EU AI Act et analytics que doit changer votre business ?

Votre business doit surtout cartographier ses usages IA, classer les risques, documenter les données utilisées et renforcer la transparence. L’EU AI Act ne remplace pas le RGPD, il ajoute une couche de contrôle. Et côté data analytics, ça change vite la façon de choisir, configurer et gouverner les outils.

Que change vraiment l’EU AI Act ?

L’EU AI Act change la façon dont les entreprises doivent concevoir, acheter, utiliser et surveiller leurs systèmes d’IA, surtout quand ces systèmes traitent des données ou influencent des décisions.

C’est le premier cadre européen complet sur l’intelligence artificielle, adopté en 2024, avec une application progressive. Le règlement voit large. Un système d’IA, ce n’est pas seulement un gros modèle type ChatGPT. C’est un système machine capable d’inférer, à partir d’entrées, des prédictions, des contenus, des recommandations ou des décisions.

Dit autrement, si votre outil score des leads, recommande une offre, détecte une fraude, classe des tickets support, prédit un risque client ou génère du contenu à partir de données, vous devez vous poser la question. Est-ce que je suis dans le périmètre ? Très souvent, oui.

Il ne faut pas confondre l’EU AI Act avec le RGPD ou ePrivacy. Le RGPD encadre les données personnelles. La directive ePrivacy encadre notamment les traceurs, les cookies et certaines communications électroniques. L’EU AI Act encadre les risques liés aux systèmes d’IA eux-mêmes. Une IA peut donc être plutôt propre côté RGPD, avec une base légale, des durées de conservation et une information utilisateur, sans être conforme à l’EU AI Act. C’est un autre angle de contrôle.

Découvrez égalementAgentic AI en entreprise comment l'évaluer sans risque réel ?

Les grandes dates à garder en tête sont assez claires, même si les textes d’application vont encore préciser des détails. Le règlement est entré en vigueur le 1er août 2024. Les interdictions s’appliquent à partir du 2 février 2025. Les premières obligations sur les modèles d’IA à usage général arrivent à partir du 2 août 2025. L’application principale démarre le 2 août 2026. Certains systèmes à haut risque intégrés à des produits concernés basculent à partir du 2 août 2027.

Sur le terrain, dans les projets data, je vois souvent le même sujet. Le vrai problème n’est pas seulement le modèle. C’est qu’on ne sait plus très bien quelles données entrent, où elles partent, ni qui valide les usages. Et là, l’EU AI Act va forcer les entreprises à remettre de l’ordre.

Comment classer vos usages d’IA ?

Vos usages d’IA doivent être classés par niveau de risque avant de parler outils, budget ou conformité.

C’est la logique de l’EU AI Act. On ne regarde pas juste si vous utilisez ChatGPT, un modèle maison ou un outil analytics avec une couche IA. On regarde surtout ce que l’IA fait, qui elle touche, et ce qui peut se passer si elle se trompe.

Le règlement distingue quatre grandes familles. Le risque inacceptable, c’est ce qui est interdit ou quasi interdit : scoring social, manipulation préjudiciable, certains usages biométriques trop intrusifs. Le risque élevé, c’est là où l’IA peut avoir un vrai impact sur la vie des gens : diagnostic médical, recrutement, scoring crédit, éducation, infrastructures critiques, contrôle aux frontières. Le risque limité, c’est plutôt l’obligation de transparence : chatbots, assistants IA visibles, contenu synthétique, recommandations visibles. Le risque minimal, c’est le reste des usages courants peu sensibles, comme de l’aide à la rédaction interne ou de la classification simple sans effet important sur une personne.

Découvrez égalementSemantic chunking en RAG quand faut-il le préférer au split ?

Les modèles d’IA à usage général sont traités à part. Un modèle à usage général, c’est un modèle capable de servir à beaucoup de choses différentes, pas juste une tâche métier précise. Ses obligations dépendent de sa portée, de sa diffusion, et de son éventuel risque systémique, c’est-à-dire sa capacité à créer des risques à grande échelle.

