EU AI Act pour les utilisateurs

Beaucoup de responsables pensent que la conformité de l'IA relève des éditeurs d'outils comme Microsoft ou OpenAI. C'est une erreur. Le règlement européen sur l'IA (EU AI Act) répartit les obligations sur toute la chaîne de valeur, et les organisations qui déploient ces outils en portent leur part, qu'elles l'aient voulu ou non.

Cet article compare Copilot et ChatGPT sous l'angle de la loi. Il présente les niveaux de risque, la part de travail que chaque outil vous épargne ou vous laisse, et la checklist concrète à mettre en place pour aborder un audit sereinement.

EU AI Act : pourquoi les déployeurs sont concernés

La loi ne s'arrête pas aux développeurs. Si vous déployez ChatGPT dans les ressources humaines, vous devez surveiller les biais, être capable de les expliquer et les documenter. Cette responsabilité partagée ne se délègue pas au fournisseur.

Les obligations entrent en vigueur de manière progressive, mais leur application commence immédiatement. Les sanctions peuvent atteindre jusqu'à 7 % du chiffre d'affaires. Suivre les mises à jour, par exemple via le Microsoft Trust Center, n'est donc pas facultatif : c'est une question de survie pour l'organisation.

L'échelle de risque à quatre niveaux : le principe de base de la loi

Chaque système d'IA est classé dans l'une de ces quatre catégories : inacceptable, élevé, limité ou minimal. Cette classification détermine le niveau de documentation, de supervision humaine, de reporting et de transparence qui vous est imposé.

Le contexte d'usage décide, pas l'apparence de l'outil

Beaucoup supposent qu'un outil de productivité relève automatiquement de la catégorie minimale. Or la classification dépend de ce que fait le système et du contexte dans lequel vous l'employez. Un chatbot qui rédige des publications pour les réseaux sociaux présente un risque faible. Dès que le même moteur est branché sur le recrutement, le reporting de conformité ou la notation de crédit, il bascule immédiatement dans le risque élevé, sans montée progressive.

Des usages classés à haut risque d'office

Certaines applications sont à haut risque par construction, sans discussion possible :

• le tri automatisé de CV et la notation en recrutement ;
• l'identification biométrique ;
• l'IA utilisée par les forces de l'ordre ou pour le contrôle aux frontières.

Les modèles génératifs à usage général, comme ChatGPT et Copilot, ne sont pas automatiquement à haut risque. Ils sont toutefois soumis à des exigences de transparence : les déployeurs doivent indiquer clairement la nature de l'IA et, dans certains cas, assumer des responsabilités supplémentaires lorsque le modèle influence des décisions sensibles.

Un calendrier échelonné, mais pas une clémence

Les pratiques interdites, comme l'IA manipulatrice ou la notation sociale, sont proscrites en premier. Les obligations de transparence et d'étiquetage suivent peu après. Les obligations lourdes pour les systèmes à haut risque ne s'appliquent pleinement que plus tard. Ce décalage n'est pas un répit : ces échéances convergent, et il faut cartographier dès maintenant ses cas d'usage. L'ignorance ne constituera pas une défense devant les auditeurs.

Plus votre projet se situe haut sur l'échelle, plus la checklist s'alourdit. En bas, une note de transparence peut suffire. En haut, il faut des dossiers de gestion des risques, des journaux de supervision prêts pour l'audit et une formation documentée du personnel.

Un même outil peut ainsi relever de plusieurs niveaux. Utiliser Copilot pour résumer des notes de réunion correspond à une classification limitée ou minimale. L'intégrer directement aux référentiels de gouvernance et aux rapports de conformité vous place sur des échelons supérieurs, avec toutes les obligations afférentes. Les régulateurs jugent les risques démontrables pour la sécurité et les droits fondamentaux, pas le discours marketing ni les présentations internes.

Copilot : une conformité en grande partie intégrée

Copilot est positionné comme un outil prêt pour l'entreprise, conçu pour la gouvernance. Il s'appuie sur une infrastructure déjà intégrée à Microsoft 365 : un espace de travail réglementé, des certifications de conformité et un long héritage en matière de sécurité. C'est la différence entre acheter un mobilier certifié, déjà testé selon les normes incendie, et assembler soi-même des pièces en espérant que l'inspecteur ne regarde pas de trop près.

