Règlement IA pour un cabinet professionnel : ce qu’il faut savoir avant d’utiliser un outil

Un cabinet qui ouvre un outil d’IA pour résumer un compte rendu ou reformuler un courrier devient, au sens du droit européen, un déployeur. Ainsi, le règlement IA pour un cabinet professionnel ne se limite pas à une affaire de fournisseurs de technologie.

Il crée des obligations directes pour l’utilisateur final, et certaines s’appliquent déjà. Toutefois, un texte de juillet 2026 vient d’en repousser d’autres, sans que beaucoup de structures l’aient vu passer.

Cet article fait donc le point sur les catégories de risque et sur le calendrier réel. Il précise surtout ce qu’une petite structure doit avoir mis en place aujourd’hui. Enfin, nous indiquons ce que nous appliquons chez Assistance Virtuelle, puisque la même obligation nous concerne.

Règlement IA et cabinet professionnel : qui est concerné, et à quel titre

Le règlement (UE) 2024/1689, communément appelé règlement sur l’intelligence artificielle, est entré en vigueur le 1er août 2024. Il distingue deux rôles principaux.

D’abord, un fournisseur développe un système d’IA et le met sur le marché. Le déployeur, lui, se définit à l’article 3, point 4. Sa définition vise « une personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant un système d’IA sous son autorité », hors activité personnelle non professionnelle.

Cette définition règle donc la question pour l’essentiel des cabinets. Dès qu’un assistant conversationnel, un moteur de transcription ou un correcteur intelligent sert au travail du cabinet, la structure agit comme déployeur. En revanche, l’exclusion prévue à l’article 2, paragraphe 10, ne vise que l’usage purement personnel et non professionnel.

Ensuite, la localisation compte. L’article 2, paragraphe 1, point b), vise les déployeurs établis dans l’Union. Le point c) y ajoute les fournisseurs et déployeurs établis dans un pays tiers, « lorsque les résultats produits par le système d’IA sont utilisés dans l’Union ».

Autrement dit, un prestataire installé hors d’Europe entre dans le champ dès lors que ce qu’il produit sert à un client européen. C’est notre situation quand un document préparé depuis l’océan Indien atterrit sur le bureau d’un cabinet français ou belge. Toutefois, la portée exacte dépend de chaque usage, et non d’une règle automatique liée au pays d’implantation.

Les quatre catégories de risque, et celle où tombe réellement un cabinet

Le règlement ne classe pas les outils par technologie, mais par usage. Ainsi, un même modèle de langage relève d’un régime ou d’un autre selon ce qu’on lui fait faire.

Catégorie	Ce qu’elle vise	Ce que cela implique pour un cabinet
Risque inacceptable (article 5)	Notation sociale, manipulation, exploitation de vulnérabilités, reconnaissance des émotions au travail	Interdit depuis le 2 février 2025, y compris pour un employeur
Haut risque (article 6 et annexes)	Recrutement, évaluation du personnel, accès à l’éducation, biométrie, sécurité des produits	Obligations lourdes pour le déployeur, applicables plus tard (voir calendrier)
Risque de transparence (article 50)	Agents conversationnels, contenus générés ou manipulés, hypertrucages	Informer la personne qu’elle s’adresse à une machine, signaler un contenu généré
Risque minimal	Rédaction assistée, transcription, tri de courriels, correction	Pas d’obligation spécifique au titre du règlement, mais le RGPD reste applicable

Appliqué à la pratique quotidienne, le règlement IA d’un cabinet professionnel se concentre surtout sur les deux dernières lignes du tableau. Ainsi, un outil qui reformule un courrier ou transcrit une dictée ne devient pas un système à haut risque.

En revanche, deux points méritent l’attention d’un employeur. D’abord, l’article 5, paragraphe 1, point f), interdit les systèmes destinés à déduire les émotions d’une personne sur le lieu de travail. Seules des raisons médicales ou de sécurité y font exception. Cette interdiction s’applique depuis février 2025.

Ensuite, un logiciel qui trie des candidatures ou évalue des collaborateurs relève de l’annexe III, donc du haut risque. Par conséquent, un cabinet qui recrute avec ce type d’outil change de régime, même s’il ne l’a pas conçu.

Le calendrier d’application après l’omnibus du 8 juillet 2026

Le règlement (UE) 2026/1744 du 8 juillet 2026, entré en vigueur le 27 juillet 2026, modifie le calendrier initial. Il repousse l’application des règles sur les systèmes à haut risque, sans toucher aux échéances déjà passées. Voici donc l’état du calendrier à ce jour.

