AI Act : obligations pratiques pour les éditeurs SaaS B2B en 2025

L'AI Act en chiffres : ce que tout éditeur SaaS doit savoir

85 % des éditeurs SaaS B2B européens intègrent aujourd'hui une forme d'intelligence artificielle dans leur produit — et la plupart ignorent encore précisément où ils se situent dans la taxonomie de risque de l'AI Act. Ce règlement européen n°2024/1689, publié au Journal officiel de l'UE le 12 juillet 2024 et entré en vigueur le 1er août 2024, constitue la première législation au monde à réguler l'IA de manière horizontale et contraignante. Pour les éditeurs de logiciels B2B, il ne s'agit plus d'une perspective lointaine : les premières obligations sont déjà effectives, et les pénalités peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel.

Cet article décrypte les obligations concrètes, les calendriers d'application et les actions prioritaires pour les équipes produit, juridique et technique.

Comprendre la structure de l'AI Act : les quatre niveaux de risque

L'AI Act repose sur une approche proportionnelle fondée sur le risque présenté par le système d'IA. Quatre catégories structurent le règlement :

1. Risque inacceptable (interdit) Certaines pratiques sont purement et simplement bannies depuis le **2 février 2025**. Parmi elles : les systèmes de notation sociale par des autorités publiques, la manipulation subliminale, l'exploitation des vulnérabilités de groupes spécifiques. En B2B SaaS, peu d'applications sont concernées directement, mais les outils d'analyse comportementale RH ou de scoring de crédit doivent être examinés avec attention.

2. Risque élevé (obligations strictes) C'est ici que la majorité des éditeurs SaaS B2B sont exposés. Sont classifiés à risque élevé les systèmes d'IA utilisés dans : - **Le recrutement et la gestion des ressources humaines** (ATS avec scoring automatisé, outils d'évaluation des candidats) - **L'accès aux services essentiels** (scoring de crédit, assurance) - **La gestion des infrastructures critiques** - **L'éducation et la formation professionnelle** - **La sécurité des produits** couverts par la législation sectorielle

Pour ces systèmes, les obligations sont nombreuses : gestion des risques documentée, données d'entraînement de qualité prouvable, journalisation automatique, transparence envers les utilisateurs, supervision humaine, robustesse et cybersécurité. Les éditeurs SaaS qui fournissent ces outils à des entreprises clientes partagent la responsabilité avec leurs clients lorsque ces derniers déploient les systèmes.

3. Risque limité (obligations de transparence) Les chatbots, les outils de génération de contenu, les systèmes de recommandation non critiques entrent dans cette catégorie. L'obligation principale est la **transparence** : l'utilisateur doit savoir qu'il interagit avec une IA. Pour un SaaS B2B intégrant un assistant conversationnel ou un générateur de rapports automatisé, cela se traduit par des mentions explicites dans l'interface.

4. Risque minimal (quasi-libre) Les filtres anti-spam, les outils de suggestion de code non autonomes, les moteurs de recommandation de contenu générique sont ici. Aucune obligation spécifique, mais les bonnes pratiques restent recommandées.

Calendrier d'application : les échéances critiques pour 2025-2027

L'AI Act s'applique de manière progressive, ce qui crée une illusion de délai confortable que les éditeurs ne doivent pas s'autoriser.

2 février 2025 — Interdictions applicables (pratiques à risque inacceptable). Les éditeurs doivent avoir audité leurs fonctionnalités et supprimé ou transformé les pratiques concernées.

2 août 2025 — Obligations relatives aux modèles d'IA à usage général (GPAI), dont les grands modèles de langage (LLM) intégrés dans les produits SaaS. Les éditeurs qui utilisent des API de LLM tiers (OpenAI, Anthropic, Mistral…) doivent s'assurer que leur usage est conforme et obtenir les garanties nécessaires de leurs fournisseurs. La documentation technique et les politiques d'utilisation acceptable deviennent obligatoires.

2 août 2026 — Entrée en vigueur des règles pour les systèmes à risque élevé listés à l'Annexe III. C'est l'échéance la plus structurante pour les éditeurs SaaS B2B. À cette date, un système d'IA RH non conforme exposera son éditeur à des sanctions directes.

2 août 2027 — Extension aux systèmes d'IA à risque élevé relevant de la législation sectorielle existante (dispositifs médicaux, machinerie, etc.).

Selon une étude de PwC publiée en mars 2024, 62 % des entreprises technologiques européennes estiment ne pas être prêtes à satisfaire les exigences de l'AI Act dans les délais impartis. Le temps de mise en conformité moyen pour un éditeur SaaS mid-market est estimé entre 12 et 18 mois selon Gartner (2024).

Obligations concrètes pour les éditeurs SaaS B2B : le checklist pratique

### Documentation technique et registre des systèmes d'IA L'Article 11 impose aux fournisseurs de systèmes à risque élevé de maintenir une documentation technique complète avant la mise sur le marché. Cette documentation doit couvrir : - La description générale du système et ses cas d'usage - Les données d'entraînement, de validation et de test utilisées - Les métriques de performance et leurs limites connues - Les mesures de cybersécurité - La supervision humaine prévue

Concrètement, pour un éditeur de SaaS RH proposant un scoring automatique de CV, cela signifie documenter l'intégralité du pipeline ML, justifier les choix de features, démontrer l'absence de biais discriminatoires sur des données de test représentatives.

Système de gestion des risques (Article 9) Un processus formalisé et **continu** d'identification, d'évaluation et de mitigation des risques doit être mis en place. Il ne s'agit pas d'un audit ponctuel mais d'un dispositif vivant, révisé à chaque mise à jour significative du modèle ou des données.

