AI Act : obligations pratiques pour les SaaS B2B en 2024-2025

L'AI Act, un séisme réglementaire pour les éditeurs SaaS

85 % des éditeurs SaaS européens intègrent aujourd'hui au moins une fonctionnalité d'IA dans leur produit — et la quasi-totalité d'entre eux sous-estiment l'ampleur des obligations que leur impose le règlement européen sur l'intelligence artificielle, dit AI Act (Règlement UE 2024/1689), entré en vigueur le 1er août 2024. Ce texte de 113 articles et 13 annexes constitue le premier cadre juridique contraignant au monde pour l'IA, et ses répercussions sur l'écosystème SaaS B2B sont massives.

Loin d'être une simple formalité de conformité, l'AI Act redessine la responsabilité des éditeurs, les obligations documentaires, et — pour les cas les plus critiques — impose des audits préalables avant toute mise sur le marché. Les amendes encourues atteignent jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel, selon la nature de l'infraction. Décryptage des obligations pratiques pour les acteurs du SaaS B2B.

Le calendrier réglementaire : ce qui est déjà applicable

L'AI Act s'applique de façon progressive et échelonnée. Comprendre ce calendrier est la première priorité opérationnelle pour tout éditeur SaaS.

• Août 2024 : Entrée en vigueur du règlement. Début du délai de transposition pour les États membres.
• Février 2025 : Interdiction des systèmes d'IA à risque inacceptable (notation sociale, manipulation subliminale, certaines formes de reconnaissance biométrique en temps réel). Ces pratiques sont immédiatement prohibées.
• Août 2025 : Application des règles relatives aux modèles d'IA à usage général (GPAI), dont les grands modèles de langage (LLM) comme GPT-4 ou Mistral. Les éditeurs SaaS intégrant ces API devront disposer de contrats conformes avec leurs fournisseurs de modèles.
• Août 2026 : Entrée en vigueur des obligations pour les systèmes à haut risque (Annexe III du règlement), incluant les outils RH, de scoring de crédit, de gestion de l'accès aux services essentiels.
• Août 2027 : Extension aux systèmes à haut risque déjà sur le marché avant 2024 (période de grâce pour les produits existants).

Pour un éditeur SaaS B2B, la fenêtre de mise en conformité est moins large qu'il n'y paraît : les délais d'audit, de documentation et de certification peuvent prendre 12 à 18 mois selon la complexité du système.

La classification des risques : où se situe votre SaaS ?

!Cadre d'évaluation des risques et de conformité pour entreprises Photo: Sasun Bughdaryan / Unsplash

L'AI Act segmente les systèmes d'IA en quatre niveaux de risque, dont découle l'intensité des obligations. La classification de votre produit est l'analyse fondatrice de toute stratégie de conformité.

Risque inacceptable — Interdit Concerne les systèmes de manipulation comportementale, l'exploitation des vulnérabilités, le scoring social ou la surveillance biométrique de masse. Aucun éditeur SaaS B2B légitime ne devrait se trouver dans cette catégorie.

Haut risque — Obligations lourdes (Annexe III) C'est ici que se situent **la majorité des SaaS B2B métier**. Sont explicitement listés : - Outils de **recrutement et sélection de candidats** (ATS avec scoring automatisé) - Systèmes d'**évaluation de la solvabilité** ou de scoring de crédit - Outils de **gestion des ressources humaines** influençant promotions, licenciements - Plateformes d'**éducation et formation** avec évaluation automatique - Systèmes d'aide à la décision dans la **santé, la justice, les services publics** - Infrastructures critiques (énergie, eau, transport)

Exemple concret : un SaaS RH comme Workday, SAP SuccessFactors ou leur concurrent français Lucca, dès lors qu'il propose un module de scoring ou de recommandation de candidats, tombe dans la catégorie haut risque.

Risque limité — Obligations de transparence Les chatbots, les systèmes de recommandation de contenu, les outils de génération de texte sans impact décisionnel critique. L'obligation principale : **informer l'utilisateur qu'il interagit avec une IA**.

Risque minimal Filtres anti-spam, jeux vidéo avec IA, outils de productivité basiques. Pas d'obligation spécifique au-delà du droit commun.