Date	Ce qui devient applicable
2 février 2025	Pratiques interdites de l’article 5 et obligation de maîtrise de l’IA de l’article 4
2 août 2025	Gouvernance, modèles d’IA à usage général, régime de sanctions
2 août 2026	Obligations de transparence de l’article 50 et surveillance du marché par les autorités nationales
2 décembre 2026	Marquage des contenus générés pour les systèmes déjà commercialisés, après une transition de quatre mois
2 décembre 2027	Systèmes à haut risque de l’annexe III, dont le recrutement et la gestion du personnel
2 août 2028	Systèmes à haut risque intégrés à des produits réglementés

Ce report ne vaut donc pas dispense. Les interdictions et l’obligation de formation restent en vigueur depuis février 2025. De plus, la transparence arrive maintenant.

Par ailleurs, la CNIL l’indiquait encore dans ses questions-réponses mises à jour le 17 août 2026 : l’autorité française de surveillance du marché reste à désigner. Un cabinet a donc du temps pour s’organiser sur le haut risque, mais aucun sur le reste.

L’obligation qui s’applique déjà : la maîtrise de l’IA

La maîtrise de l’IA désigne le niveau de compréhension permettant à une personne d’utiliser un outil d’IA en connaissant ses limites. L’article 4 impose aux fournisseurs et aux déployeurs de prendre des mesures en ce sens. Cette obligation couvre leur personnel et quiconque utilise ces systèmes pour leur compte.

Toutefois, le texte de juillet 2026 en a assoupli la formulation : il s’agit désormais de favoriser le développement de cette maîtrise, et non de garantir un niveau donné.

Dans ses questions-réponses mises à jour le 27 juillet 2026, la Commission européenne n’impose aucun format de formation. Ainsi, une session interne, un guide d’usage, un temps d’échange régulier ou un module en ligne conviennent.

De plus, elle n’exige aucun certificat : la documentation interne suffit à retracer les actions menées. Les mesures s’adaptent donc au rôle de la structure, aux risques des outils employés et aux connaissances déjà présentes dans l’équipe.

Un mot sur les sanctions, souvent présentées de façon alarmiste. L’article 99, paragraphe 4, plafonne à 15 000 000 euros ou 3 % du chiffre d’affaires mondial les manquements aux articles 16, 22, 23, 24, 26, 31, 33, 34 et 50. L’article 4 ne figure pas dans cette liste.

Par conséquent, son non-respect relève du régime national que chaque État membre définit au titre du paragraphe 1. Ce régime doit tenir compte des intérêts des PME. Pour une PME, le paragraphe 6 ajoute que le plus faible des deux montants s’applique. Un cabinet de trois personnes n’encourt donc pas l’amende que certains articles agitent.

Ce que nous appliquons chez Assistance Virtuelle

Nos équipes utilisent des outils d’IA dans leur travail quotidien. La même obligation nous vise donc. Ainsi, nous préférons exposer nos règles plutôt que de commenter celles des autres. Cinq principes encadrent cet usage chez Assistance Virtuelle.

• Inventorier les outils et leurs risques. Un outil ne s’emploie qu’après avoir été identifié, rattaché à des tâches précises et situé dans les catégories de risque du règlement.
• Interdire les données non autorisées. Les données clients ne se déposent pas dans un outil qui n’a pas été validé pour cet usage. De plus, les données sensibles en restent écartées.
• Maintenir une validation humaine. La secrétaire qui répond du document le relit avant remise. Notre article sur la responsabilité humaine face aux outils d’IA détaille ce partage des rôles.
• Former selon les usages réels. La formation suit ce que chaque poste fait concrètement avec l’outil, plutôt qu’un programme théorique détaché du métier.
• Conserver des preuves. Enfin, décisions, formations et autorisations se documentent au fil de l’eau. L’article 4 se démontre exactement ainsi.

Cette transparence a un intérêt pratique pour nos clients. En effet, un cabinet qui délègue une partie de son administratif reste responsable des traitements réalisés pour son compte. Il a donc besoin de savoir comment son prestataire travaille, ce que détaille notre méthode de travail.

Ce que le règlement IA ne règle pas, et que le RGPD dit déjà

La CNIL le rappelle : le règlement sur l’IA ne remplace pas le RGPD. Au contraire, les deux textes se complètent. Le règlement encadre les systèmes selon leur niveau de risque. Le RGPD, lui, s’applique dès qu’un traitement porte sur une donnée personnelle, quel que soit l’outil employé.

La conséquence est concrète. Coller le contenu d’un dossier client dans un assistant conversationnel grand public constitue un traitement de données personnelles. De plus, l’opération vaut parfois transfert hors de l’Union, souvent sans base légale identifiée ni contrat de sous-traitance.

Le règlement IA classera peut-être cet usage en risque minimal. En revanche, le RGPD ne le classera pas du tout : il l’interdira ou l’encadrera selon le cas.

