Votre entreprise a-t-elle besoin d’une politique relative à l’IA ? Ce que la loi exige réellement
Rasmus Kjaer Damgaard, Co-founder ·
Cet article a été produit avec l'assistance de l'IA et revu par une personne. Rasmus Kjaer Damgaard assume la responsabilité éditoriale du contenu.
TL;DR : Aucune loi de l’UE n’impose un document intitulé « politique d’IA ». Ce que la loi exige, depuis le 2 février 2025, c’est que les entreprises favorisent l’alphabétisation en matière d’IA (§N§) chez le personnel utilisant des outils d’IA (art. 4, adouci par le Digital Omnibus en juillet 2026, passant de « garantir » à « favoriser »), et, depuis le 2 août 2026, qu’elles respectent les obligations de transparence prévues à l’article 50 applicables à leur utilisation. Une politique écrite constitue l’outil pratique pour y parvenir, et la section qui porte le poids réel est le registre des outils approuvés. Vous pouvez élaborer une politique complète, étayée par des citations, en dix minutes grâce à notre générateur de politique d’IA gratuit.
Ce que la loi exige, précisément
Trois textes juridiques sont déterminants pour une entreprise ordinaire utilisant des outils d’IA :
- Art. 4 – Alphabétisation en matière d’IA (en vigueur depuis le 2 février 2025) : favoriser un niveau suffisant d’alphabétisation en matière d’IA chez le personnel exploitant des systèmes d’IA, en tenant compte de leurs connaissances techniques et du contexte d’utilisation. Le Digital Omnibus a modifié le verbe opératoire de « garantir » à « favoriser » en juillet 2026 ; une formation obligatoire à la supervision reste requise pour les déploiements à haut risque. Aucune méthode n’est prescrite : une politique assortie de formations constitue la voie standard pour en apporter la preuve.
- Art. 50 – Transparence (depuis le 2 août 2026) : les quatre obligations détaillées dans notre guide sur l’article 50, applicables selon le rôle et l’usage, et non de manière uniforme.
- RGPD, toujours en vigueur : l’insertion de données personnelles dans un outil d’IA constitue un traitement, des accords de sous-traitance sont requis (art. 28), et une violation peut déclencher l’obligation de notification sous 72 heures (art. 33).
Tout le reste que l’on trouve couramment dans les politiques d’IA (déclarations éthiques, comités de révision) relève du choix de gouvernance, et non d’une exigence légale. Une bonne politique distingue honnêtement ces deux aspects.
Contenu d’une politique réellement efficace
D’après nos recherches menées sur l’ensemble des modèles de politiques et générateurs disponibles en Europe, les sections suivantes sont celles qui ont un impact :
| Section | Pourquoi elle compte |
|---|---|
| Registre des outils approuvés | Le contrôle opérationnel contre l’IA fantôme : quels outils, quel état d’approbation, quelles données peuvent y être introduites |
| Classification des données + entrées interdites | Un modèle à feux tricolores applicable en quelques secondes, assorti d’une liste des interdits |
| Règles de révision humaine | La sortie d’IA est un brouillon jusqu’à ce qu’une personne l’ait vérifiée ; principe des quatre yeux pour toute publication |
| Obligations de transparence | Les conclusions de l’article 50 adaptées à votre usage spécifique, et non un texte générique |
| Comptes privés + signalement | Un canal de signalement protecteur, et non punitif, pour que l’usage non autorisé soit révélé plutôt que dissimulé |
| Formation | Le point d’ancrage de l’article 4, avec une périodicité définie |
| Incidents | À qui s’adresser, dans quel délai, et pourquoi la rapidité prime sur la certitude (les 72 heures du RGPD) |
| Responsable + déclencheurs de révision | Un responsable désigné et des déclencheurs concrets, et non une simple date annuelle |
Le registre est la section que la plupart des modèles de politiques omettent. Une politique qui se contente d’énoncer « utilisez l’IA de manière responsable » ne régit rien ; un registre qui précise « ces cinq outils, ces niveaux de données, les demandes de nouveaux outils se font ici » régit tout, et c’est également là que le problème de l’IA fantôme, raison pour laquelle la plupart des entreprises rédigent une politique, trouve une solution.
Générez-en une plutôt que de partir d’une page blanche
Notre générateur de politique d’IA élabore la politique ci-dessus à partir de réponses structurées : votre rôle au regard de la loi (y compris le piège de l’étiquetage en marque blanche), vos outils avec les limites de données par outil, vos règles, votre gouvernance. Chaque section cite l’obligation spécifique à l’origine du contenu, qu’il s’agisse de l’AI Act, du RGPD, des identifiants de contrôle ISO/IEC 42001 ou des sous-catégories GOVERN du cadre NIST AI RMF. L’outil fonctionne entièrement dans votre navigateur, aucune donnée saisie ne quitte votre appareil, et aucun modèle d’IA ne rédige de partie du document, ce qui, pour un artefact à caractère juridique, constitue un atout. Nous l’avons utilisé pour générer notre propre politique d’IA.
Sources
- Règlement (UE) 2024/1689, article 4
- Règlement (UE) 2024/1689, article 50
- FAQ de la Commission sur l’article 50
- FAQ de l’Agence danoise de la numérisation sur le règlement sur l’IA
Questions fréquemment posées
Une politique relative à l’IA est-elle légalement requise dans l’UE ?
Aucune loi ne désigne une « politique relative à l’IA » comme document obligatoire. L’article 4 du règlement sur l’IA exige de promouvoir la culture de l’IA auprès du personnel, et l’article 50 impose des obligations de transparence ; une politique écrite est le moyen pratique de s’acquitter de ces deux exigences et de prouver la responsabilité, raison pour laquelle les régulateurs et les auditeurs s’attendent à en voir une.
Que doit contenir une politique relative à l’IA au minimum ?
Le champ d’application, un registre des outils approuvés avec les limites de données par outil, les entrées interdites, les règles de révision humaine, les obligations de transparence applicables à votre utilisation, les règles relatives aux comptes privés avec une voie de signalement, la formation, la gestion des incidents et un responsable désigné avec une fréquence de révision.
Pourquoi la liste des outils approuvés est-elle la section la plus importante ?
Parce que l’IA fantôme représente le vrai risque : des employés collant des données de l’entreprise dans des outils non approuvés. Une politique sans un registre concret et maintenu des outils, assorti de limites de données par outil, ne régit rien.
Pouvons-nous générer une politique utilisable au lieu de la rédiger de zéro ?
Oui. Notre générateur gratuit l’élabore de manière déterministe à partir de réponses structurées, chaque section citant l’obligation légale correspondante, et aucun modèle d’IA ne rédige une partie quelconque du document.