IA Act : ce que vous devez vraiment faire si votre app utilise de l’IA

La même question revient dans nos réunions de cadrage : « est-ce que l’IA Act s’applique à mon application, et qu’est-ce que je dois faire concrètement ? ». Les articles juridiques répondent en citant des annexes. Nous allons répondre du point de vue de celui qui doit livrer un produit : vous avez ajouté un assistant, un moteur de scoring ou un générateur de contenu dans votre app, et vous voulez savoir ce que ça change dans votre backlog.

Bonne nouvelle : pour l’écrasante majorité des applications grand public, les obligations qui vous concernent sont des obligations de transparence, pas des dossiers de certification. Mauvaise nouvelle : elles se conçoivent en même temps que la fonctionnalité, pas trois semaines avant la mise en ligne. Chez Squirrel, nous développons des applications sur mesure depuis 2014, et la conformité nous a appris une chose : ce qui n’est pas prévu dans les écrans devient toujours une reprise de développement.

IA Act : application du règlement, ce qui concerne vraiment votre produit

Le règlement classe des usages, pas des technologies

L’erreur de lecture la plus fréquente consiste à se demander « quel modèle j’utilise ». Le règlement s’en moque : il regarde ce que votre système fait à des personnes. Un même modèle de langage passe sous les radars dans un chatbot de support et relève d’un régime bien plus lourd s’il sert à trier des candidatures. Ce n’est pas la technologie qui déclenche l’obligation, c’est la finalité.

Le texte distingue quatre niveaux : les pratiques interdites depuis février 2025, comme la notation sociale généralisée ; les systèmes à haut risque, qui touchent l’emploi, le crédit, l’éducation ou la biométrie ; les systèmes soumis à transparence, qui interagissent avec des humains ou fabriquent du contenu ; et tout le reste, c’est-à-dire l’immense majorité des fonctionnalités, sans obligation spécifique.

IA Act et application mobile : les cas les plus fréquents

Dans les projets que nous voyons passer, trois usages dominent : un assistant qui répond aux utilisateurs, une génération de texte ou d’image pour des descriptions produit et des annonces, un scoring qui classe ou priorise. Les deux premiers relèvent presque toujours de la simple transparence. Le troisième mérite cinq minutes d’attention, parce que tout dépend de ce que le score décide réellement.

Recommander un covoiturage ou un bon plan à proximité n’a rien à voir avec le fait de refuser un dossier de location ou de présélectionner des CV. Dans le premier cas, personne ne perd un droit. Dans le second, on bascule dans une autre catégorie.

Le calendrier de l’IA Act : les dates qui comptent pour une PME

Le règlement ne s’applique pas d’un bloc : il se déploie par vagues, et le paquet législatif « Digital Omnibus », entré en vigueur en juillet 2026, a repoussé les échéances les plus lourdes. Voici la lecture utile pour une équipe produit.

Un point qui échappe souvent : le report des obligations haut risque n’est pas une amnistie générale. La transparence, elle, est bien en vigueur, et les autorités nationales disposent depuis août 2026 des moyens de contrôler. Le calendrier complet est tenu à jour par la Commission européenne sur son service desk officiel du règlement sur l’IA.

Les 4 questions à se poser sur votre app

Plutôt qu’un audit juridique de trente pages, nous posons quatre questions au démarrage d’un projet. Elles suffisent à savoir si vous êtes dans le confort ou s’il faut creuser.

1. Votre utilisateur sait-il qu’il parle à une machine ?

C’est l’obligation la plus universelle. Dès qu’un système d’IA interagit directement avec une personne, celle-ci doit être informée, sauf si c’est évident pour un utilisateur raisonnablement averti. Un chatbot nommé « Assistant », avec un avatar humain et un ton naturel, n’est pas évident du tout. La mention doit arriver au plus tard au premier échange.

2. Produisez-vous du contenu qui sera diffusé ?

Si votre app génère du texte, des images, du son ou de la vidéo, ces sorties doivent être marquées dans un format lisible par machine et détectables comme artificielles. S’y ajoute une obligation d’affichage pour les deepfakes, ces contenus qui imitent des personnes ou des événements réels, et pour les textes publiés afin d’informer le public. Les usages artistiques ou satiriques, et les textes validés par un humain qui en assume la responsabilité éditoriale, échappent à cette dernière règle.

3. Votre IA décide-t-elle à la place d’un humain ?

La vraie ligne de partage est là. Une IA qui suggère et qu’un humain valide reste dans un cadre léger. Une IA qui écarte, refuse ou classe sans intervention humaine sur un sujet couvert par l’annexe III fait basculer votre produit dans un régime exigeant : documentation technique, gestion des risques, journalisation, supervision humaine. Le report à décembre 2027 vous laisse le temps de bien concevoir, pas celui d’ignorer le sujet.

