L'EU AI Act et votre système de gestion documentaire
Un guide pratique, fonctionnalité par fonctionnalité, sur ce que l'EU AI Act signifie pour les systèmes de gestion documentaire avec IA — OCR, auto-tagging, chatbots, et tout le reste.
Dernière mise à jour : avril 2026
La réponse courte
- → La plupart des fonctionnalités d'IA dans un système de gestion documentaire — OCR, auto-classification, extraction de métadonnées, recherche — relèvent du risque minimal et n'entraînent aucune obligation spécifique au-delà de la formation à l'IA (AI literacy).
- → Si votre DMS dispose d'un chatbot IA ou génère du texte (résumés, traductions), ces fonctionnalités présentent un risque limité et nécessitent un étiquetage de transparence d'ici le 2 août 2026.
- L'essentiel: L'EU AI Act n'est pas aussi effrayant que les gros titres le suggèrent — mais l'échéance du 2 août est réelle, et l'article 4 (formation à l'IA) s'applique déjà depuis février 2025. Lisez la suite pour le détail complet.
Que se passe-t-il le 2 août 2026 ?
L'EU AI Act (Règlement 2024/1689) est entré en vigueur le 1er août 2024, mais ses obligations s'appliquent progressivement. La plus grande vague d'application arrive le 2 août 2026 — c'est à ce moment-là que les obligations de transparence pour les systèmes à risque limité, le régime complet de conformité pour le haut risque, les obligations des déployeurs et l'application des sanctions deviennent applicables simultanément.
Si vous exploitez ou utilisez un système de gestion documentaire avec des fonctionnalités d'IA dans l'UE, ce calendrier est important. Certaines obligations s'appliquent déjà. D'autres arrivent dans quelques mois, pas des années.
| Date | Ce qui s'applique | Statut |
|---|---|---|
| 1er août 2024 | Entrée en vigueur de l'AI Act (Règlement UE 2024/1689 publié au Journal Officiel) | Terminé |
| 2 fév. 2025 | Interdiction des pratiques prohibées (Art. 5) — L'obligation de formation à l'IA de l'Article 4 s'applique à tous les fournisseurs et déployeurs | En vigueur |
| 2 août 2025 | Obligations pour les modèles d'IA à usage général (Art. 51 à 56) — s'applique aux fournisseurs de modèles de base comme OpenAI, Google, Anthropic | En vigueur |
| 2 août 2026 | Obligations de transparence de l'article 50, exigences pour les systèmes à haut risque de l'annexe III (Art. 8 à 15), obligations des déployeurs (Art. 26), enregistrement dans la base de données de l'UE, pouvoirs d'exécution et amendes | Dans 97 jours |
| 2 août 2026 | Transparence : tous les chatbots IA doivent divulguer leur nature d'IA ; tout contenu généré par IA doit porter des marquages lisibles par machine | Échéance |
| 2 août 2027 | Systèmes à haut risque de l'Annexe I — IA intégrée dans des produits réglementés (dispositifs médicaux, véhicules, machines) | À venir |
Le Digital Omnibus Act, actuellement en négociations de trilogue, pourrait repousser les échéances pour le haut risque (Annexe III) à décembre 2027. Mais les obligations de transparence au titre de l'Article 50 et l'exigence de formation à l'IA au titre de l'Article 4 ne sont pas affectées par un éventuel report. Prévoyez pour le 2 août 2026.
Les quatre niveaux de risque, expliqués
L'EU AI Act classe les systèmes d'IA en quatre niveaux basés sur le préjudice potentiel. Plus le risque est élevé, plus les obligations sont strictes. Pour la gestion documentaire, comprendre ces niveaux est essentiel — car le niveau détermine si vous n'avez rien à faire, si vous devez ajouter un label de divulgation ou si vous devez subir une évaluation complète de la conformité.