C’est pourquoi la première mesure utile n’est pas juridique mais organisationnelle. Il s’agit de dire, noir sur blanc, quels outils le cabinet autorise et quelles données n’en sortent jamais. Nos engagements de confidentialité et de sécurité des données reposent sur ce principe.

De même, les vérifications RGPD à mener sur un prestataire suivent cette logique. Sur le terrain, la mise en œuvre suppose parfois une configuration de poste, un paramétrage de compte ou une restriction d’accès. Dans ce cas, notre support informatique à distance peut prendre en charge ces réglages.

Ce que le règlement IA change concrètement pour un cabinet professionnel

Ramené à l’essentiel, le règlement IA pour un cabinet professionnel tient en cinq gestes. De plus, tous sont réalisables sans conseil juridique préalable.

1. Lister les outils d’IA réellement utilisés, y compris ceux qu’un collaborateur a ouverts de sa propre initiative.
2. Ensuite, vérifier qu’aucun d’eux ne sert au recrutement, à l’évaluation du personnel ou à la lecture des émotions.
3. Écrire une règle d’une page sur les données autorisées et les données interdites.
4. Organiser un temps de formation adapté aux usages du cabinet, puis en garder la trace.
5. Enfin, signaler au client les cas où vous lui remettez un contenu généré, dès que la transparence de l’article 50 s’applique.

Le règlement européen ne demande pas à un cabinet de devenir expert en intelligence artificielle. En revanche, il lui demande de savoir ce qu’il utilise, pourquoi, et qui répond du résultat. Ainsi, un cabinet qui sait répondre à ces trois questions est déjà conforme sur l’essentiel de ce qui le concerne aujourd’hui.

Questions fréquentes sur le règlement IA en cabinet professionnel

Un cabinet qui utilise ChatGPT est-il soumis au règlement IA ?

Oui, en qualité de déployeur. En effet, l’article 3, point 4, vise toute personne morale utilisant un système d’IA sous son autorité, hors activité purement personnelle. L’usage professionnel d’un assistant conversationnel entre donc dans le champ du texte.

Faut-il déclarer ses outils d’IA à une autorité ?

Non. Le règlement ne prévoit aucune déclaration préalable pour un déployeur d’outils à risque minimal ou de transparence. En revanche, l’enregistrement en base de données européenne concerne les systèmes à haut risque, et principalement leurs fournisseurs.

Quelle est la sanction en cas de manquement à l’obligation de formation ?

L’article 4 ne figure pas dans la liste des dispositions passibles des amendes harmonisées de l’article 99, paragraphe 4. Par conséquent, le manquement relève du régime de sanctions défini par chaque État membre, qui doit tenir compte des intérêts des PME.

Le report de juillet 2026 dispense-t-il un cabinet de toute action ?

Non. Le règlement (UE) 2026/1744 repousse les seules règles sur les systèmes à haut risque. En revanche, les interdictions de l’article 5 et l’obligation de maîtrise de l’IA restent applicables depuis février 2025.

Un logiciel de tri de CV rend-il le cabinet responsable au titre du haut risque ?

Oui. Le recrutement figure à l’annexe III du règlement, donc parmi les usages à haut risque. Un déployeur assume alors les obligations de l’article 26 : un contrôle humain confié à des personnes compétentes, ainsi que la conservation des journaux pendant au moins six mois. Ces règles s’appliqueront au 2 décembre 2027.

Faut-il prévenir un client qu’un document a été préparé avec une IA ?

L’article 50 impose d’indiquer qu’une personne interagit avec un système d’IA, et de signaler certains contenus générés ou manipulés. Toutefois, un texte rédigé avec l’aide d’un outil, puis relu et validé par un professionnel, ne relève pas du même régime qu’un contenu diffusé tel quel.

Le règlement IA remplace-t-il le RGPD ?

Non. La CNIL indique que les deux textes se complètent. Ainsi, le RGPD continue de s’appliquer à tout traitement de données personnelles, même lorsqu’il passe par un outil d’IA classé en risque minimal.

Un prestataire installé hors d’Europe échappe-t-il au règlement ?

Pas nécessairement. L’article 2, paragraphe 1, point c), vise aussi les déployeurs établis dans un pays tiers dont les résultats servent dans l’Union. L’analyse dépend donc de l’usage concret, et pas seulement du lieu d’établissement.

Quelle formation suffit pour satisfaire à l’article 4 ?

La Commission européenne n’impose ni format ni certificat. Ainsi, une session interne, un guide d’usage ou un module en ligne conviennent, à condition qu’ils correspondent aux outils réellement employés. Ensuite, le cabinet en garde la trace en interne.

Par quoi commencer dans un cabinet de moins de dix personnes ?

Il faut commencer par l’inventaire des outils réellement utilisés, y compris ceux ouverts individuellement par un collaborateur. En effet, cet inventaire conditionne tout le reste : classification des usages, règle sur les données et contenu de la formation.