4. Où partent les données, et qui porte la responsabilité ?

Si vous appelez l’API d’un fournisseur tiers, vous restez responsable de ce que votre app fait vis-à-vis de vos utilisateurs. Le règlement sur l’IA ne remplace pas le RGPD, il s’y ajoute. Traitement, hébergement et sous-traitance restent des sujets entiers, que nous abordons dans notre article sur la sécurité d’une application mobile iOS et Android.

Conformité IA Act : ce que ça change dans la conception d’une fonctionnalité

La transparence est un sujet de design, pas de juridique

C’est notre position, et elle n’est pas théorique. Dire à l’utilisateur qu’il parle à une IA, c’est une phrase dans un écran, un badge sur un message. Marquer un contenu généré, c’est un champ en base et un pictogramme dans une liste. Tout cela se décide en atelier de conception, en quelques heures. Rattrapé après coup sur un produit livré, le même travail devient une reprise de parcours, une migration des données existantes et un nouveau passage en validation sur les stores.

Nous appliquons le même raisonnement qu’aux mentions légales d’une application mobile : des éléments de produit, pas un formulaire ajouté à la fin. Un utilisateur qui découvre après coup qu’il parlait à une machine se sent trompé, et cette perte de confiance coûte plus cher qu’une amende improbable.

Ce qu’on met dans le projet dès le départ

Sur un projet qui embarque de l’IA, nous ajoutons quatre éléments au périmètre initial :

• une information d’interaction placée dans le parcours, pas enfouie dans un document ;
• un marquage des contenus générés, décidé au niveau du modèle de données pour ne pas avoir à le reconstituer plus tard ;
• une trace de ce que le système a produit et sur quelle base, utile au support autant qu’à la conformité ;
• une note écrite expliquant le rôle de l’IA dans le produit, sa finalité et le niveau de risque retenu.

Cette note tient en deux pages. Rédigée pendant le projet, elle coûte une demi-journée. Reconstituée deux ans après par une équipe qui a changé, elle coûte bien davantage. La littératie IA, obligatoire depuis février 2025, se règle de la même manière : s’assurer que ceux qui manipulent le système comprennent ce qu’il fait et ce qu’il ne sait pas faire.

Se contenter d’appeler l’API d’un modèle grand public ne vous exonère de rien : vous restez celui qui met le système à disposition de vos utilisateurs, donc celui qui doit les informer. Un prestataire incapable de répondre sur ce point est un signal, que nous détaillons dans notre analyse sur le choix entre un wrapper ChatGPT et une vraie solution IA.

IA Act et PME : faut-il craindre les sanctions ?

Les montants circulent beaucoup et méritent d’être remis à leur place. Le règlement prévoit trois paliers d’amendes administratives : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites, jusqu’à 15 millions ou 3 % pour les autres manquements, dont la transparence, et jusqu’à 7,5 millions ou 1 % pour des informations inexactes fournies aux autorités. C’est le montant le plus élevé qui s’applique.

Sauf pour les PME et les start-ups, et cette précision change la lecture du sujet : pour elles, le règlement retient au contraire le plafond le plus bas des deux, en tenant compte de leur viabilité économique. Une jeune entreprise réunionnaise avec un chatbot mal étiqueté ne risque pas 15 millions d’euros. Elle risque une mise en demeure, une correction en urgence et une exposition désagréable. Le vrai coût, pour un éditeur, c’est le développement non prévu et la crédibilité entamée, pas l’amende.

Questions fréquentes sur l’IA Act et les applications

Mon app utilise ChatGPT via son API, suis-je concerné par l’IA Act ?

Oui, mais pas au titre du modèle : les obligations qui pèsent sur les modèles à usage général concernent leur fournisseur. Vous êtes concerné comme responsable du système que vos utilisateurs manipulent, donc sur l’information et le marquage. C’est léger, à condition de l’avoir prévu dans les écrans.

Un chatbot d’assistance est-il un système à haut risque ?

Dans la très grande majorité des cas, non. Un assistant qui répond à des questions, oriente vers une page ou aide à remplir un formulaire relève de la transparence, pas du haut risque. Le classement change s’il conditionne l’accès à un service essentiel, à un crédit, à un emploi ou à une formation.

Faut-il une mention IA dans les conditions générales de l’application ?

Les conditions générales ne suffisent pas. Le texte demande une information donnée au plus tard au moment de la première interaction, dans un format accessible. Une phrase dans l’écran de conversation ou un badge sur les messages générés répond mieux à l’obligation qu’un paragraphe que personne ne lit. Rien n’empêche de faire les deux.

Que se passe-t-il pour une application déjà en ligne ?

L’obligation de transparence s’applique depuis le 2 août 2026. Pour le marquage technique des contenus générés, les systèmes déjà sur le marché avant cette date ont un délai jusqu’au 2 décembre 2026, alors que les nouveaux doivent l’intégrer dès leur lancement. Une app en production avec une fonctionnalité IA non signalée, c’est un sujet de prochaine version, à ne pas laisser glisser. Nous développons ce point dans notre dossier sur l’intelligence artificielle dans les applications mobiles.