La conformité dans le workflow,
pas après.
Chaque AI Workflow Design que nous greffons embarque un overlay de conformité : quatre contrôles qui accompagnent chaque cas d'usage, pour savoir dès le premier jour ce que vous pouvez faire, ce qui doit être signalé et ce qui doit être documenté. Voici ce qu'ils contiennent, en entier — sans alarmisme et sans barrière.
Dans la plupart des cas, vous utilisez l'IA, vous ne la construisez pas : vous êtes un déployeur. Les obligations sont réelles mais plus légères que celles de ceux qui vendent les systèmes — et c'est nous qui les cartographions.
Une échéance, elle, est fixe : à partir du 2 août 2026, l'article 50 de l'AI Act demande de dire à celui qui vous écrit qu'il parle avec une IA. C'est l'obligation la plus simple à mettre en place, et nous l'avons écrite en entier :
À partir du 2 août, vous devrez dire à vos clients qu'ils parlent avec une IAQuel est le risque de votre IA ?
Choisissez ce que votre IA fait réellement : nous vous orientons vers son niveau de risque probable au sens de l'EU AI Act et vers les obligations qui en découlent — ensuite, approfondissez ci-dessous ou parlons-en ensemble.
Interdit par l'AI Act, y compris pour une entreprise privée. Si un cas d'usage relève de ce niveau, on ne l'atténue pas — on ne le fait pas.
- L'usage n'est pas admis : il sort du projet, on ne l'encadre pas.
Autorisé, mais avec les obligations lourdes de l'annexe III et de l'article 26. C'est la catégorie exigeante : elle se conçoit avec soin dès le départ.
- Une surveillance humaine effective sur les décisions.
- Un usage conforme aux instructions du fournisseur, avec des données d'entrée pertinentes au regard de la finalité.
- Un suivi du fonctionnement et des journaux conservés au moins six mois.
- Le signalement des incidents graves.
Pas de grosse machinerie : uniquement des obligations de transparence. La personne doit savoir qu'elle interagit avec — ou qu'elle lit — une sortie d'IA.
- Un agent conversationnel doit se déclarer comme tel.
- Les contenus générés ou modifiés par l'IA doivent être signalés comme tels.
Aucune obligation spécifique au titre de l'AI Act. C'est là que se situe la très grande majorité de l'IA d'une PME.
- Aucune obligation formelle issue de l'AI Act — les bonnes pratiques de sécurité et la protection des données (RGPD) restent de mise.
Orientation pédagogique, ni qualification juridique ni conseil juridique. Le classement définitif dépend du cas concret et doit être vérifié au cas par cas.
Le niveau de risque
L'EU AI Act classe les usages de l'IA par niveau de risque. Nous plaçons chaque cas d'usage au bon niveau, pour que vous sachiez à l'avance quelles obligations s'appliquent vraiment — et lesquelles non.
-
Minimal et limité
Là où relève la plupart des workflows pour les PME : copilotes internes, génération de contenus, bots de support. Des obligations légères — surtout de transparence, comme indiquer que l'utilisateur parle avec une IA.
-
Haut risque — nous le signalons à part
Recrutement, évaluation du crédit, biométrie : ici s'appliquent les obligations lourdes du déployeur — supervision humaine assignée, données d'entrée pertinentes, conservation des logs, surveillance et signalement des incidents. Si un cas d'usage tombe dans cette catégorie, nous le mettons distinctement en évidence dans le catalogue, nous ne le cachons pas au milieu des autres.
Des simplifications dédiées sont prévues pour les PME (documentation technique allégée, canaux de consultation, bacs à sable réglementaires). Les échéances sur les systèmes à haut risque bougent encore, et celles-là nous les relisons à chaque mission ; celle de l'article 50, non — c'est le 2 août 2026, et c'est la seule date que nous imprimons ici.
L'analyse d'impact (AIPD)
Le RGPD exige une analyse d'impact relative à la protection des données (AIPD) lorsque le traitement est « susceptible d'engendrer un risque élevé ». Nous vérifions si votre cas la déclenche avant de démarrer.
-
Décisions automatisées produisant des effets juridiques ou significatifs sur les personnes
-
Catégories particulières de données traitées à grande échelle
-
Surveillance systématique d'espaces accessibles au public
La partie que les modèles standards oublient
Une AIPD générique couvre la partie RGPD mais ignore les risques propres à l'IA : opacité du modèle, mémorisation des données d'entraînement, dérive dans le temps, le droit à l'effacement qui se heurte à un modèle déjà entraîné. Notre analyse comporte une section dédiée à ces points, pas seulement le boilerplate.
Des étiquettes de risque, pas de la prose
Chaque cas d'usage reçoit une étiquette structurée sur le modèle du MIT AI Risk Repository, au lieu d'un paragraphe discursif. Deux axes qui se combinent, pour que le risque devienne traçable et comparable d'un workflow à l'autre.
- Comment naît le risque
- Qui l'origine (une personne, l'IA, autre), s'il est intentionnel ou non, et s'il émerge avant ou après la mise en production.
- De quel type de risque il s'agit
- Discrimination, confidentialité et sécurité, désinformation, usage abusif, interaction homme-machine, impacts socioéconomiques, défaillances du système.
Un exemple concret
Les hallucinations d'un copilote de vente s'étiquettent comme un risque de désinformation, provenant de l'IA, non intentionnel, qui émerge après la mise en production — avec sa mesure de mitigation écrite à côté. Une étiquette citable à la place d'une phrase.
Le cadre réglementaire national italien
Au niveau européen s'ajoute le niveau national : le Garante Privacy (l'autorité italienne de protection des données) et les principes italiens en matière d'intelligence artificielle. C'est une matière qui évolue vite et l'activité de contrôle est réelle, pas théorique — donc nous la relisons à chaque mission plutôt que de la tenir pour acquise.
La supervision humaine reste partie intégrante du design
Le fil qui tient ensemble les quatre contrôles : aucun workflow que nous greffons ne prend de décisions à la place des personnes sans un point de contrôle humain. C'est ainsi que l'overlay cesse d'être un chapitre à part et devient partie intégrante de la façon dont le workflow est conçu.
Les analyses qui sous-tendent ces contrôles.
- L'EU AI Act pour les PME : ce qui change vraiment (et ce qui ne change pas) Conformité ·
- À partir du 2 août, vous devrez dire à vos clients qu'ils parlent avec une IA Conformité ·
- La gouvernance de l'IA dans une PME : les contrôles qui rendent un cas d'usage défendable Conformité ·
- Le fournisseur IA que vous vous apprêtez à adopter est-il fiable ? SOC 2, ISO 42001 et ce qu'il faut demander avant de signer Conformité ·
- Le code écrit par l'IA est-il sûr ? Ce que disent les études indépendantes — et ce qu'il faut en mettre dans le contrat Conformité ·
L'overlay fait partie du design. Pas une option.
Voyez comment il s'applique à un service réel dans les exemples ouverts d'AI Workflow Design, ou commencez par l'évaluation gratuite pour comprendre par où il vaut mieux commencer.
Cette page est à titre d'orientation : elle ne constitue pas un conseil juridique ni une évaluation de conformité ponctuelle, que nous menons ensemble sur votre cas concret.