Tu utilises ChatGPT, Claude, Midjourney ou une API LLM dans tes missions ? Voici comment comprendre l'AI Act, informer tes clients et limiter tes risques sans bloquer ton activité.
Quand j’ai utilisé ChatGPT pour préparer un atelier client la première fois, j’ai surtout pensé au temps gagné. Puis je me suis retrouvée à relire mes prompts comme un contrat : quelles données avais-je collées, qu’est-ce qui allait entrer dans le livrable, qu’est-ce que le client devait savoir ?
Tant que l’IA reste dans ton brouillon, le sujet est léger. Il change de nature quand elle entre dans le livrable : un chatbot livré au client, une automatisation qui trie des demandes, un scoring de prospects. Là, l’AI Act n’est plus une affaire de juristes de grands groupes.
Ce guide ne remplace pas un avocat. Il te donne une méthode de tri pour situer ton rôle, ton niveau de risque et ce que ton contrat doit dire.
L’AI Act ne t’interdit pas d’utiliser l’IA. Il t’oblige surtout à comprendre ton rôle, ton niveau de risque et ce que ton client doit savoir.
L’AI Act est le règlement UE 2024/1689. Il classe les usages de l’IA par niveau de risque et vise aussi ceux qui intègrent, déploient ou utilisent un système dans un cadre professionnel. Pas besoin d’entraîner un modèle pour être concerné.
Son calendrier a bougé. L’omnibus numérique sur l’IA, le règlement UE 2026/1744, a été publié au Journal officiel le 24 juillet 2026 et s’applique depuis le 27 juillet. Il repousse le haut risque, mais ne touche ni aux règles de transparence ni à l’architecture du texte. Voici le calendrier en vigueur, d’après la page de la Commission européenne.
| Date | Ce qui s’applique | Pour toi |
|---|---|---|
| 2 février 2025 | Pratiques interdites et littératie IA | Comprendre les limites des outils que tu utilises ou livres. |
| 2 août 2025 | Obligations des modèles d’IA à usage général | Surtout pour OpenAI, Anthropic, Mistral, pas pour toi qui utilises leur API. |
| 2 août 2026 | Application générale, dont la transparence de l’article 50 | Chatbots, deepfakes, contenus générés : c’est déjà en vigueur. |
| 2 décembre 2026 | Marquage des contenus générés par les outils déjà sur le marché, nouvelle interdiction des applications de « dénudage » | Vérifier que tes outils de génération marquent leurs sorties. |
| 2 décembre 2027 | Haut risque de l’annexe III : emploi, éducation, crédit, biométrie… | Au lieu du 2 août 2026 prévu au départ. |
| 2 août 2028 | Haut risque intégré à des produits réglementés | Machines, jouets, dispositifs médicaux. |
Autre retouche de l’omnibus : la littératie IA devient une obligation de moyens. Les fournisseurs et déployeurs doivent prendre des mesures pour former leurs équipes, sans garantir un niveau précis. Pour toi, ça se traduit par une méthode écrite : consignes, validation humaine, et un module de formation si tu livres un outil que l’équipe du client va utiliser.
Le report du haut risque n’est pas un feu vert. La transparence s’applique déjà, et un outil RH conçu aujourd’hui devra être conforme le 2 décembre 2027.
La question utile n’est pas « est-ce que j’utilise de l’IA ? ». C’est « quel rôle ai-je dans la chaîne ? ».
Tu demandes un plan d’article à ChatGPT, tu fais résumer un appel client par Claude, tu reformules une proposition commerciale. L’IA ne décide rien pour le client et ne parle pas à ses utilisateurs. Le risque tient surtout à la confidentialité, à la propriété intellectuelle et au RGPD. Relis les sorties et respecte les clauses de ton contrat de mission freelance.
Le règlement appelle « déployeur » celui qui utilise un système IA sous son autorité dans un cadre professionnel. Tu t’en approches quand tu installes un chatbot de support, une automatisation Make qui classe les demandes entrantes ou un assistant branché sur la base documentaire du client. Il faut alors écrire qui exploite l’outil, qui le supervise, qui informe les utilisateurs et qui garde la documentation.
Tu deviens fournisseur si tu mets un système IA sur le marché sous ton nom, par exemple un SaaS d’audit SEO bâti sur une API LLM. Utiliser GPT ou Mistral via une API ne fait pas de toi le fournisseur du modèle, mais vendre le produit qui l’embarque fait de toi le fournisseur du système. C’est le rôle le plus lourd : documentation technique, notice, transparence. Si c’est ton projet, lis le guide pour devenir consultant en IA freelance.
Entre les deux, beaucoup de freelances intègrent une brique IA pour une agence ou une ESN, sans voir le client final. Attention à la chaîne de responsabilité, détaillée dans les guides sur la marque blanche et les missions en ESN. Et l’article 25 prévoit qu’un tiers qui appose sa marque sur un système à haut risque, le modifie fortement ou change sa finalité peut en devenir le fournisseur.
Ton risque augmente quand ton rôle réel est plus large que ton rôle écrit. Si tu pilotes l’outil, les données et les choix fonctionnels, ne signe pas comme simple exécutante.
Le plus pragmatique est de classer chaque mission en trois niveaux.
Rédaction, synthèse de réunion, idées de posts, aide au code, illustrations non trompeuses. Ici, la discipline professionnelle suffit : relecture, vérification des faits, confidentialité, droits sur les sorties (voir la propriété intellectuelle en freelance).