La grande majorité des fonctionnalités d'IA dans les logiciels de gestion documentaire — OCR, auto-classification, extraction de métadonnées, recherche plein texte — entrent directement dans la catégorie de risque minimal. Il s'agit de tâches procédurales limitées qui ne prennent pas de décisions concernant les personnes. La section suivante détaille cela fonctionnalité par fonctionnalité.
| Niveau de risque | Ce qui entre ici | Obligations | Amende max |
|---|---|---|---|
| Prohibé | Notation sociale, manipulation subliminale, identification biométrique en temps réel dans les espaces publics, reconnaissance des émotions sur le lieu de travail | Interdiction pure et simple (Art. 5) | 35 M€ / 7 % |
| Haut risque | IA dans la biométrie, les infrastructures critiques, l'emploi, le scoring de crédit, l'éducation, le maintien de l'ordre, la migration | Conformité totale : gestion des risques, gouvernance des données, documentation technique, journalisation, surveillance humaine, évaluation de la conformité, marquage CE (Art. 8 à 15) | 15 M€ / 3 % |
| Risque limité | Chatbots IA, contenu généré par IA (texte, images, audio, vidéo), reconnaissance des émotions, deepfakes | Transparence uniquement : divulguer la nature de l'IA aux utilisateurs, marquer le contenu généré par IA comme lisible par machine (Art. 50) | 15 M€ / 3 % |
| Risque minimal | Filtres anti-spam, IA dans les jeux vidéo, classement de recherche, OCR, auto-classification, la plupart des logiciels d'entreprise | Aucune obligation impérative — uniquement l'Art. 4 sur la littératie en IA (s'applique à tous les niveaux). Les codes de conduite volontaires sont encouragés. | 7,5 M€ / 1 % |
Une nuance importante : la classification des risques dépend de ce que fait l'IA, et non de qui la construit. Une startup de 3 personnes et une entreprise du Fortune 500 font face aux mêmes obligations pour le même système d'IA. La loi réglemente la technologie, pas l'organisation.
Où se situe votre DMS ? Classification fonctionnalité par fonctionnalité
C'est ici que la plupart des guides sur l'EU AI Act échouent. Ils expliquent les niveaux de risque de manière abstraite mais ne font jamais le lien entre des fonctionnalités logicielles spécifiques et des niveaux précis. Si vous gérez un système de gestion documentaire avec IA, voici exactement où se situe chaque fonctionnalité.
La classification ci-dessous suppose une gestion de documents commerciaux généraux — factures, contrats, reçus, correspondance, polices d'assurance. Si votre DMS est utilisé dans un domaine à haut risque (recrutement, décisions de crédit, triage médical), la classification peut s'élever. Le contexte compte.
| Fonctionnalité DMS | Niveau de risque | Ce que vous devez faire |
|---|---|---|
| OCR (extraction de texte à partir de scans) | Minimal | Aucune obligation spécifique. L'OCR est un utilitaire de reconnaissance de texte — il ne prend pas de décisions concernant les personnes. |
| Auto-classification (facture, contrat, reçu) | Minimal | Aucune obligation spécifique. La reconnaissance de formes pour le classement est une « tâche procédurale limitée » selon l'Art. 6(3)(a) — elle n'entre dans aucune catégorie de l'Annexe III. |
| Extraction de métadonnées (dates, montants, entités) | Minimal | Aucune obligation spécifique. L'extraction de données structurées à partir de documents est un traitement préparatoire, pas un système de prise de décision. |
| Chatbot IA (Q&A sur documents, recherche de documents) | Limité | Art. 50(1) : Les utilisateurs doivent être informés qu'ils interagissent avec une IA avant ou au début de l'interaction. Un label visible comme « Assistant IA » ou une icône d'étincelles avec un texte explicatif suffit. |
| Résumés et textes générés par IA | Limité | Art. 50(2) : Le texte synthétique doit être marqué comme généré par IA dans un format lisible par machine. Exception : « fonction d'assistance pour l'édition standard » qui n'altère pas substantiellement la sémantique de l'entrée. |
| Traduction de documents par IA | Limité | Art. 50(2) : Le résultat traduit est un texte généré par IA. Marquez-le comme tel avec des métadonnées lisibles par machine — sauf si le résultat suit fidèlement le matériel source (exception d'édition assistée). |
| Décisions d'emploi ou de crédit pilotées par l'IA | Haut risque | Conformité totale aux Art. 8–15 : système de gestion des risques, gouvernance des données, documentation technique, journalisation automatique, surveillance humaine, évaluation de la conformité, marquage CE, enregistrement dans la base de données de l'UE. |
Le mécanisme juridique clé qui maintient la plupart des fonctionnalités DMS hors du territoire à haut risque est l'Article 6(3). Il prévoit des dérogations explicites pour les systèmes d'IA qui effectuent des « tâches procédurales limitées » (6(3)(a)), des tâches qui « améliorent le résultat d'une activité humaine préalablement achevée » (6(3)(b)), ou des « tâches préparatoires à une évaluation pertinente aux fins des cas d'utilisation énumérés à l'Annexe III » (6(3)(d)). L'auto-classification qui trie les factures par catégories est une tâche procédurale limitée. L'extraction de métadonnées qui tire les dates et les montants des contrats est une tâche préparatoire. Ni l'une ni l'autre n'influence matériellement une décision concernant une personne.