Les obligations concrètes pour les systèmes à haut risque

Si votre SaaS B2B est classifié à haut risque, voici les 10 obligations opérationnelles auxquelles vous devez vous préparer :

1. Système de gestion des risques (Art. 9) Mise en place d'un processus documenté et **continu** d'identification, d'évaluation et de mitigation des risques. Ce n'est pas un audit ponctuel : c'est un processus vivant, mis à jour à chaque modification substantielle du modèle.

2. Gouvernance des données d'entraînement (Art. 10) Les jeux de données utilisés pour entraîner ou affiner les modèles doivent être **documentés, pertinents, représentatifs et exempts de biais**. Obligation de traçabilité sur l'origine des données, les méthodes de collecte, les prétraitements appliqués. Pour les éditeurs fine-tunant des LLM sur des données clients : attention particulière requise.

3. Documentation technique (Art. 11 + Annexe IV) Un dossier technique exhaustif doit être constitué **avant** la mise sur le marché. Il inclut : description du système et de son objectif, architecture du modèle, performances mesurées, données utilisées, mesures de supervision humaine, résultats des tests. Ce document est transmissible aux autorités de surveillance sur demande.

4. Journalisation automatique (Art. 12) Les systèmes à haut risque doivent générer des **logs automatiques** de leur fonctionnement, traçant les décisions prises, les données utilisées, les périodes d'utilisation. Ces logs permettent la reconstitution *a posteriori* des décisions — un impératif pour les litiges.

5. Transparence envers les déployeurs (Art. 13) Fournir aux clients (les déployeurs B2B) une **notice d'utilisation claire** : capacités et limites du système, performances sur différentes populations, instructions de supervision humaine, conditions de maintenance. C'est un nouveau livrable contractuel à intégrer dans vos offres.

6. Supervision humaine (Art. 14) Concevoir le système de façon à permettre à des humains d'**intervenir, corriger ou stopper** les décisions automatisées. Concrètement : ne pas créer de systèmes en "autopilot" total sur des décisions à impact individuel élevé. La fonctionnalité de supervision doit être *by design*.

7. Précision, robustesse et cybersécurité (Art. 15) Les systèmes doivent atteindre des **niveaux de performance définis** et rester robustes face aux tentatives de manipulation (adversarial attacks, data poisoning). Obligation de tests de robustesse documentés.

8. Enregistrement dans la base EU IA (Art. 49) Avant mise sur le marché, les systèmes à haut risque doivent être **enregistrés dans la base de données publique européenne** (EU AI database), gérée par la Commission. L'EUIPO développe actuellement cette infrastructure.

9. Déclaration de conformité et marquage CE (Art. 48) Émission d'une **déclaration UE de conformité** et apposition du marquage CE. Pour certains secteurs (santé, véhicules), cela implique une procédure d'évaluation par un organisme notifié tiers.

10. Surveillance post-marché (Art. 72) Mise en place d'un système de **surveillance continue après déploiement** : collecte de feedback, monitoring des performances réelles vs. performances théoriques, signalement des incidents graves à l'autorité nationale compétente (en France : la **CNIL** pour les aspects données personnelles, et une future autorité désignée pour l'IA).

Obligations spécifiques aux modèles GPAI intégrés dans les SaaS

La majorité des SaaS B2B n'entraîne pas ses propres LLM : ils intègrent des API tierces (OpenAI, Anthropic, Mistral, Google Gemini). L'AI Act crée une chaîne de responsabilité entre le fournisseur de modèle et l'éditeur SaaS.

Depuis août 2025, les fournisseurs de GPAI (modèles à usage général) doivent : - Publier une documentation technique de leur modèle - Respecter le droit d'auteur européen dans leurs données d'entraînement - Pour les modèles à risque systémique (>10^25 FLOPs d'entraînement) : soumettre à des évaluations adversariales et signaler les incidents

Pour l'éditeur SaaS B2B intégrateur : - Vérifier que votre contrat API avec OpenAI/Anthropic/Mistral contient les clauses de conformité AI Act requises - S'assurer d'accéder à la documentation technique du modèle pour pouvoir remplir votre propre dossier - Ne pas utiliser le modèle pour des finalités contraires à ses conditions d'utilisation (qui doivent elles-mêmes refléter les restrictions AI Act)

Mistral AI, en tant qu'acteur européen, a publié en juillet 2024 une politique de conformité AI Act pour ses modèles commerciaux. OpenAI a annoncé des mises à jour contractuelles pour ses clients entreprise en UE pour le premier trimestre 2025.

