Une IA ne commence pas au moment où l’on ouvre une fenêtre de discussion. Elle commence plus tôt : au moment où l’on décide quel travail lui confier, quelles données lui donner à traiter et ce que l’on fera de ses réponses. C’est là que se joue l’essentiel. Avant le premier usage, je vous conseille donc de définir le cadre dans lequel vous lui confierez ce travail.
Le règlement (UE) 2024/1689 sur l’intelligence artificielle aide à comprendre pourquoi. Dans sa définition, un système d’IA « déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuels ». Il faut donc encadrer ce travail, ses accès, ses données et sa vérification, sans lui prêter d’intention.
Cette précaution n’est pas réservée aux grandes organisations. Elle peut aider une PME à transformer une idée vague — « essayons une IA » — en décisions compréhensibles : quelle finalité, quelles données, quelle personne responsable, quelle vérification, quelle réaction si le résultat est mauvais, et quels accès lui ouvrir ? Ces questions ne sont pas une formalité. Elles évitent surtout de découvrir trop tard ce qui aurait dû être décidé avant.
Commencer par le rôle que vous tenez
Le règlement ne parle pas d’abord de taille d’entreprise. Il distingue des rôles. Son article 3, point 4, appelle « déployeur » une organisation qui utilise, sous sa propre autorité, un système d’IA. Une PME qui utilise, sous sa propre autorité, un système d’IA déjà disponible tient ce rôle : elle le déploie.
Son article 3, point 3, donne une autre définition : le « fournisseur » est notamment celui qui « développe ou fait développer » un système d’IA et le met sur le marché ou le met en service sous son nom ou sa marque. Cette formule mérite une lecture attentive avant de faire développer un système d’IA qui produira du travail sous votre nom.
Six questions avant le premier usage
L’article 17 du règlement demande aux fournisseurs de systèmes d’IA à haut risque un système de gestion de la qualité. Ce n’est pas une obligation générale qui pèserait sur toute entreprise utilisant une IA. Ses thèmes forment pourtant une bonne grille de préparation, à condition de s’en servir comme d’un repère et jamais comme d’une obligation que le texte ne vous imposerait pas. Son mérite : rendre les choix visibles avant que le système ne produise des résultats difficiles à corriger.
Première question : quelle est la finalité précise ? Ne partez pas de « nous voulons une IA ». Décrivez la tâche, le résultat attendu, les personnes concernées et ce qui restera hors du système. Une finalité nette permet de reconnaître plus tôt les usages qui dérivent et les résultats qui ne répondent pas au besoin.
Deuxième question : quelles données entreront dans le système ? L’article 17 cite l’acquisition, la collecte, l’analyse, l’étiquetage, le stockage, la filtration, l’exploration, l’agrégation et la conservation des données. Avant le premier usage, une liste simple des données prévues et des données exclues donne déjà un cadre à l’équipe qui lui confiera ce travail.
Troisième question : qui exerce la supervision humaine ? Pour les déployeurs de systèmes à haut risque, l’article 26 exige que ce contrôle soit confié à des personnes ayant compétences, formation, autorité et soutien nécessaires. Hors de ce régime, le même principe reste un conseil de bon sens : désignez une personne capable de contester une réponse, de l’arrêter et de décider quand elle ne doit pas être suivie.
Quatrième question : comment garderez-vous une trace utile ? L’article 17 prévoit des procédures de conservation des documents et informations pertinents ; l’article 26 prévoit, pour les déployeurs de systèmes à haut risque, la tenue de certains journaux sous leur contrôle. Pour un usage qui n’entre pas dans ce régime, décidez simplement quelles décisions, entrées, sorties ou validations doivent pouvoir être retrouvées, et pendant combien de temps.
Cinquième question : que ferez-vous en cas de problème ? L’article 17 cite la gestion des risques, la surveillance après commercialisation et les procédures de signalement d’un incident grave. Vous n’avez pas à importer mécaniquement ces obligations hors de leur champ. Vous pouvez, en revanche, décider dès le départ qui reçoit un signalement, qui suspend l’usage et qui vérifie ce qui s’est passé.
Sixième question : à quoi l’IA aura-t-elle accès, et avec quels droits ? Une messagerie, des dossiers partagés ou une application métier ouverts à une IA sont autant d’accès à décider. Avant le premier usage, n’accordez que ceux dont la finalité a besoin, et revoyez-les ensuite à intervalles réguliers.
Cette précaution n’a rien de théorique. Le CERT-FR relève que les systèmes d’IA augmentent la surface d’attaque et que, sans cloisonnement rigoureux, leur compromission pourrait porter atteinte à la confidentialité des données qu’ils traitent et à l’intégrité des systèmes auxquels ils sont connectés. Pour l’IA générative intégrée aux applications métier, l’ANSSI recommande une revue des droits d’accès dès l’activation du produit dans l’entreprise, pour s’assurer que les droits positionnés par défaut ne sont pas trop ouverts, puis une revue régulière.
Ce que le droit réserve aux systèmes à haut risque
Pour un fournisseur de système à haut risque, l’article 17 n’est pas un repère : il impose un système de gestion de la qualité documenté sous forme de politiques, de procédures et d’instructions écrites. D’après l’article 113, tel que modifié par le règlement (UE) 2026/1744, les obligations relatives aux systèmes à haut risque de l’annexe III s’appliqueront le 2 décembre 2027 ; celles relatives aux systèmes de l’annexe I, le 2 août 2028.
Le 19 octobre 2026, la Commission européenne a annoncé la publication au Journal officiel de la référence de la norme harmonisée EN 18286:2026, consacrée au système de management de la qualité. Selon sa page, cette publication par la décision d’exécution (UE) 2026/2274 ouvre aux fournisseurs qui appliquent la norme une présomption de conformité pour les exigences de l’article 17 qu’elle couvre ; EN 18286 est, à cette date, la seule norme de système de management de la qualité pour l’IA qui en bénéficie. Une norme n’est pas pour autant la description de ce que chaque PME doit faire demain matin.
Le règlement (UE) 2026/1744 a aussi remplacé l’article 63, paragraphe 1. Les PME, y compris les jeunes pousses, peuvent désormais respecter de manière simplifiée certains éléments de ce système de gestion de la qualité, à condition de n’avoir ni entreprise partenaire ni entreprise liée au sens de la recommandation 2003/361/CE, et sans que soient affectés le niveau de protection ou la nécessité de respecter les exigences applicables aux systèmes à haut risque. La Commission doit préciser ces éléments dans des lignes directrices : avant de vous appuyer sur cette simplification, vérifiez qu’elles ont paru et ce qu’elles retiennent.
La qualité du système n’est donc pas un supplément à réserver au jour où le projet devient complexe. C’est la manière de rendre un premier usage réversible, explicable et surveillé. Avant de demander à une IA de vous aider, quelle réponse attendez-vous déjà de votre propre organisation ?