Cependant : si l'auto-classification de votre DMS est utilisée pour trier des candidatures pour un pipeline de recrutement, ou pour acheminer des demandes d'indemnisation d'assurance vers une approbation ou un rejet, cette même fonctionnalité pourrait être reclassée comme à haut risque — car le contexte la déplace vers un domaine de l'Annexe III (emploi ou accès aux services essentiels). La fonctionnalité elle-même ne détermine pas le niveau de risque. C'est le cas d'utilisation qui le fait.
Article 50 : Les obligations de transparence qui s'appliquent à votre chatbot IA
Si votre système de gestion documentaire inclut un chatbot IA, une fonction de résumé ou toute forme de texte généré par IA, l'Article 50 s'applique. C'est l'obligation la plus pertinente pour la plupart des produits DMS — et elle devient exécutoire le 2 août 2026.
L'Article 50 comporte trois sous-obligations importantes pour la gestion documentaire :
Divulgation de l'interaction avec l'IA
Tout système d'IA conçu pour interagir avec des personnes doit les informer qu'il s'agit d'une IA — avant ou au début de l'interaction. Pas enfoui dans les conditions d'utilisation. Au point de contact. Exception : quand c'est « évident au vu des circonstances » — une barre haute à atteindre.
Marquage du contenu généré par IA
Le texte, l'audio, l'image ou la vidéo synthétiques doivent être marqués comme générés par IA dans un format lisible par machine (métadonnées C2PA, filigranes ou similaire). Doit être efficace, interopérable, robuste et fiable. Exception : édition assistée qui n'altère pas substantiellement l'entrée.
Divulgation de deepfake / texte IA
Le contenu généré par IA publié pour la consommation publique doit être visiblement étiqueté. Les déployeurs doivent préserver les marquages lisibles par machine des fournisseurs et ajouter des étiquettes visibles au point de publication.
Pour un DMS, l'impact pratique est direct. Si votre système dispose d'une fonction de chat IA, affichez un indicateur clair que l'utilisateur interagit avec une IA — un label, une icône d'étincelles ou un repère visuel similaire. Si votre système génère des résumés, des traductions ou des explications, marquez-les comme générés par IA dans l'interface et idéalement dans les métadonnées du document. Ce ne sont pas des exigences lourdes. La plupart des produits DMS modernes dotés de fonctions d'IA le font déjà ou peuvent l'implémenter en quelques heures.
La distinction entre fournisseur et déployeur est importante. L'AI Act place l'obligation de concevoir des fonctions de transparence sur le fournisseur (l'entreprise qui construit le logiciel), et l'obligation de les configurer et de les afficher sur le déployeur (l'entreprise qui utilise le logiciel). Si vous êtes un vendeur de DMS en SaaS, vous êtes le fournisseur — vous devez intégrer le mécanisme de divulgation dans votre produit. Si vous êtes une entreprise utilisant un DMS, vous êtes le déployeur — vous devez vous assurer que la divulgation est visible pour vos utilisateurs.
Article 4 : La littératie en IA est déjà requise
C'est l'obligation que la plupart des organisations ont négligée. L'Article 4 exige que tous les fournisseurs et déployeurs de systèmes d'IA — quel que soit le niveau de risque — assurent un « niveau suffisant de littératie en IA » parmi le personnel et toute personne exploitant l'IA en leur nom. Elle est en vigueur depuis le 2 février 2025.
