrivez noir sur blanc le périmètre de votre conseil : conception technique, et/ou accompagnement à la conformité.
• Documentez vos recommandations de gouvernance des données et de supervision humaine — c'est votre meilleure preuve de diligence.

Ensuite, le filet de sécurité assurantiel. Même le consultant le plus rigoureux n'est pas à l'abri d'une interprétation divergente d'un texte encore jeune. La RC Pro pour consultant IA prend en charge les conséquences pécuniaires d'une faute, erreur ou omission dans vos prestations de conseil, ainsi que vos frais de défense — avocat spécialisé, expertise — qui à eux seuls peuvent peser plusieurs milliers d'euros face à un litige réglementaire.

Pour le détail des garanties adaptées à votre activité, consultez la fiche assurance consultant IA.