Dans beaucoup d'entreprises, l'intelligence artificielle arrive sans que l'on ait créé de projet spécial, simplement lors d'une mise à jour de vos logiciels. Cela se voit par exemple avec les outils d'aide, le classement automatique des demandes ou la gestion des urgences. De plus, le fait de repousser les règles de sécurité pour les systèmes sensibles change votre planning. Dès lors, comment adapter vos habitudes de travail et vos vérifications ?
Un calendrier décalé, une logique qui reste
Le calendrier de l'AI Act entreprises a changé, mais son but reste le même : limiter les risques liés à l'intelligence artificielle. Pour bien vous préparer à Ce que l'AI Act européen change pour les équipes ITSM, il est essentiel de faire la différence entre les règles déjà actives et celles qui ont été repoussées. Ces données permettent d'éviter les erreurs de compréhension et de continuer à avancer. Même si vous avez plus de temps, attendre le dernier moment risque de rendre plus difficile d'identifier vos usages de l'intelligence artificielle, de répartir les tâches de chacun et de mettre en place les vérifications nécessaires.
Ce que l'omnibus a déplacé
La règle européenne (UE) 2024/1689 trie les outils d'intelligence artificielle selon leur niveau de danger. Un texte modificatif baptisé l'Omnibus repousse les obligations pour les systèmes AI Act report haut risque : les règles de l'annexe III sont reportées au 2 décembre 2027 et celles de l'annexe I au 2 août 2028. En revanche, la date générale de départ, fixée au 2 août 2026, ne change pas, comme le confirment les documents officiels de la Commission européenne.
Ce qui s'applique déjà
Depuis février 2025, certaines utilisations de la gouvernance de l'IA en entreprise sont interdites et il est obligatoire de savoir s'en servir. Les créateurs de modèles d'intelligence artificielle généraux doivent respecter les règles depuis août 2025. Par ailleurs, les règles de transparence s'appliqueront à partir d'août 2026 selon l'article 113 d'EUR-Lex. Que vous soyez un fournisseur ou un utilisateur de l'intelligence artificielle, vous devez connaître vos propres responsabilités ainsi que la classification des risques IA : utiliser un outil déjà existant ne vous dispense pas de respecter la loi.
Pourquoi le report ne dispense pas de préparer ?
Avoir du temps en plus ne veut pas dire que vous devez arrêter de vous préparer. Faire la liste de vos logiciels, analyser leurs risques et créer des documents précis prend plusieurs mois. Les dates changent, mais les règles à respecter restent les mêmes. En vous y prenant assez tôt, vous évitez de tout faire dans l'urgence au dernier moment et vous gardez le contrôle de vos outils.
Classer les usages, là où se joue le risque
Pour bien encadrer l'intelligence artificielle (IA) au travail, commencez par classer ses utilisations selon leur niveau de danger. La loi européenne propose quatre catégories d'usages au sein d'une PME : les pratiques interdites, les risques forts, les risques moyens et les risques très faibles. Dans votre système informatique, plusieurs logiciels doivent aussi être surveillés de près. Le point le plus important est de vérifier le rôle de l'outil : est-ce qu'il aide juste un employé ou prend-il seul une décision qui touche directement une personne ?
Les quatre niveaux de risque en langage courant
Pour faire le point sur l'utilisation de l'intelligence artificielle (IA) dans votre entreprise PME, vous pouvez classer vos outils en quatre niveaux :
- Interdit : espionner les salariés.
- Risqué : utiliser l'intelligence artificielle pour aider à embaucher du personnel.
- Moyen : un robot de discussion qui doit préciser qu'il n'est pas humain.
- Très faible : un simple correcteur d'orthographe.
Cette liste vous permet de savoir comment vous protéger et prendre les précautions nécessaires selon les dangers de chaque outil.
Des cas d'usage concrets en environnement informatique
Dans le système informatique d'une PME, l'intelligence artificielle peut servir à plusieurs choses : faire fonctionner un robot d'assistance (chatbot), conseiller vos techniciens ou classer les pannes par ordre d'importance. Elle peut aussi aider à donner les droits d'accès aux utilisateurs. Chaque usage doit être étudié séparément, selon son rôle dans le travail et son impact sur les salariés.