Déjà en vigueur depuis le 2 février 2025
L'Article 4 s'applique à toute entreprise qui utilise l'IA — y compris votre système de gestion documentaire. Si vous n'avez pas commencé la formation à la littératie en IA, vous êtes déjà en retard. Aucune certification n'est requise, mais la formation doit être documentée et démontrable en cas d'audit.
Que signifie réellement « littératie en IA » ? Les orientations de la Commission européenne précisent qu'il ne suffit pas d'orienter le personnel vers le manuel d'utilisation du système d'IA. Un programme conforme devrait couvrir :
- 1.Ce qu'est l'IA et comment elle fonctionne — de manière appropriée à l'audience (les cadres, les ingénieurs et les utilisateurs de terrain ont besoin d'une profondeur différente)
- 2.Les capacités et les limites des systèmes d'IA spécifiques que votre organisation déploie
- 3.Les risques, y compris les biais, les erreurs, les hallucinations et les implications pour la vie privée
- 4.Les responsabilités de surveillance humaine — que faire lorsque l'IA produit des résultats inattendus, incorrects ou nuisibles
- 5.La pertinence de l'EU AI Act pour le rôle spécifique de la personne
- 6.Documentation : une politique écrite de littératie en IA avec la portée, les rôles, les domaines de contenu, les registres de présence aux formations et une cadence de révision
Pour une petite équipe utilisant un DMS avec IA, cela ne nécessite pas de programme de formation formel. Cela peut être aussi simple qu'une réunion interne documentée où vous passez en revue : quelles fonctionnalités d'IA se trouvent dans les outils que nous utilisons, ce qu'elles peuvent et ne peuvent pas faire, et que faire quand les résultats semblent erronés. Documentez la session, notez les participants et prévoyez une mise à jour annuelle. C'est suffisant pour la plupart des scénarios à risque minimal et limité.
Le Digital Omnibus Act : les délais vont-ils changer ?
Le 19 novembre 2025, la Commission européenne a proposé le Digital Omnibus Act — un paquet de simplification législative qui amende l'AI Act aux côtés d'autres réglementations numériques (GDPR, Data Act, NIS 2). Entre autres changements, il propose de repousser la date limite pour le haut risque de l'Annexe III du 2 août 2026 au 2 décembre 2027.
En avril 2026, l'Omnibus est en négociations de trilogue. Le Parlement européen a adopté sa position par un vote de 569 contre 45 en mars 2026. Le Conseil a également adopté son mandat en mars. Il n'a pas encore été adopté comme loi. Les dates originales restent juridiquement contraignantes.
NON affecté par l'Omnibus — toujours le 2 août 2026
- ×Obligations de transparence de l'Article 50 (divulgation du chatbot, marquage du contenu)
- ×Littératie en IA de l'Article 4 (déjà en vigueur depuis fév. 2025)
- ×Pratiques interdites de l'Article 5 (déjà en vigueur depuis fév. 2025)
- ×Obligations relatives aux modèles GPAI (en vigueur depuis août 2025)
Peut être retardé SI l'Omnibus est adopté
- ✓Obligations des systèmes à haut risque de l'Annexe III (Art. 8–15) — report proposé à déc. 2027
- ✓Systèmes à haut risque intégrés aux produits de l'Annexe I — report proposé à août 2028
Le conseil pratique : n'utilisez pas l'Omnibus comme excuse pour retarder. Même si les délais pour le haut risque bougent, le travail de gouvernance — inventaire de l'IA, classification des risques, documentation, journalisation, conception de la surveillance — est identique. Et les obligations qui comptent le plus pour les produits DMS (transparence et littératie) ne sont pas affectées. Préparez-vous maintenant, et un retard potentiel deviendra un temps de marge plutôt qu'un temps perdu.
Que faire ce mois-ci : une checklist pratique
Que vous construisiez, vendiez ou utilisiez un système de gestion documentaire avec des fonctions d'IA, voici ce que vous devriez faire avant le 2 août 2026. Les étapes sont classées par urgence — commencez par le haut.