Le point que je vois souvent chez mes clients, c’est celui-ci : le classement dépend du contexte d’usage, pas seulement de la technologie. Le même moteur IA peut être assez banal dans un assistant interne qui aide à retrouver une procédure, et beaucoup plus sensible s’il sert à filtrer des candidats ou à décider d’un crédit.

Je pars toujours des décisions influencées par l’IA. Est-ce que l’outil recommande, trie, bloque, priorise, note, valide ? Ensuite je regarde qui est concerné : salariés, candidats, clients, patients, citoyens. Puis je vérifie les données utilisées, surtout les données personnelles ou sensibles. Je regarde aussi si l’utilisateur sait qu’il interagit avec une IA. Et je documente, simplement, parce que le jour où quelqu’un pose une question, une trace claire vaut mieux qu’un grand discours.

Quels usages deviennent interdits ?

Les usages interdits sont ceux que l’EU AI Act considère comme incompatibles avec les droits et libertés fondamentales. On parle ici de la catégorie du risque inacceptable, c’est-à-dire les cas où l’usage de l’IA n’est pas seulement sensible ou mal encadré, mais carrément hors limite.

Je le dis simplement : ce sont des lignes rouges. Dans un audit data ou IA, ces sujets doivent sortir du débat très vite. On ne cherche pas à les rendre plus élégants, mieux documentés ou mieux gouvernés. On évite l’usage.

Les exemples typiques à surveiller sont assez concrets :

• Le scoring social par des autorités publiques, quand une personne est notée ou classée selon son comportement, avec des conséquences injustifiées sur ses droits ou son accès à certains services.
• Les systèmes qui manipulent les personnes de manière préjudiciable, surtout quand ils exploitent une vulnérabilité, l’âge, le handicap ou une situation de dépendance.
• Certains usages de surveillance biométrique, notamment dans l’espace public, selon les conditions et les finalités.
• La constitution de bases faciales à partir d’images récupérées sur internet ou via CCTV, donc vidéosurveillance, sans cadre solide.
• La détection des émotions au travail ou dans l’éducation, par exemple prétendre mesurer le stress, l’attention ou la motivation d’un salarié ou d’un étudiant à partir de son visage ou de sa voix.
• Certaines formes de catégorisation biométrique, quand on déduit ou classe des personnes à partir de caractéristiques sensibles.

Découvrez égalementQuels outils d’observabilité IA choisir pour vos LLM ?

Ce n’est pas de la théorie. J’ai déjà vu des équipes produit présenter un outil de “détection d’engagement” en réunion, avec des scores émotionnels sur des collaborateurs. Souvent, l’intention n’est pas mauvaise. Mais le problème est là : l’usage touche à la biométrie, à l’émotion et au travail. Là, on arrête et on fait revoir immédiatement.

Les sanctions peuvent être lourdes. Pour certaines infractions liées aux pratiques interdites, le règlement prévoit jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial, avec des niveaux différents selon les infractions.

Pour les équipes marketing, RH, data et produit, ma règle est simple : si un cas d’usage touche à la biométrie, à l’émotion, à la manipulation comportementale ou à une évaluation sociale, il mérite une revue juridique et data immédiate.

Le meilleur contrôle ici, c’est souvent de dire stop avant de brancher l’outil.

Que faire avec une IA à haut risque ?

Une IA à haut risque n’est pas forcément interdite, mais elle doit être encadrée sérieusement avant et pendant son utilisation. C’est le point à garder en tête. Le sujet n’est pas “On arrête tout”, c’est plutôt “On prouve qu’on maîtrise ce qu’on met en production”.

On parle typiquement d’IA utilisée dans des contextes où une mauvaise décision peut avoir un vrai impact sur une personne ou sur la société. Par exemple :

• Aide au diagnostic médical.
• Recrutement avec tri automatique ou notation de CV.
• Scoring crédit, donc l’évaluation du risque avant d’accorder un prêt.
• Admissions scolaires, évaluations éducatives ou orientation.
• Infrastructures critiques, comme l’énergie, le transport ou certains réseaux.
• Certains systèmes biométriques, comme l’identification ou la catégorisation.
• Maintien de l’ordre.
• Contrôle aux frontières.

