AI Act : Qu'est-ce qu'un "système d'IA" et ce que ça change pour votre PME

Un système d'IA, au sens de l'AI Act européen, n'est pas n'importe quel logiciel. C'est un système automatisé conçu pour fonctionner avec divers degrés d'autonomie et qui peut, pour des objectifs explicites ou implicites, déduire, à partir des données qu'il reçoit, comment générer des résultats. Ces résultats peuvent être des prédictions, du contenu, des recommandations ou des décisions influençant les environnements avec lesquels il interagit. Cette définition de système IA par l'AI Act est le seuil d'entrée de la régulation. La comprendre n'est pas un exercice académique ; c'est un arbitrage stratégique qui détermine si une entreprise tombe, ou non, sous le coup de la loi et de ses contraintes.

Pour des milliers de TPE et PME françaises qui développent ou déploient des solutions logicielles, la question est immédiate : mon produit est-il concerné ? La réponse conditionne la feuille de route produit, les budgets de conformité et la responsabilité juridique. Loin de concerner uniquement les géants de la tech, cette qualification impacte directement les entreprises qui intègrent l'IA à quelque niveau que ce soit.

Au-delà de la sémantique : les enjeux stratégiques de la qualification

Pourquoi un simple alignement sur une définition change-t-il la donne pour une PME ? Car être qualifié de système d'IA déclenche une cascade d'obligations. L'entreprise qui développe ou utilise un tel système endosse un rôle spécifique : fournisseur, importateur, distributeur ou déployeur. Chacun de ces rôles vient avec son propre cahier des charges en matière de responsabilité et de conformité, un point crucial pour déterminer sa place dans la chaîne de valeur de l'IA.

Pour une startup, la qualification de son produit phare en système d'IA peut signifier des investissements conséquents en documentation technique, en systèmes de gestion de la qualité et potentiellement en certification par un tiers si le système est jugé à haut risque. L'enjeu est de trouver un équilibre entre la protection des utilisateurs et la capacité des PME à rester compétitives sur un marché mondial. Ne pas anticiper cette classification, c'est prendre le risque de devoir retirer un produit du marché ou de faire face à de lourdes sanctions.

Les trois piliers de la définition : autonomie, inférence et interaction

La définition retenue par l'AI Act, telle qu'analysée par des autorités de régulation comme la CNIL, n'est pas liée à une technologie spécifique comme le machine learning ou les réseaux de neurones. Elle se base sur les capacités fonctionnelles du système. Trois critères cumulatifs permettent de distinguer un système d'IA d'un logiciel classique.

La classification d'un logiciel en système d'IA impose une refonte des processus de développement et de documentation.

1. L'autonomie : Le système doit pouvoir fonctionner sans instruction humaine constante pour chaque action. Il ne s'agit pas nécessairement d'une autonomie complète, mais de la capacité à opérer et à adapter son comportement pour atteindre ses objectifs dans un environnement complexe. Un outil de planification qui s'ajuste dynamiquement aux nouvelles contraintes sans intervention est un bon exemple.

1. L'inférence : Le système doit être capable de déduire des informations ou des actions à partir de données d'entrée. Il ne se contente pas d'exécuter des règles préprogrammées. Il traite des données (structurées ou non) pour générer des prédictions, des classifications ou du contenu nouveau. C'est cette capacité à apprendre ou à modéliser des schémas qui le distingue d'un simple automatisme.

1. L'interaction : Les résultats produits par le système doivent avoir un impact sur un environnement, qu'il soit physique (un bras robotisé) ou virtuel (l'ajustement des prix sur un site e-commerce). Un simple script d'analyse qui génère un rapport statique pour un usage interne pourrait ne pas être considéré comme un système d'IA, tandis qu'un agent conversationnel qui interagit avec des clients l'est clairement.

De la définition au risque : l'impact direct sur les opérations

Une fois qu'un produit est identifié comme un système d'IA, la seconde étape consiste à évaluer son niveau de risque. C'est cette classification qui détermine l'intensité des obligations. L'AI Act instaure une pyramide des risques en quatre niveaux, et le système IA n'est que la porte d'entrée de ce processus.