Abordez la littératie en IA maintenant (déjà en retard)
L'Article 4 est en vigueur depuis février 2025. Organisez une session interne sur les outils d'IA que votre équipe utilise. Documentez ce qui a été couvert, qui a participé et quand. Cela peut être une réunion de 90 minutes — pas un cours de plusieurs semaines. Prévoyez une mise à jour annuelle.
Inventoriez vos fonctionnalités d'IA
Listez chaque fonctionnalité alimentée par l'IA dans votre pile logicielle : OCR, auto-classification, chatbot, résumé, traduction, moteur de recommandation. Pour chacune, notez si elle interagit directement avec les utilisateurs et si elle génère du contenu.
Classez chaque fonctionnalité par niveau de risque
Utilisez le tableau de la Section 3 de ce guide. Associez chaque fonctionnalité d'IA à un niveau de risque. Documentez votre raisonnement — c'est le registre qu'un auditeur demanderait. La plupart des fonctionnalités DMS seront à risque minimal ou limité.
Implémentez l'étiquetage de transparence
Pour toute fonctionnalité à risque limité (chatbot, génération de texte) : ajoutez une divulgation d'IA visible au point d'interaction. Pour le texte généré par IA : ajoutez des métadonnées lisibles par machine le marquant comme synthétique. Testez que les divulgations sont visibles dès la première interaction — pas enfouies dans les paramètres.
Révisez votre piste d'audit
Bien que non obligatoire pour les systèmes à risque minimal, la tenue de journaux des sorties générées par IA, des corrections des utilisateurs et des décisions du système est une excellente pratique. Si votre DMS dispose déjà d'une piste d'audit (ce qui est le cas de la plupart), vérifiez qu'elle couvre les actions de l'IA — pas seulement l'accès aux documents.
Documentez tout
Créez un registre de conformité simple : votre inventaire de l'IA, la classification des risques, les preuves de formation à la littératie en IA et la mise en œuvre de la transparence. Ce document n'a pas besoin d'être exhaustif — un résumé interne de 2-3 pages est suffisant pour la plupart des PME exploitant des systèmes à risque minimal/limité.
Réalité des PME : ce qu'une petite équipe doit réellement faire
Il n'y a pas d'exemption liée à la taille dans l'EU AI Act. Une startup de 3 personnes fait face aux mêmes obligations qu'une entreprise du Fortune 500 pour le même système d'IA. La loi réglemente ce que fait l'IA, pas qui l'exploite.
Cela dit, l'AI Act n'est pas aveugle aux réalités des PME. Plusieurs dispositions accommodent spécifiquement les plus petites entreprises — amendes réduites, documentation simplifiée, accès prioritaire aux bacs à sable (sandboxes) et frais d'évaluation de la conformité réduits.
Voici ce que l'EU AI Act offre spécifiquement pour les petites et moyennes entreprises :
| Disposition | Ce que cela signifie pour les PME |
|---|---|
| Art. 99(6) — Plafonds d'amendes | Pour les PME, la plus basse des deux alternatives de sanction s'applique. Violations interdites : plafonnées à 35 M€ (pas 7 % du CA). Haut risque : plafonné à 15 M€ (pas 3 %). Cela signifie qu'une petite entreprise ne sera jamais condamnée à une amende proportionnelle au revenu si le plafond fixe est inférieur. |
| Art. 63 — QMS simplifié | Les micro-entreprises (<10 employés, <2 M€ de CA) peuvent se conformer à certaines parties du Système de Gestion de la Qualité de manière simplifiée. Moins de paperasse, mêmes principes. |
| Art. 62–63 — Bacs à sable réglementaires | Chaque État membre de l'UE doit établir au moins un bac à sable réglementaire d'ici août 2026. Les PME et les startups bénéficient d'un accès prioritaire avec des frais réduits ou supprimés. |
| Art. 11(2) — Documentation simplifiée | La Commission est habilitée à créer un format de documentation technique simplifié pour l'Annexe IV, spécifiquement pour les PME et les startups. |
Pour une entreprise typique de 5 personnes utilisant un DMS avec IA : votre effort total de conformité se résume probablement à une session de littératie en IA documentée, un inventaire des fonctions d'IA (une page), une classification des risques (la plupart des fonctions seront à risque minimal) et la vérification que votre fournisseur de DMS a mis en œuvre l'étiquetage de transparence. Coût direct estimé : de zéro à quelques centaines d'euros. Temps estimé : 10 à 15 heures de travail réparties sur quelques semaines. C'est la réalité honnête pour la plupart des petites entreprises utilisant l'IA dans la gestion documentaire.