Journalisation automatique (Article 12) Les systèmes à risque élevé doivent générer automatiquement des **logs permettant de retracer les décisions** sur une période définie. Pour un SaaS multi-tenant, cela pose des questions d'architecture non triviales : ségrégation des logs par client, durée de rétention, accès sécurisé pour audit.

Transparence et information des utilisateurs (Articles 13 et 14) Les déployeurs (clients B2B de l'éditeur) doivent pouvoir informer leurs propres utilisateurs finaux de l'usage d'IA. L'éditeur SaaS doit fournir une **notice d'utilisation** compréhensible, précisant les capacités, les limitations, les cas d'usage non couverts et les modalités de supervision humaine.

Enregistrement dans la base EU (Article 71) Les systèmes à risque élevé devront être **enregistrés dans une base de données européenne publique** avant déploiement. Ce registre, géré par la Commission européenne, sera accessible au public — une forme de transparence systémique inédite.

Obligations spécifiques pour les GPAI (Articles 51-56) Les éditeurs qui développent ou **fine-tunent** des modèles de langage à usage général doivent produire une documentation technique, respecter le droit d'auteur européen dans les données d'entraînement et publier un résumé des données utilisées. Ceux dont les modèles dépassent **10^25 FLOPs** d'entraînement (seuil de puissance systémique) sont soumis à des obligations renforcées incluant des évaluations adversariales et le signalement d'incidents graves à l'AI Office.

Impact sur les relations contractuelles et la chaîne de valeur SaaS

L'AI Act introduit une distinction fondamentale entre fournisseur (l'éditeur qui développe le système d'IA) et déployeur (le client B2B qui l'intègre dans ses opérations). Cette distinction a des conséquences contractuelles majeures.

Ce que l'éditeur doit fournir au client déployeur : - Documentation technique et notice d'utilisation - Informations sur les performances et les limitations - Support pour la mise en œuvre de la supervision humaine - Notification en cas de mise à jour substantielle du système

Ce que le client déployeur doit assurer de son côté : - Formation des utilisateurs - Mise en œuvre effective de la supervision humaine - Journalisation complémentaire si nécessaire - Signalement des incidents graves à l'autorité nationale compétente

Pour les éditeurs SaaS, cela implique une révision complète des CGV et des DPA (Data Processing Agreements). Les clauses de limitation de responsabilité actuelles sont souvent incompatibles avec le régime de responsabilité partagée instauré par l'AI Act. Selon le cabinet Fieldfisher (2024), 78 % des contrats SaaS européens actuels nécessitent une révision substantielle pour être conformes à l'AI Act.

Les éditeurs qui utilisent des briques d'IA tierces (API OpenAI, Azure AI, Google Vertex…) doivent également obtenir de leurs fournisseurs des garanties de conformité documentées. Cette exigence remonte la chaîne d'approvisionnement technologique et crée de nouvelles négociations entre hyperscalers et éditeurs.

Stratégie de mise en conformité : les trois horizons

Horizon 1 — Immédiat (0-3 mois) - **Audit de classification** : cartographier toutes les fonctionnalités IA du produit et les classer selon les quatre niveaux de risque - **Revue des pratiques interdites** : vérifier l'absence de pratiques à risque inacceptable (notamment dans les modules analytics comportementaux) - **Inventaire des fournisseurs d'IA** : lister tous les modèles et API tiers utilisés, demander leur documentation de conformité

Horizon 2 — Court terme (3-12 mois) - **Architecture de journalisation** : concevoir et implémenter les mécanismes de logging conformes à l'Article 12 - **Documentation technique** : rédiger la documentation pour chaque système identifié à risque élevé - **Révision contractuelle** : mettre à jour CGV, DPA et contrats avec les fournisseurs d'IA - **Formation des équipes** : sensibiliser product managers, data scientists et équipes commerciales aux obligations

Horizon 3 — Moyen terme (12-24 mois) - **Système de gestion des risques** : déployer un processus formalisé et continu - **Tests de biais et d'équité** : implémenter des procédures de validation régulières des modèles - **Enregistrement EU** : préparer et soumettre les dossiers d'enregistrement pour les systèmes à risque élevé - **Gouvernance IA** : nommer un responsable conformité IA et créer un comité de surveillance interne

Les entreprises les plus avancées — comme Workday, qui a publié dès janvier 2024 ses principes d'IA responsable alignés sur l'AI Act, ou SAP, qui a intégré un cadre de gouvernance IA dans sa roadmap 2025 — montrent qu'une conformité anticipée peut devenir un argument commercial différenciant auprès de clients grands comptes soucieux de leur propre conformité en cascade.

Conclusion : de la contrainte à l'avantage concurrentiel

L'AI Act n'est pas qu'une charge réglementaire : c'est un signal de maturité du marché européen de l'IA. Les éditeurs SaaS B2B qui abordent cette transition de manière proactive transformeront la conformité en confiance client. Dans un contexte où 74 % des dirigeants d'entreprises européennes déclarent que la transparence de l'IA est un critère d'achat (Edelman Trust Barometer, 2024), être en mesure de présenter un dossier de conformité solide sera, d'ici 2026, aussi stratégique qu'une certification ISO 27001 l'est aujourd'hui pour la sécurité des données.

Les pénalités sont réelles, les délais sont serrés, mais l'opportunité l'est tout autant : les acteurs qui investissent maintenant dans leur infrastructure de gouvernance IA poseront les fondations d'un avantage concurrentiel durable sur les marchés européens et, par effet de rayonnement normatif, au-delà.

— Équipe éditoriale InekIA