Dans ces cas-là, il faut couvrir plusieurs obligations très concrètes. Il faut évaluer les risques, les réduire, documenter le fonctionnement du système, informer les utilisateurs, garder des registres, assurer la traçabilité, prévoir une intervention humaine sur les décisions critiques, sécuriser le système contre les menaces, et démontrer un niveau correct d’exactitude, de robustesse et de fiabilité. L’exactitude, c’est la capacité à produire des résultats justes. La robustesse, c’est la capacité à tenir même quand les données ou le contexte bougent un peu. La fiabilité, c’est le fait que ça fonctionne de manière stable dans le temps.

Le vrai nerf du sujet, c’est la donnée. Si les données d’entraînement, de test ou d’exploitation sont biaisées, mal documentées ou récupérées sans gouvernance claire, le risque explose. Et c’est là que l’analytics engineering devient central. Le lineage permet de savoir d’où vient une donnée et comment elle a été transformée. La qualité vérifie qu’elle est complète, cohérente et utilisable. Les logs gardent les traces. Les accès limitent les usages. Le versioning permet de savoir quelle version d’un dataset ou d’un modèle a servi à quelle décision. La documentation évite de dépendre de la mémoire de trois personnes dans l’équipe.

Sur les projets IA, je vois souvent des équipes très avancées sur les prompts mais très floues sur les jeux de données. C’est exactement là que la conformité devient fragile.

Quel impact pour la data analytics ?

L’impact principal pour la data analytics est de rendre indispensable une gouvernance claire des données, des outils IA et des traitements automatisés. Avant, beaucoup d’équipes regardaient surtout les dashboards, les tags, les conversions, les audiences. Maintenant, il faut aussi regarder ce que fait l’IA derrière l’interface.

Beaucoup de plateformes analytics ajoutent des fonctions IA partout. Résumés automatiques, recommandations, détection d’anomalies, segmentation, assistants conversationnels, génération d’insights. Sur le papier, c’est pratique. Dans la vraie vie, ça pose une question simple : quelles données partent dans le modèle, et qu’est-ce que le modèle produit ensuite ?

Tous ces usages ne sont pas à haut risque au sens de l’EU AI Act. Un assistant qui résume une baisse de trafic n’a pas le même impact qu’un système qui influence une décision de crédit, de recrutement ou d’accès à un service. Mais même sur des cas “simples”, il peut y avoir des obligations de transparence. Si un utilisateur interagit avec une IA, il doit parfois le savoir. Si du contenu synthétique est généré, il peut aussi falloir l’indiquer clairement.

Le RGPD et ePrivacy restent là. L’EU AI Act ne les remplace pas. Il ajoute une couche : le risque lié à l’usage de l’IA. Donc on garde les classiques : consentement quand il est requis, minimisation des données, finalité claire, durée de conservation, information utilisateur, gestion des sous-traitants, transferts éventuels hors UE. J’ai vu des stacks analytics très propres côté consentement, mais totalement flous côté IA. C’est souvent là que le sujet coince.

Les outils orientés privacy by design peuvent aider. C’est-à-dire des outils pensés dès le départ pour limiter la collecte, anonymiser ou pseudonymiser les données, et donner plus de contrôle. Mais ça ne remplace pas une vraie cartographie. Il faut savoir quels traitements existent, qui a accès à quoi, quelles données sont envoyées, quels modèles sont utilisés, et si les résultats influencent des décisions business ou humaines.

Pour auditer votre stack analytics, je repartirais de cette checklist simple :

• Identifier tous les outils analytics qui utilisent des fonctions IA.
• Vérifier quelles données sont envoyées aux modèles, surtout les données personnelles.
• Documenter les finalités, les paramètres clés et les durées de conservation.
• Déterminer si les résultats IA influencent des décisions humaines ou business.
• Informer les utilisateurs quand une interaction IA ou un contenu synthétique existe.
• Contrôler les sous-traitants, les accès et les transferts de données.
• Prévoir un contrôle humain quand l’IA sert à orienter une décision sensible.

Et maintenant on audite vos usages IA ?