Comment Veluvanto aide à la conformité à l'EU AI Act
Veluvanto a été conçu en tenant compte des exigences réglementaires de l'UE dès le premier jour. Voici ce que la plateforme fournit déjà pour la conformité à l'AI Act — sans configuration supplémentaire :
- ✓Divulgation de l'interaction avec l'IA : chaque réponse générée par l'IA dans le chat de Veluvanto est marquée d'une icône d'étincelles, indiquant clairement le contenu généré par IA. Les utilisateurs savent toujours quand ils interagissent avec une IA.
- ✓Piste d'audit : toutes les actions de l'IA — analyse de documents, requêtes de chat, attributions de tags, création de rappels — sont journalisées avec horodatage, identifiants d'utilisateur et détails de l'action. Cela satisfait aux meilleures pratiques de journalisation pour les systèmes à risque limité.
- ✓Suivi de l'utilisation de l'IA : des registres d'utilisation par utilisateur suivent la consommation de crédits IA, le modèle utilisé et le type d'action — fournissant la journalisation granulaire qui soutient les exigences de responsabilité.
- ✓Résidence des données dans l'UE : toutes les données sont stockées et traitées dans des centres de données de l'UE. Pas de routage flexible, pas de repli vers les États-Unis, pas d'exceptions. Vos documents ne quittent jamais l'UE.
- ✓Contrôle de l'utilisateur sur les actions de l'IA : les utilisateurs peuvent réviser, modifier et annuler toute classification, tag ou métadonnée générée par l'IA à tout moment. L'IA travaille en arrière-plan pour vous faire gagner du temps, mais vous restez maître de vos documents.
- ✓Pas d'entraînement sur vos données : Veluvanto n'utilise jamais les documents des clients pour entraîner des modèles d'IA. Vos données sont traitées uniquement pour votre bénéfice.
Ces fonctionnalités ne rendent pas la conformité automatique — vous devez toujours gérer la formation à la littératie en IA et maintenir votre propre documentation. Mais elles signifient que la plateforme sur laquelle vous comptez est déjà construite pour l'environnement réglementaire à venir.
Sources et lectures complémentaires
Ce guide s'appuie sur le texte officiel de l'EU AI Act et sur des analyses faisant autorité. Pour le règlement complet et les articles spécifiques référencés, voir les sources ci-dessous.
- Texte intégral de l'EU AI Act — Règlement (UE) 2024/1689 — Journal officiel de l'Union européenne (eur-lex.europa.eu)
- Article 50 (Obligations de transparence pour les systèmes à risque limité) — artificialintelligenceact.eu/article/50
- Article 6 et Annexe III (Classification à haut risque et dérogations) — artificialintelligenceact.eu/article/6 et artificialintelligenceact.eu/annex/3
- Q&A de la Commission européenne sur la littératie en IA — digital-strategy.ec.europa.eu
- Digital Omnibus Act — Position du Parlement européen adoptée le 26 mars 2026 (europarl.europa.eu)
- Article 99 (Sanctions et dispositions relatives aux PME) — artificialintelligenceact.eu/article/99
- Fiche d'information d'Accountancy Europe sur l'AI Act pour les PME — accountancyeurope.eu
Guides connexes
Gestion documentaire par IA
Comment l'IA lit, étiquette et organise les documents — et ce qu'il faut rechercher lors du choix d'un système
Gestion documentaire et GDPR
Comment Veluvanto vous aide à rester conforme au GDPR avec un stockage de documents chiffré et hébergé dans l'UE
Directive NIS2 et gestion documentaire
L'autre cadre de conformité majeur de l'UE pour 2026 — et pourquoi l'essentiel repose sur la documentation