On monte d’un cran quand l’IA parle à des personnes ou produit un contenu qui pourrait tromper. Depuis le 2 août 2026, l’article 50 impose qu’un chatbot ou un assistant vocal se présente comme une IA quand ce n’est pas évident, et qu’un deepfake (image, voix, vidéo réaliste) soit signalé. Un texte généré publié pour informer le public sur un sujet d’intérêt général doit aussi l’être, sauf s’il passe par une relecture humaine sous responsabilité éditoriale.
La Commission a publié le 10 juin 2026 un code de pratique sur les contenus générés par IA. Il est volontaire, mais l’article 50 reste une obligation légale.
L’annexe III vise notamment l’emploi, l’éducation, le crédit, l’accès aux services essentiels, l’assurance santé ou vie et la biométrie. Scoring de candidats, notation d’étudiants, crédit scoring de particuliers : ces missions doivent déclencher une alerte. Le report à décembre 2027 te laisse du temps, pas une exemption.
Si ton client exploite un tel système, l’article 26 lui impose une supervision humaine compétente, des données d’entrée pertinentes, une surveillance du fonctionnement et la conservation des journaux. Tu ne porteras pas tout ça seule, mais ton devis doit dire qui fait quoi.
Si l’IA influence une décision sur une personne, on sort du simple gain de productivité. On entre dans un sujet de droits, de preuves et de responsabilité.
La transparence ne veut pas dire envoyer une dissertation juridique à chaque devis. Elle veut dire éviter la surprise. Beaucoup de freelances craignent qu’en parlant d’IA, le client baisse le prix. Le bon angle n’est pas « l’IA fait le travail », c’est « j’utilise des outils, je reste responsable de la méthode et de la validation ».
Une clause d’usage encadré suffit pour la plupart des missions :
Le prestataire peut utiliser des outils d'intelligence artificielle comme assistance à l'analyse ou à la production des livrables. Les sorties font l'objet d'une vérification humaine avant livraison. Aucune donnée confidentielle ou personnelle n'est transmise à un outil tiers sans accord écrit préalable du client.Pour un chatbot ou un outil d’aide à la décision, ajoute une limite de garantie :
Le prestataire ne garantit pas l'absence totale d'erreurs, de biais ou d'inexactitudes dans les résultats issus d'outils d'intelligence artificielle. Il met en œuvre les contrôles prévus au devis. La conformité réglementaire globale du dispositif dépend des usages retenus par le client et nécessite, si elle est attendue, une mission dédiée avec validation juridique.N’écris jamais « outil 100 % conforme AI Act et RGPD ». Tu ne contrôles ni le modèle, ni l’hébergement, ni les usages futurs du client. Et une clause ne te protège pas si tu livres une analyse fausse sans l’avoir vérifiée.
Pour une mission sensible, garde une fiche courte : finalité, outil, données utilisées, rôles de chacun, tests réalisés, limites connues, consignes aux utilisateurs. C’est ta preuve de méthode en cas de litige.
Le contrat ne doit pas faire croire que le risque disparaît. Il doit répartir les rôles, les limites et les validations.
L’AI Act ne remplace pas le RGPD. Les deux s’empilent, et la CNIL publie des fiches pratiques IA sur le sujet. Le cas le plus banal est aussi le plus risqué : copier un fichier client dans un outil IA.
Avant de le faire, pose-toi cinq questions :
Si tu ne sais pas répondre, anonymise ou demande un accord écrit. Quand tu traites des données pour le compte du client, l’outil IA devient un sous-traitant supplémentaire : ton client doit connaître son nom, sa localisation et les garanties de transfert, en cohérence avec la clause RGPD de ton contrat.
Même sans donnée personnelle, il reste le secret client : stratégie, prix, code source, roadmap. J’ai déjà vu une équipe coller dans un outil IA les comptes rendus d’un comité interne. Le problème n’était pas seulement juridique. C’était une rupture de confiance.
Si tu n’enverrais pas l’information à un SaaS inconnu sans accord du client, ne la mets pas dans un prompt.
L’AI Act n’est pas un mur, c’est une grille de lecture. Tu peux continuer à vendre des missions IA et à livrer des outils utiles, à condition d’arrêter de faire comme si l’IA était invisible. Avant chaque signature :
Dix minutes de tri avant la mission t’évitent des semaines de discussion après.
Les amendes vont jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, et 15 millions ou 3 % pour la plupart des autres obligations. Pour une PME, c'est le montant le plus faible des deux qui s'applique, et les autorités doivent tenir compte de sa viabilité économique. Pour un solo, le risque principal reste contractuel.
Respecte sa règle et chiffre la mission en conséquence, car travailler sans IA peut prendre plus de temps. Fais préciser dans le contrat ce qui est interdit : IA générative publique, API LLM, transcription automatique.
Non, et garder des prompts contenant des données personnelles crée même un risque RGPD. Pour une mission sensible, conserve les choix structurants, les tests et les validations du client, puis anonymise le reste.
Pas toujours, mais relis les plafonds et les exclusions de ta RC Pro : logiciel, conseil, données personnelles, cyber. Pour une mission IA sensible, demande une confirmation écrite à ton assureur.
8 avril 2026 · 8 min
1 juin 2026 · 8 min
8 mai 2026 · 8 min