Le 2 août 2026 marque une étape importante pour l’encadrement des technologies en Europe avec l’entrée en application générale des obligations majeures du Règlement européen sur l’IA (AI Act).  

Si le grand public retient surtout l’apparition d’icônes officielles de l’UE pour signaler les contenus générés ou modifiés par l’IA, les décideurs IT, juridiques et achats doivent regarder bien plus loin. En effet, derrière cette vitrine de transparence se cache une restructuration contractuelle profonde et une redéfinition majeure de la gouvernance des risques. 

Obligations par type d’acteurs : fournisseurs vs déployeurs 

Pour piloter efficacement la conformité, il est indispensable de sortir de l’illusion selon laquelle seules les entreprises technologiques sont concernées. L’AI Act distingue clairement les rôles, attribuant des responsabilités bien précises à chaque acteur de la chaîne : 

  • Le fournisseur : il s’agit de l’entité (notamment les grands éditeurs tels que tels que SAP, Microsoft ou Oracle) qui développe et met sur le marché un système d’IA. Les fournisseurs de modèles d’IA à usage général (GPAI) comme ChatGPT ou Claude doivent obligatoirement produire et maintenir la documentation technique, respecter les droits d’auteur, publier un résumé des données d’entraînement et gérer les risques systémiques. 
  • Le déployeur : il s’agit de l’entreprise qui utilise un système d’IA dans le cadre de ses activités professionnelles (par exemple, pour du recrutement, de l’évaluation ou de la gestion de stock…). C’est le cas de la grande majorité des organisations. Contrairement aux idées reçues, les déployeurs ne sont pas de simples utilisateurs exemptés de contraintes. En effet, ils doivent veiller à la supervision humaine, procéder à des évaluations des risques, informer leurs collaborateurs et tenir des registres d’usage précis. 

À ce stade, le contrat IT devient le premier vecteur pour la conformité. Les entreprises clientes doivent impérativement adapter leurs clauses contractuelles pour anticiper le maintien de sa conformité, la gouvernance des risques et la répartition des responsabilités notamment en cas d’erreur ou d’hallucination algorithmique, et encadrer strictement l’usage et l’entraînement des modèles sur leurs données. 

La roadmap pratique de conformité – 4 étapes clés 

Face à l’avalanche réglementaire qui s’annonce, la mise en conformité ne doit plus être subie comme une contrainte administrative, mais pilotée comme un levier de performance durable.  

Chez ITLAW Avocats , nous recommandons de structurer votre démarche selon une roadmap pragmatique en quatre étapes : 

  1. Cartographier et classifier : identifiez l’ensemble des outils d’IA utilisés en interne (y compris les LLM configurés pour des tâches précises), cartographier vos cas d’usage et classifiez-les selon les quatre niveaux de risque définis par l’AI Act. Une attention maximale doit être portée aux systèmes qualifiés de « haut risque » (biométrie, évaluation de performances, tri de CV) qui sont soumis à de obligations de traçabilité et d’audibilité strictes. 
  2. Encadrer les usages en interne par des chartes :  rédigez une charte de gouvernance interne notamment pour lutter contre le Shadow AI (utilisation non contrôlée d’outils grand public par les collaborateurs) et poser les bases éthiques de l’usage de l’IA au sein de l’entreprise. 
  3. Former vos équipes : conformez-vous à l’obligation générale de « Maîtrise de l’IA » prévue par l’article 4 de l’AI Act. Elle impose aux employeurs de former l’ensemble de leurs collaborateurs amenés à interagir avec des systèmes d’IA dans le cadre de leurs fonctions. 
  4. Adapter vos contrats : intégrez systématiquement des clauses IA spécifiques dans toutes vos négociations contractuelles avec vos prestataires (limites d’usage, respect de la réglementation, responsabilité, SLA, usage des données, propriété intellectuelle des résultats générés et réversibilité…). 
Souveraineté des données, dépendance technologique et extraterritorialité 

L’usage de l’IA s’articule désormais de manière complexe avec la souveraineté numérique et la maîtrise des infrastructures cloud. 

Contrairement aux discours commerciaux et marketing des éditeurs, héberger physiquement vos données en France ou en Europe ne vous immunise pas contre les lois extraterritoriales. Par exemple, pour ce qui concerne les fournisseurs US, le Cloud Act (2018) oblige les prestataires soumis à la juridiction américaine à divulguer les données de leurs clients indépendamment du lieu de stockage physique des serveurs. De plus, le fournisseur a l’interdiction d’informer ses clients d’une telle réquisition du gouvernement américain. Ce dispositif d’accès s’applique de façon très large et peut concerner des sociétés non américaines disposant simplement d’une filiale aux États-Unis ou ciblant le marché américain. 

Le choc avec les différentes réglementations par exemple le RGPD, la propriété intellectuelle et le secret des affaires est frontal. Permettre un tel accès en dehors d’un cadre légal européen constitue une fuite de données caractérisée, exposant l’entreprise aux sanctions de la CNIL. De même, la dépendance contractuelle vis-à-vis d’un fournisseur cloud unique vous expose à de nouveaux risques tels que l’augmentation unilatérale des tarifs, le verrouillage technologique ou encore le Kill Switch 

Pour vous protéger, plusieurs leviers juridiques doivent être intégrés d’urgence dans vos contrats et notamment : 

  • Une clause sur les usages de l’IA par votre prestataire 
  • Une clause sur l’usage des données, sur les responsabilités … 
  • Une clause de réversibilité et de portabilité de vos données : pour garantir votre liberté de changer de fournisseur sans interruption d’activité. 
  • Une clause d’évolution souveraine : anticipez dès aujourd’hui la maturité du marché en intégrant des clauses de bascule automatique et à coût maîtrisé vers des offres souveraines dès que l’éditeur proposera cette option dans son catalogue. 

Face à ces mutations réglementaires majeures, le cabinet ITLAW Avocats met à votre disposition ses 30 années d’expertise terrain pour vous accompagner dans la gestion de vos contrats IT. Et nous vous formons 

Un projet IA ou un besoin de formation pour vos équipes ? Contactez-nous : claudia.weber@itlaw.fr

–

Claudia Weber, Avocat associé fondateur ITLAW Avocats.

ITLAW Avocats mobilise ses talents et son expertise en matière de protection des  données personnelles, de projets informatiques  complexes, de  contrats, d’innovation et de  propriété intellectuelle  ainsi que sa connaissance de l’écosystème IT et son expertise en matière de négociation pour vous accompagner dans la sécurisation de vos projets complexes. 
Nous contacter