Données, hébergement et garde-fous

• Pas de réinjection dans les modèles de base : selon Microsoft, les invites, les réponses et les données accessibles via Microsoft Graph ne servent pas à entraîner les LLM de base.
• Hébergement : Copilot s'exécute sur Azure OpenAI, dans la limite du service Microsoft 365. Ce que vous saisissez reste dans votre tenant, sous réserve des autorisations de votre organisation. Cette séparation compte aussi bien pour le RGPD que pour l'AI Act.
• Une nuance importante : Microsoft applique une limite de données européenne, mais la documentation indique qu'en période de forte demande, des requêtes peuvent être acheminées vers d'autres régions pour des raisons de capacité. Les régulateurs distinguent « toujours dans l'UE » de « d'abord dans l'UE, avec débordement ».
• Systèmes de sécurité : des classificateurs filtrent les sorties nuisibles ou biaisées, et certains bloquent l'inférence d'attributs personnels sensibles.

Les outils d'accompagnement

Microsoft Purview applique la découverte, la classification et la conservation des données directement dans l'environnement Copilot, ce qui protège les données personnelles par la politique plutôt que par de bonnes intentions. Les notes de transparence du tableau de bord Responsible AI expliquent les limites du modèle. Le Microsoft Trust Center héberge la documentation, les évaluations d'impact et les modèles utiles en cas d'audit.

Attention toutefois : Copilot ne supprime pas vos obligations. Le modèle est celui d'une responsabilité partagée. Microsoft fournit l'échafaudage, mais c'est à vous de le configurer, de journaliser et de l'utiliser. Les auditeurs demanderont vos dossiers, pas seulement ceux du fournisseur.

ChatGPT : flexibilité et charge de conformité

La force de ChatGPT est sa flexibilité : il s'adapte à presque tout et produit du texte fluide sur commande. Sous l'AI Act, cette même flexibilité devient vite un sujet de conformité.

Dans sa forme grand public, ChatGPT relève par défaut du risque limité : brainstorming, résumés, usages ponctuels. Dès qu'il intervient dans des décisions touchant des personnes (recrutement, approbation de crédit, contexte de santé), il passe dans une catégorie de risque plus élevé. Ce qui varie, ce n'est pas le code de l'outil, mais le contexte d'utilisation.

Ce que le déployeur doit construire lui-même

La version publique n'arrive pas avec des garanties prêtes à l'emploi. Il faut vérifier la documentation, les conditions et les contrats d'OpenAI pour savoir quelles données sont stockées, comment elles sont utilisées et quels garde-fous existent. « Nous pensions que c'était sûr » ne sera pas accepté comme défense. Vous devez mettre en place :

• des politiques d'encadrement des invites ;
• des journaux d'audit pour tracer l'utilisation ;
• des limites pour les données personnelles ;
• des processus de signalement des incidents.

Avec Copilot, une grande partie de la structure est déjà boulonnée. Avec ChatGPT, vous êtes à la fois architecte, entrepreneur et responsable conformité. L'image est celle d'un moteur très performant, livré sans châssis, sans ceintures ni airbags.

Transparence, médias synthétiques et RGPD

Les contenus générés (texte, images, audio) doivent être identifiés comme tels, et le traçage des invites ainsi que l'explication du comportement du système sont requis. C'est simple sur le papier, plus délicat en pratique : expliquer qu'un modèle prédit des probabilités de jetons ne constitue pas une justification juridiquement suffisante de son influence sur une recommandation d'embauche. Un contenu vocal ou vidéo imitant une personne réelle peut en outre être classé comme deepfake et soumis à une surveillance accrue.

Le RGPD s'ajoute à tout cela. Dès que les invites contiennent des données identifiantes, vous devez garantir un traitement licite, loyal et transparent : consentement si nécessaire, minimisation des données stockées, respect des droits des personnes. Le service public ne configure rien de tout cela à votre place.

La voie intermédiaire

Lorsque les fonctionnalités d'OpenAI sont accessibles via des plateformes gérées comme Azure OpenAI ou des connecteurs intégrés à l'environnement d'entreprise, le paysage s'améliore : journaux d'audit, garanties de résidence et supervision dans les limites de votre tenant. Vos responsabilités restent entières, mais elles deviennent gérables avec des outils plutôt qu'avec des tableurs. Il s'agit alors de valider que la supervision promise par contrat fonctionne réellement.

Checklist de conformité : les trois piliers du déployeur

La loi attend des listes de contrôle opérationnelles, pas des assurances vagues.

1. Réaliser une analyse d'impact relative à la protection des données (AIPD) et tenir un registre des activités de traitement. Dans le recrutement, la santé ou la notation financière, vous devez démontrer que vous avez évalué le risque et documenté les flux de traitement. L'AIPD met le risque en évidence, le registre prouve que vous suivez le traitement.
2. Classer et contrôler les données. Microsoft Purview permet d'étiqueter automatiquement les documents sensibles, d'imposer des politiques de conservation et d'appliquer la DLP. Combinez-le avec des accès au moindre privilège : limitez les requêtes Copilot grâce aux index sémantiques et aux modèles d'autorisation, afin qu'il ne s'appuie que sur les données que l'utilisateur peut consulter.
3. Journaliser, conserver et gérer chaque interaction. Configurez l'historique d'activité de Copilot, activez et conservez les journaux d'audit d'Azure et de Microsoft 365. Si vous ne pouvez pas montrer qui a utilisé quelle IA, dans quel but et à quelle date, votre supervision ne tiendra pas devant un tribunal. La durée de conservation doit être calibrée : assez longue pour être utile, sans noyer l'organisation sous des données inutiles.

