AI Act : cartographier vos usages d’IA avant le 2 août 2026

Les règles de transparence de l’AI Act deviennent applicables le 2 août 2026 pour certains systèmes d’intelligence artificielle. Une entreprise ne doit pas en conclure que tous ses outils sont soudain interdits ou soumis aux mêmes contraintes. Elle doit d’abord savoir où l’IA intervient, qui la fournit, qui l’utilise et ce que voient les clients, salariés ou candidats. Sans cet inventaire, aucune mise en conformité sérieuse n’est possible.

La Commission européenne a publié le 20 juillet 2026 des lignes directrices sur les obligations de transparence prévues par l’article 50. Elles complètent le calendrier officiel d’application de l’AI Act. Pour une PME, la bonne réaction n’est pas de lancer un grand programme juridique abstrait. Elle consiste à cartographier les usages réels, puis à corriger en priorité ceux qui exposent une personne à une interaction ou à un contenu généré par IA sans information suffisante.

Ce qui change réellement le 2 août 2026

L’article 50 organise plusieurs obligations de transparence. Elles ne visent pas toutes les entreprises de la même manière et dépendent du système, de son usage et du rôle de l’organisation.

Parmi les situations à examiner figurent notamment :

• une personne qui échange directement avec un système d’IA sans que cela soit évident ;
• un contenu synthétique produit ou manipulé par IA qui doit pouvoir être identifié ;
• certains contenus audio, image ou vidéo assimilables à des deepfakes ;
• certains textes générés ou manipulés par IA et publiés pour informer le public sur des sujets d’intérêt général ;
• des usages particuliers comme la reconnaissance des émotions ou la catégorisation biométrique.

Cette liste ne remplace pas une analyse juridique. Elle montre pourquoi une règle unique du type « ajouter une mention IA partout » ne suffit pas. Une entreprise peut être fournisseur d’un système dans un cas, simple utilisatrice dans un autre, et responsable du déploiement face au public dans un troisième.

La transparence n’est pas non plus une bannière décorative. L’information doit arriver au bon moment, dans une forme compréhensible, avant ou pendant l’exposition de la personne au système ou au contenu concerné.

Pourquoi commencer par une cartographie

Dans beaucoup de PME, l’IA est déjà présente sans registre central.

Le service marketing utilise un générateur de visuels. Le support teste un chatbot. Un recruteur résume des candidatures. Un commercial demande à un assistant de préparer des réponses. Un outil SaaS active une fonction d’IA après une mise à jour. Une automatisation produit des fiches ou des articles qui partent ensuite en ligne.

Pris séparément, chaque usage paraît simple. Ensemble, ils forment un système difficile à contrôler : données transmises, fournisseurs différents, validations inégales, absence de responsable et mentions incohérentes.

La cartographie sert à répondre à une question opérationnelle : où une personne peut-elle prendre une décision, recevoir une information ou subir un traitement sans comprendre la place tenue par l’IA ?

Une méthode en cinq étapes

1. Recenser les usages

Commencez par les usages visibles : site, chatbot, formulaire, contenus publiés, campagnes commerciales, recrutement et service client. Ajoutez ensuite les usages internes qui manipulent des données de clients, de salariés ou de candidats.

Ne vous limitez pas aux outils portant le mot « IA » dans leur nom. Interrogez les équipes sur les fonctions réellement utilisées : génération, résumé, classement, recommandation, scoring, analyse d’image, transcription ou réponse automatique.

Le résultat attendu est une liste courte et vérifiable, pas un inventaire logiciel de cinquante colonnes.

2. Décrire le rôle de chaque système

Pour chaque usage, notez :

• l’action confiée à l’IA ;
• les données qui entrent ;
• la sortie produite ;
• la personne qui reçoit ou utilise cette sortie ;
• la décision éventuellement influencée ;
• la présence ou non d’une validation humaine.

Cette description permet de distinguer un assistant qui reformule une note interne d’un système qui répond seul à un prospect ou classe des candidatures. Le niveau d’exposition n’est pas le même.

3. Nommer les acteurs

Identifiez le fournisseur du modèle ou du service, l’équipe qui l’a déployé, le responsable métier et les personnes exposées.

Cette étape évite une confusion fréquente : acheter un outil ne transfère pas automatiquement toutes les responsabilités à son éditeur. L’entreprise doit comprendre ce que garantit le fournisseur et ce qu’elle doit elle-même configurer, afficher, documenter ou contrôler.

Une ligne sans responsable est déjà un écart à traiter.

4. Vérifier l’information donnée

Contrôlez ce qu’une personne voit réellement.

Un chatbot est-il clairement présenté comme automatisé ? Un contenu généré est-il relu avant publication ? Les métadonnées ou marquages prévus par le fournisseur sont-ils conservés ? Une mention est-elle placée avant l’interaction, ou cachée dans des conditions générales que personne ne lit ?

Il faut aussi conserver une trace de la règle appliquée : version du message, emplacement, date de vérification et personne responsable. Une mention visible aujourd’hui peut disparaître lors de la prochaine refonte du site.

5. Prioriser les écarts

Traitez d’abord les usages publics, sensibles ou opaques.

Un ordre de priorité simple peut être utilisé :

1. systèmes qui interagissent directement avec le public ;
2. usages qui influencent une décision concernant une personne ;
3. contenus synthétiques publiés à grande échelle ;
4. traitements utilisant des données sensibles ou confidentielles ;
5. outils internes de faible portée, avec validation humaine systématique.

Cette hiérarchie ne classe pas juridiquement les systèmes. Elle aide une petite équipe à commencer là où l’impact d’une erreur est le plus élevé.

Le livrable utile pour une PME

Le premier livrable n’est pas une politique de quarante pages. C’est un registre vivant avec, pour chaque usage : le nom du système, sa finalité, les données utilisées, le fournisseur, le responsable, le public exposé, la validation humaine, l’information affichée et la prochaine action.

Ce registre doit déboucher sur des corrections observables :

• ajouter ou déplacer une information avant une interaction ;
• empêcher la publication automatique d’un contenu non relu ;
• conserver les marquages techniques d’un média synthétique ;
• limiter les données envoyées à un fournisseur ;
• désigner un responsable et une date de contrôle ;
• retirer un usage dont personne ne maîtrise le fonctionnement.

Le bon indicateur n’est pas le nombre d’outils recensés. C’est la part des usages publics ou sensibles qui ont un responsable, une règle de transparence vérifiée et une preuve de contrôle.

Transformer la conformité en système durable

L’AI Act ne doit pas devenir une opération menée une fois puis oubliée. Les outils changent, les équipes testent de nouvelles fonctions et les fournisseurs modifient leurs produits. La cartographie doit donc entrer dans le fonctionnement normal de l’entreprise : revue trimestrielle, validation avant mise en production et contrôle lors de chaque changement important.

Pour ONORA, c’est précisément le point de rencontre entre diagnostic, automatisation et gouvernance. Nous pouvons cartographier un processus, identifier où l’IA apporte réellement de la valeur, poser les validations humaines et construire les traces nécessaires sans transformer une PME en administration.

Le 2 août 2026 n’est pas une raison de paniquer. C’est une échéance pour rendre vos usages d’IA enfin visibles et pilotables.

Cet article propose une méthode opérationnelle et ne constitue pas un avis juridique. L’analyse finale dépend du système, du rôle de l’organisation et du contexte d’utilisation.