L'EU AI Act est entré en vigueur en août 2024, et ses obligations se déploient désormais par phases. D'ici août 2026, la plupart des systèmes d'IA à haut risque devront satisfaire aux exigences complètes d'évaluation de la conformité. Pour les organisations utilisant l'IA dans les RH, le scoring de crédit, la santé, les forces de l'ordre et les infrastructures critiques, la question n'est plus si se conformer — mais comment.

Ce que l'AI Act exige concrètement

L'AI Act classe les systèmes d'IA en quatre niveaux de risque :

Risque inacceptable — interdit purement et simplement (notation sociale, surveillance biométrique en temps réel dans l'espace public)
Haut risque — obligations importantes : évaluations de conformité, transparence, supervision humaine, gouvernance des données
Risque limité — obligations de transparence allégées (les chatbots doivent indiquer qu'ils sont des IA)
Risque minimal — aucune obligation spécifique

La plupart des déploiements LLM en entreprise relèvent de la catégorie haut risque ou risque limité. Si votre système d'IA influence des décisions en matière d'emploi, de crédit, de santé ou d'éducation, vous vous situez vraisemblablement dans la catégorie à haut risque.

Pourquoi les API tierces compliquent la conformité

Lorsque vous envoyez des requêtes à une API LLM basée aux États-Unis, plusieurs exigences de l'AI Act deviennent structurellement difficiles à satisfaire :

Transparence et journalisation. Les systèmes d'IA à haut risque doivent conserver des journaux « dans la mesure nécessaire pour garantir que le système peut être surveillé. » Avec une API tierce opaque, votre visibilité sur ce qui se passe réellement est très limitée.

Gouvernance des données. L'AI Act exige que les données d'entraînement soient « pertinentes, suffisamment représentatives et, dans la mesure du possible, exemptes d'erreurs. » Utiliser un modèle cloud généraliste revient à accepter les données d'entraînement choisies par l'éditeur — souvent sans aucune fiche de conformité AI Act.

Supervision humaine. Les systèmes doivent être conçus pour permettre aux humains de les « superviser efficacement ». C'est plus difficile lorsque vous ne contrôlez pas la pile d'inférence.

Obligations liées aux modèles GPAI. Les modèles d'IA à usage général présentant un risque systémique (soit, grosso modo, ceux dépassant 10^25 FLOPs) sont soumis à des obligations spécifiques incluant des tests adversariaux et le signalement d'incidents. Si vous construisez des produits sur ces modèles, vous héritez d'une partie de ce risque.

L'avantage d'une infrastructure souveraine

Gérer votre propre infrastructure LLM au sein de l'UE résout bon nombre de ces problèmes de façon structurelle :

Les journaux d'audit vous appartiennent. EULLM Engine intègre une journalisation nativement conçue pour les cas d'usage de conformité — vous contrôlez ce qui est enregistré, stocké et déclaré.
Les données ne quittent jamais votre périmètre. Aucun transfert transfrontalier de données signifie qu'il n'y a aucun mécanisme de l'article 46 du RGPD à gérer.
Vous choisissez le modèle. EULLM Hub fournit des fiches de conformité AI Act pour chaque modèle — vous savez exactement ce que vous déployez et pouvez le justifier auprès d'une autorité de contrôle.

Les échéances à surveiller

| Date | Obligation | |------|-----------| | Fév. 2025 | Interdiction des pratiques d'IA prohibées | | Août 2025 | Obligations pour les modèles GPAI | | Août 2026 | Exigences pour les systèmes d'IA à haut risque pleinement applicables | | Août 2027 | Certains systèmes d'IA existants doivent se conformer |

Si vous lisez ceci en 2026, l'échéance d'août est imminente. C'est maintenant le moment d'auditer votre stack d'IA et de migrer vers une infrastructure que vous contrôlez véritablement.

EULLM est une plateforme open source pour déployer une IA souveraine et conforme au RGPD au sein de l'UE. Voir sur GitHub.