IA Act : ce que le règlement européen impose à un cabinet de moins de vingt personnes.

Oui, mais en qualité de déployeur, ce qui est le régime le plus léger du règlement. Concrètement, quatre obligations. Assurer une compréhension suffisante des outils par les personnes qui les utilisent, au titre de l'article 4, applicable depuis le 2 février 2025. Ne recourir à aucune pratique interdite par l'article 5. Signaler les contenus générés par IA qui sont publiés, depuis le 2 août 2026. Et appliquer le régime renforcé de l'annexe III si l'IA touche au recrutement ou à l'évaluation des collaborateurs.

Le règlement ne prescrit ni durée, ni programme, ni organisme : il demande un niveau de littératie suffisant au regard des outils utilisés et du contexte. Pour un cabinet, cela signifie que chaque personne qui utilise l'IA sait ce que fait l'outil, ce qu'il ne sait pas faire, ce qu'il ne faut jamais lui donner, et à qui s'adresser en cas de doute. Une session interne d'une heure, une charte écrite signée et un référent désigné constituent une preuve raisonnable de conformité.

Aucune déclaration préalable n'est prévue pour un déployeur qui utilise des systèmes à risque minimal, ce qui couvre la quasi-totalité des usages d'un cabinet. Les obligations d'enregistrement dans la base de données européenne visent les fournisseurs de systèmes à haut risque, et certains déployeurs publics. En revanche, le traitement de données personnelles reste soumis au RGPD : il doit figurer au registre des traitements du cabinet, qui n'est pas une déclaration mais un document tenu en interne.

L'obligation de transparence de l'article 50 vise les contenus générés ou manipulés qui sont diffusés, et prévoit une exception quand le contenu a fait l'objet d'un contrôle humain avec responsabilité éditoriale. Un courrier préparé par un agent puis relu, corrigé et signé par le professionnel entre dans cette exception : c'est le professionnel qui en répond. Un contenu publié sans relecture, en revanche, doit être signalé comme généré par une IA.

Quatre pièces suffisent à documenter un cabinet de taille courante. La charte d'utilisation de l'IA, datée et signée par l'équipe. Le registre des usages, qui dit quel agent lit quelles données, pour quelle finalité et pendant combien de temps. La trace des sessions de formation, avec la liste des participants. Et le document de cadrage qui décrit les validations humaines exigées sur les actions sensibles. Ce sont les documents que nous remettons systématiquement en fin d'installation.