• Risque inacceptable : Systèmes interdits (ex: notation sociale par les gouvernements, manipulation comportementale).
• Haut risque : C'est la catégorie la plus contraignante pour les entreprises. Elle inclut les IA utilisées dans des domaines critiques comme le recrutement, l'octroi de crédit, le diagnostic médical ou la gestion des infrastructures essentielles. Ces systèmes nécessitent une évaluation de conformité, un marquage CE et une surveillance post-commercialisation. C'est là que se concentrent les principaux coûts et obligations pour les PME.
• Risque limité : Systèmes soumis à des obligations de transparence. Les utilisateurs doivent savoir qu'ils interagissent avec une IA (chatbots) ou que le contenu qu'ils voient est généré artificiellement (deepfakes). Ces règles deviendront particulièrement visibles avec l'échéance d'août 2026.
• Risque minimal ou nul : La grande majorité des systèmes d'IA (ex: filtres anti-spam, systèmes de recommandation dans les jeux vidéo). Aucune obligation nouvelle n'est imposée, bien que l'adhésion à des codes de conduite soit encouragée.

Le calendrier de mise en application de l'AI Act est progressif, mais l'identification des systèmes à haut risque est une tâche à lancer sans tarder.

Les zones grises et les exclus : ce qui n'est PAS un système d'IA

Tout ce qui est intelligent ou automatisé n'est pas un système d'IA au sens légal. La clarification des exclusions est aussi importante que la définition elle-même. Sont explicitement hors du champ d'application les systèmes développés exclusivement à des fins militaires ou de défense, ainsi que ceux utilisés pour la recherche et l'innovation pure, sans mise sur le marché.

Plus important pour les PME, les logiciels traditionnels ne sont pas concernés. Un système expert basé sur des règles logiques écrites manuellement par des humains (`if/then/else`), un tableur avec des macros, ou un moteur de recherche qui se base sur de simples correspondances de mots-clés sans couche d'apprentissage adaptatif ne sont pas des systèmes d'IA. La frontière est parfois ténue. Un modèle statistique simple peut être exclu, mais s'il est intégré dans un processus qui s'auto-améliore, l'ensemble pourrait être qualifié de système d'IA.

Le cas des modèles open-source, comme ceux développés par des acteurs comme Mistral AI, est particulier. Le modèle de base lui-même n'est généralement pas considéré comme un système d'IA au sens de l'Act, mais l'application qui l'intègre pour un usage spécifique le devient. Par exemple, utiliser un LLM open-source pour construire un chatbot de service client transforme l'ensemble en un système d'IA à risque limité. Cette distinction est fondamentale pour les entreprises qui, comme dans le cas de Mistral AI s'orientant vers la robotique, fournissent les briques technologiques de base.

Une définition pour l'avenir : le rôle de la recherche et les perspectives

La définition d'un système d'IA a été conçue pour être technologiquement neutre et durable. L'objectif est d'éviter qu'elle ne devienne obsolète avec la prochaine avancée technologique. Ce travail de prospective s'appuie sur l'expertise d'instituts de recherche, qui contribuent à éclairer le législateur et les organismes de normalisation sur les capacités réelles et futures de ces technologies. Des écosystèmes dynamiques, comme celui de Grenoble, jouent un rôle clé dans cette boucle entre innovation et régulation, où de nombreuses startups en Auvergne-Rhône-Alpes font de l'IA leur priorité.

Trois constats émergent à l'observation de ce cadre. Premièrement, en choisissant une définition large basée sur les capacités, l'Union Européenne a privilégié la pérennité à la précision immédiate, reportant le poids du tri sur la classification par le risque. Deuxièmement, cela crée une zone grise intentionnelle où l'auto-évaluation et la documentation deviennent les meilleures défenses pour une PME. Enfin, le véritable défi pour les entreprises n'est pas tant de comprendre la technologie que de maîtriser l'analyse de son contexte d'utilisation et de ses impacts potentiels.

Ce que la couverture grand public laisse souvent de côté, c'est que l'AI Act ne régule pas une technologie, mais ses usages. La charge de la preuve et de l'analyse repose donc entièrement sur les entreprises qui la mettent sur le marché ou la déploient.

Pour les dirigeants de PME et les indépendants, l'enjeu n'est donc pas de devenir des experts en intelligence artificielle, mais de savoir si leurs outils de production ou leurs produits correspondent à cette définition juridique précise. C'est un arbitrage qui conditionne désormais leur feuille de route technique et commerciale en Europe.

Sources & références