L'AI Act expliqué simplement : ce que les PME luxembourgeoises doivent vraiment savoir

L'AI Act est désormais en vigueur, et le texte officiel donne l'impression d'avoir été conçu pour ne jamais être lu. Ceci n'est pas un conseil juridique. C'est un repère : dans quel niveau de risque vous vous situez probablement, ce qu'il faut documenter, et pourquoi le choix de votre hébergement compte.

Les niveaux de risque, en clair

L'AI Act classe les systèmes d'IA en quatre bandes de risque. Plus la bande est élevée, plus les obligations sont lourdes.

• Risque inacceptable : totalement interdit. Reconnaissance faciale en temps réel dans l'espace public, notation sociale, manipulation subliminale. Les PME luxembourgeoises ne construisent pas ce genre de systèmes.
• Risque élevé : IA utilisée dans les décisions de recrutement, la notation de crédit, le diagnostic médical, les infrastructures critiques, les forces de l'ordre. Une documentation importante et une évaluation de conformité sont exigées. Certaines PME entrent dans cette bande si elles utilisent l'IA pour présélectionner des candidats ou évaluer la solvabilité.
• Risque limité : principalement des obligations de transparence. Si votre IA interagit avec des clients (un chatbot, un assistant WhatsApp), vous devez indiquer clairement aux utilisateurs qu'ils s'adressent à un système, et non à une personne.
• Risque minimal : tout le reste. Filtres anti-spam, rédaction assistée par IA, synthèse de documents, génération de rapports internes, automatisation de la planification. Aucune obligation au-delà de la conformité RGPD habituelle.

La plupart des cas d'usage des PME se situent dans la bande minimale ou limitée. Rédiger un e-mail, résumer un PDF, automatiser un workflow de facturation : rien de tout cela ne déclenche d'obligations liées au risque élevé.

Ce que vous devriez documenter, de toute façon

Même à risque minimal, une documentation légère vaut la peine. Non pas parce que la réglementation l'exige, mais parce qu'elle impose de la clarté et vous protège si une question venait à se poser.

Consignez, en langage clair : ce que fait le système, quelles données il traite, qui vérifie ses résultats avant qu'ils n'influencent une décision, et comment vous corrigeriez une erreur. Un seul document interne suffit. Vous n'avez pas besoin d'un service conformité. Vous avez besoin d'une description claire de la réalité.

Les entreprises qui auront du mal avec la réglementation sur l'IA ne sont pas celles qui ont construit quelque chose de complexe. Ce sont celles qui n'ont pas su expliquer ce qu'elles ont construit, ni où sont allées les données.

Si vous exploitez un chatbot destiné à vos clients, ajoutez un point supplémentaire : vérifiez que votre interface ou vos conditions d'utilisation précisent clairement que l'utilisateur s'adresse à un système automatisé. Cela couvre l'obligation de transparence liée au risque limité.

Pourquoi l'hébergement et le traitement des données comptent

Une infrastructure hébergée en UE n'est pas un argument marketing. Lorsque vos données restent sur des serveurs européens et ne transitent jamais par un fournisseur situé dans un pays tiers sans garanties adéquates, votre exposition au RGPD diminue et votre conformité à l'AI Act devient plus simple à démontrer. Vous pouvez indiquer précisément où résident les données, qui y a accès, et sur quelle base légale elles sont traitées.

Si votre workflow d'IA envoie des données clients vers une API basée aux États-Unis sans contrat de traitement des données (DPA) ni mécanisme de transfert valide, vous avez un problème qui existait déjà avant l'AI Act. Ce dernier ne fait qu'ajouter une couche supplémentaire sur des fondations déjà fragiles.

Chez Focus AI, chaque système que nous construisons fonctionne sur une infrastructure européenne, utilise des bases de données auto-hébergées lorsque la résidence des données compte, et est livré avec une documentation que le client peut réellement utiliser. Pas pour cocher une case, mais parce que c'est ce qu'il faut pour que le système survive dans un environnement réglementé.

Ce qu'il faut retenir, concrètement

Si vous automatisez des workflows internes, résumez des documents, ou exploitez un assistant destiné aux clients, vous êtes presque certainement dans la bande minimale ou limitée. Documentez-le simplement, signalez le bot là où c'est requis, gardez les données en UE. C'est la liste de contrôle pour la plupart des PME luxembourgeoises. Ne construisez pas d'applications à risque élevé sans l'accompagnement d'un conseil juridique compétent.