À ces trois piliers s'ajoute la formation du personnel, exigée par l'article 4. Elle doit être adaptée aux rôles : les équipes techniques doivent comprendre les modèles de risque et la journalisation, les équipes RH les biais, la documentation et l'information des personnes. C'est le quatrième artefact de conformité.

Erreurs fréquentes et pièges à éviter

• Croire que l'outil détermine le niveau de risque. C'est l'usage et l'impact qui comptent. Un test apparemment anodin peut être requalifié en système réglementé dès qu'il affecte les moyens de subsistance d'une personne.
• Utiliser ChatGPT comme assistant informel : textes sans mention de divulgation, CV soumis sans vérification des biais, notes sensibles traitées sans limite de données. Ces usages peuvent transformer un risque limité en déploiement à haut risque du jour au lendemain.
• Confondre échafaudage et bâtiment. Les tableaux de bord, notes de transparence et modèles des fournisseurs ne remplacent pas votre propre structure de gouvernance. Les régulateurs ne demandent pas si Purview existe, mais si vous avez mis les contrôles en œuvre et pouvez produire vos journaux.
• Prendre Copilot pour une solution miracle. Il réduit l'exposition juridique sans l'éliminer : il reste à configurer, documenter et surveiller.
• Attendre. Les échéances convergent, et les risques vont de lourdes pénalités financières à une atteinte à la réputation et à l'érosion de la confiance des clients.

Réglementation et innovation : un cadre, pas un frein

La loi ne vise pas à entraver les développeurs ni à submerger les entreprises de paperasse. Elle remplace l'incertitude par un cadre stable. Des obligations claires suppriment l'hésitation : on ne risque plus de voir un projet s'enliser parce que personne ne savait si un outil de tri de CV était légal, ni d'être déclaré non conforme six mois après le déploiement. L'image la plus parlante est celle de la ceinture de sécurité : elle n'empêche pas de conduire, elle permet aux passagers de monter à bord en confiance.

Le service juridique de Microsoft utilise lui-même Copilot pour aider ses équipes à interpréter les dispositions de l'AI Act, un usage qui aurait été difficile à envisager dans l'incertitude réglementaire d'hier.

Il faut néanmoins reconnaître les limites : certains modèles avancés arrivent plus lentement en Europe à cause des coûts de conformité et de l'incertitude juridique, et les fournisseurs hésitent parfois à lancer leurs services ici. Il en résulte un accès inégal. C'est le prix d'un cadre qui garantit stabilité à long terme et confiance du public.

Au fond, la différence entre Copilot et ChatGPT tient à la manière dont les garde-fous vous sont fournis : livrés à l'installation, ou à assembler vous-même.

Takeaways pratiques

• Classez chaque cas d'usage de l'IA sur l'échelle de risque : inacceptable, élevé, limité, minimal.
• Rappelez-vous que le contexte d'usage fait basculer le niveau de risque, pas l'outil seul.
• Réalisez une AIPD et tenez un registre des activités de traitement pour les usages touchant des personnes.
• Appliquez Microsoft Purview : classification, conservation, DLP et accès au moindre privilège.
• Activez et conservez l'historique d'activité de Copilot et les journaux d'audit d'Azure et de Microsoft 365, avec une durée de conservation réfléchie.
• Utilisez le tableau de bord Responsible AI et le Microsoft Trust Center pour la documentation et le suivi des mises à jour.
• Pour ChatGPT, vérifiez contrats et conditions d'OpenAI, ou passez par des plateformes gérées comme Azure OpenAI.
• Formez le personnel selon son rôle, comme l'exige l'article 4.

Conclusion

Que vous choisissiez Copilot ou ChatGPT, la loi vous confie une part de responsabilité. Copilot offre une conformité plus proche d'une conception intégrée, grâce à Microsoft 365 et à son socle de gouvernance et d'audit, mais il faut toujours le configurer, le documenter et le surveiller. ChatGPT en version autonome demande de construire soi-même presque tout le cadre. Dans les deux cas, le régulateur examinera votre déploiement, pas seulement les promesses du fournisseur. Classer vos usages, appliquer les bons outils, documenter et former : c'est ainsi que l'on avance avec l'IA sans improviser.