Implications stratégiques : conformité comme avantage concurrentiel

La tentation est de voir l'AI Act uniquement comme une contrainte. Les éditeurs SaaS les plus avisés y voient une fenêtre d'opportunité pour se différencier.

1. Certification comme signal de confiance B2B Dans le contexte de ventes enterprise, la conformité AI Act devient un critère de sélection des fournisseurs. Les grandes entreprises (soumises elles-mêmes à des obligations de due diligence sur leurs fournisseurs d'IA) privilégieront les éditeurs certifiés. Être premier sur le marché avec un marquage CE IA peut justifier un premium de 15 à 20 % sur les deals enterprise, selon les analyses de Gartner (2024).

2. Réduction du risque de litiges La documentation exigée par l'AI Act — logs, dossiers techniques, procédures de supervision — constitue aussi une protection juridique en cas de litige client sur une décision automatisée controversée.

3. Accès aux marchés publics européens Les appels d'offres publics européens intégreront progressivement des clauses de conformité AI Act. Les éditeurs SaaS ciblant le secteur public (GovTech, EdTech publique, HealthTech) ont un intérêt stratégique majeur à être conformes dès 2026.

4. Anticipation des réglementations globales L'effet Bruxelles joue à plein : le Royaume-Uni, le Canada, le Japon et plusieurs États américains s'inspirent de l'AI Act pour leurs propres régulations. Être conforme en Europe, c'est prendre de l'avance sur les marchés export.

Budget à anticiper : selon une étude de l'AI Now Institute (2024), le coût de mise en conformité pour un système IA à haut risque varie entre 50 000 € et 500 000 € selon la complexité, avec des coûts récurrents annuels de 20 à 30 % du coût initial pour la surveillance continue. Ces chiffres doivent être intégrés dans vos business plans produit dès maintenant.

Plan d'action : par où commencer ?

Face à l'ampleur des obligations, une approche structurée en trois phases est recommandée :

Phase 1 — Cartographie (M1-M3) : Inventorier toutes les fonctionnalités IA de votre produit. Pour chacune, établir sa classification de risque selon l'Annexe III. Identifier les fournisseurs de modèles concernés et auditer les contrats existants.

Phase 2 — Mise en conformité (M4-M12) : Constituer les dossiers techniques, implémenter les systèmes de logging, formaliser les notices d'utilisation pour vos clients, créer les procédures de gestion des risques. Désigner un AI Compliance Officer ou mandater un DPO étendu.

Phase 3 — Certification et surveillance (M12+) : Enregistrement dans la base EU AI, émission de la déclaration de conformité, mise en place du monitoring post-marché, formation des équipes produit et commerciales.

La CNIL française a publié en septembre 2024 un guide pratique pour les entreprises sur l'articulation entre RGPD et AI Act — une ressource indispensable pour les équipes juridiques.

Conclusion

L'AI Act n'est pas un règlement de plus à cocher dans une liste de conformité. C'est une transformation structurelle de la façon dont les éditeurs SaaS B2B conçoivent, documentent et commercialisent leurs produits intégrant de l'IA. Avec des amendes pouvant dépasser 35 millions d'euros et une application progressive mais inexorable jusqu'en 2027, l'heure n'est plus à l'attentisme.

Les éditeurs qui investiront tôt dans la conformité — en termes d'organisation, de processus et de culture produit — transformeront une contrainte réglementaire en avantage compétitif durable sur le marché B2B européen et mondial.

La clé : commencer par la cartographie des risques dès aujourd'hui, et traiter la conformité AI Act comme un chantier produit à part entière, pas comme un projet juridique isolé.

— Équipe éditoriale InekIA