Le critère décisif, l'autonomie de la décision
Pour bien évaluer les risques au sein d'une PME, il est important de vérifier en premier lieu à quel point l'intelligence artificielle est indépendante. Avant d'utiliser un nouvel outil, posez-vous ces cinq questions pour savoir comment le surveiller et quelles précautions prendre :
- Est-ce que l'intelligence artificielle propose seulement une idée ou agit-elle toute seule sans demander votre avis ?
- Peut-elle perturber la sécurité, bloquer des accès ou nuire aux services ?
- À quel moment une personne physique doit-elle intervenir ?
- Est-ce qu'elle utilise des données privées ?
- Peut-on facilement annuler ce qu'elle a fait ?
Adapter les processus existants plutôt que créer une couche à part
Pour intégrer l'intelligence artificielle dans votre entreprise, adaptez vos règles actuelles au lieu de créer un système à part. Améliorez simplement le suivi de vos outils, de l'historique et des changements. Adaptez la surveillance humaine en fonction des risques, gardez une trace des choix faits, définissez clairement le rôle de chacun et formez vos équipes sans alourdir leur travail quotidien.
Étendre inventaire, historique et gestion des changements à l'IA
Vous avez déjà des outils pour lister vos applications, garder une trace de leur historique et suivre les changements techniques. Appliquez uniquement ces habitudes à l'intelligence artificielle : chaque changement de modèle, de consigne ou de règle automatique doit être noté, vérifié et validé comme vous le faites d'habitude.
Supervision humaine, trois niveaux selon le risque
Adaptez la supervision humaine IA selon la gravité de chaque action :
- Autorisation préalable : demandez un accord pour les accès importants, les problèmes graves et les grands changements.
- Surveillance avec alertes : gardez un œil sur les tâches répétitives dont le risque est bien maîtrisé.
- Autonomie limitée : réservez-la aux actions simples, faciles à annuler et bien expliquées.
Documentation et explicabilité sans alourdir les workflows
Pour garantir un bon suivi sans faire perdre de temps aux équipes, notez les données de départ, le résultat obtenu, le niveau de certitude et le choix de l'agent. Proposez une explication simple et utile : elle doit permettre au spécialiste de comprendre rapidement le conseil, pour l'accepter ou le corriger facilement.
Rôles, responsabilités et formation
Pour chaque projet, désignez un responsable, fixez des limites d'alerte et définissez quand arrêter l'automatisation ou revenir à la version précédente. Informez l'assistance, les gestionnaires de changement et les administrateurs pour qu'ils sachent comment réagir en cas de problème et bien remplir leur rôle.
Portée stratégique de l'IA en entreprise pour les directions
Adopter l'intelligence artificielle dans une entreprise ne concerne pas seulement le service informatique. C'est une décision importante qui touche toute l'organisation. Les dirigeants doivent prévoir ses conséquences sur le travail quotidien, les responsabilités de chacun et les risques, tout en aidant les salariés à s'adapter. Il est aussi nécessaire de s'intéresser aux futures règles prévues pour 2027 et 2028. Cette approche permet de bien préparer la suite, de définir les priorités et d'éviter de décider dans l'urgence. En combinant une bonne gestion et des actions concrètes, vous pouvez faire évoluer vos habitudes de manière plus logique.
Un sujet de direction, pas seulement de DSI
La gestion de l'intelligence artificielle est l'affaire de tous les responsables de l'entreprise et pas uniquement du service informatique. Quand vous achetez un outil, demandez aux fournisseurs des preuves claires sur son fonctionnement, son historique et ses explications. N'oubliez pas que votre entreprise reste responsable de la manière dont elle utilise ces technologies. En outre, faites participer le responsable des données (DPO) pour respecter les règles de confidentialité (RGPD) et bien protéger les données personnelles.
Perspectives 2027-2028
Les règles concernant les systèmes très risqués de l'annexe III deviendraient obligatoires le 2 décembre 2027. Celles de l'annexe I s'appliqueraient ensuite le 2 août 2028 selon la loi du 8 juillet 2026. Avant ces dates, la Commission devrait publier des règles communes et des guides pratiques pour expliquer comment respecter ces obligations.
Ce qu'il faut retenir
Ce délai supplémentaire ne réduit pas le travail à accomplir, mais il vous donne plus de temps pour vous organiser. Si vous avez déjà une liste de vos logiciels et un suivi des changements, c'est un très bon début. Appliquez ces mêmes méthodes à l'intelligence artificielle avant d'être pressé par le temps.
Article rédigé par Camille Berthier