L’EU AI Act ne dit pas aux entreprises d’arrêter l’IA. Il leur demande d’être capables d’expliquer ce qu’elles font, avec quelles données, pour quel usage, avec quel niveau de risque. Pour la data analytics, c’est très concret : les assistants IA, les recommandations automatiques, les analyses prédictives et les contenus synthétiques doivent être regardés avec méthode. Le bon réflexe, c’est de cartographier, classer, documenter, sécuriser et informer. Rien de magique, mais ça demande de la rigueur. Le bénéfice pour vous est simple : vous réduisez le risque juridique tout en gardant des outils IA vraiment utiles pour votre business.

FAQ

• Qu’est-ce que l’EU AI Act ?
  L’EU AI Act est le règlement européen qui encadre le développement et l’utilisation des systèmes d’IA selon leur niveau de risque. Il classe les usages en plusieurs catégories, de l’usage interdit au risque limité, avec des obligations différentes selon l’impact possible sur les personnes.
• L’EU AI Act remplace-t-il le RGPD ?
  Non. Le RGPD continue d’encadrer les données personnelles et ePrivacy reste important pour les traceurs et certaines communications électroniques. L’EU AI Act ajoute une couche spécifique sur les risques liés aux systèmes d’IA, comme la transparence, la supervision humaine, la qualité des données ou la documentation.
• Quels systèmes d’IA sont interdits ?
  Les systèmes considérés comme à risque inacceptable sont interdits. On parle notamment de scoring social par des autorités publiques, de manipulation préjudiciable, de certains usages biométriques, de bases faciales créées à partir d’images récupérées massivement, ou de détection des émotions dans le travail et l’éducation.
• Une IA utilisée en analytics est-elle forcément à haut risque ?
  Pas forcément. Un assistant qui résume des rapports analytics ou détecte des anomalies peut être à risque limité ou minimal selon le contexte. Le risque augmente si l’IA influence des décisions importantes sur des personnes, utilise des données sensibles, ou fonctionne sans transparence ni contrôle humain.
• Comment préparer mon business à l’EU AI Act ?
  Je commencerais par inventorier les outils IA, vérifier les données utilisées, classer chaque usage par niveau de risque, documenter les traitements, contrôler les accès, informer les utilisateurs quand c’est nécessaire et prévoir une validation humaine pour les décisions sensibles. C’est simple à dire, mais ça évite beaucoup de mauvaises surprises.

A propos de l’auteur

Je suis Franck Scandolera, expert et formateur en tracking avancé server-side, analytics engineering, automatisation No/Low Code avec n8n, intégration de l’IA en entreprise et SEO/GEO. Je dirige l’agence webAnalyste et l’organisme Formations Analytics. J’accompagne des équipes data, marketing et digitales sur des sujets très concrets de gouvernance, conformité, tracking et automatisation, avec des références comme Logis Hôtel, Yelloh Village, BazarChic, la Fédération Française de Football ou Texdecor. Si vous voulez cadrer vos usages IA et analytics sans perdre trois mois en réunions, contactez-moi.

Franck Scandolera

⭐ Analytics engineer, Data Analyst et Automatisation IA indépendant ⭐

Ref clients : Logis Hôtel, Yelloh Village, BazarChic, Fédération Football Français, Texdecor…

Mon terrain de jeu :

Data Analyst & Analytics engineering : tracking avancé (GA4, Matomo, Piano, GTM server, Tealium, Commander Act, e-commerce, CAPI, RGPD), entrepôt de données (BigQuery, Snowflake, PostgreSQL, ClickHouse), modèles (Airflow, dbt, Dataform), dashboards décisionnels (Looker, Power BI, Metabase, SQL, Python).
Automatisation IA des taches Data, Marketing, RH, compta etc : conception de workflows intelligents robustes (n8n, App Script, scraping) connectés aux API de vos outils et LLM (OpenAI, Mistral, Claude…).
Engineering IA pour créer des applications et agent IA sur mesure : intégration de LLM (OpenAI, Mistral…), RAG, assistants métier, génération de documents complexes, APIs, backends Node.js/Python.