EU AI Act quel impact pour data et analytics ?

L’EU AI Act impose une logique simple aux équipes data et analytics : plus l’IA peut nuire, plus les règles sont strictes. Je vous résume ce qui change vraiment : risques, données, transparence, sanctions, et choix d’outils analytics plus propres.

Que change vraiment l’EU AI Act ?

L’EU AI Act change surtout la façon dont les entreprises doivent évaluer, documenter et contrôler leurs systèmes d’IA selon leur niveau de risque.

Ce règlement européen sur l’IA est un cadre légal global adopté en 2024, proposé au départ en 2021, et publié sous le nom Regulation (EU) 2024/1689. Il ne remplace pas le RGPD, ni la directive ePrivacy. Il vient plutôt s’ajouter à ce socle. Le RGPD protège les données personnelles. L’ePrivacy encadre surtout les communications électroniques et certains traceurs. L’EU AI Act, lui, regarde comment les systèmes d’IA sont conçus, utilisés, surveillés et expliqués.

Le point important, c’est qu’on ne parle pas seulement de technologie. On parle de gouvernance, de données, de transparence et de responsabilité. Pour une équipe data ou analytics, ça change pas mal de choses. Il ne suffit plus de dire “le modèle marche bien”. Il faut pouvoir expliquer à quoi il sert, quelles données il utilise, quels risques il crée, qui le contrôle, et ce qu’on fait quand il se trompe.

Un système d’IA, dans ce contexte, c’est un outil capable de produire des prédictions, des recommandations, des contenus, des décisions ou des sorties qui influencent un environnement réel ou numérique. Dit plus simplement, ça peut être un scoring client, un chatbot, un moteur de recommandation, un outil de génération de contenu, une aide au recrutement, une analyse comportementale, une segmentation marketing ou une automatisation de décisions.

Découvrez égalementQuels outils d’observabilité IA choisir pour vos LLM ?

Dans mes missions, le problème n’est pas que les entreprises utilisent l’IA. Le vrai problème, c’est qu’elles ne savent pas toujours quelles données entrent dans les outils, où elles partent, combien de temps elles sont gardées, ni si un humain garde vraiment la main. Et ça, avec l’EU AI Act, ça devient beaucoup plus difficile à ignorer.

Pour savoir quoi faire concrètement, il faut d’abord classer les usages IA par risque. C’est vraiment le point de départ.

Comment sont classés les risques IA ?

L’EU AI Act classe les usages IA en grandes familles de risque, et ce classement détermine les obligations de l’entreprise. Ce point est important : ce n’est pas “l’algorithme” tout seul qui est jugé, c’est l’usage réel. Un modèle de scoring peut être banal pour prioriser des tickets support, mais beaucoup plus sensible s’il décide d’un crédit, d’un recrutement ou d’un accès à un service public.

Je le résume comme ça : plus l’usage peut toucher aux droits, à la sécurité ou aux opportunités d’une personne, plus le niveau d’exigence monte.

• Risque inacceptable : Ces usages sont interdits. On ne les lance pas. On parle par exemple de notation sociale par des autorités publiques, de manipulation nuisible, d’exploitation de vulnérabilités, de certaines formes de surveillance biométrique, de constitution de bases faciales depuis des sources publiques, de reconnaissance émotionnelle au travail ou dans l’éducation, et de certaines catégorisations biométriques sensibles.
• Haut risque : Ces usages sont autorisés, mais très encadrés. Santé, diagnostic, traitement, recrutement, notation de crédit, admission ou évaluation scolaire, infrastructures critiques, contrôle aux frontières, justice, certaines identifications biométriques. Là, il faut prouver qu’on maîtrise le système.
• Risque limité : On parle surtout de transparence. Chatbots, assistants clients, contenu synthétique, assistants virtuels, recommandations visibles. L’utilisateur doit savoir qu’il interagit avec une IA ou qu’un contenu a été généré ou modifié par IA quand c’est pertinent.
• Risque minimal ou faible : La majorité des usages internes simples tombent ici. Analyse de texte non sensible, aide à la rédaction, automatisation légère, classification sans impact fort. Il faut rester sérieux, mais les obligations sont beaucoup plus légères.

Sur les usages à haut risque, je regarde toujours les mêmes points avec mes clients : gestion des risques, qualité des données, documentation, logs, traçabilité, information utilisateur, supervision humaine, cybersécurité, exactitude et fiabilité. Dit simplement, il faut pouvoir expliquer ce que le système fait, avec quelles données, avec quels contrôles, et qui reprend la main si ça dérape.

Découvrez égalementQuelles newsletters IA suivre pour rester à jour ?

Le vrai sujet côté data, c’est que ce classement ne sert à rien si on ne sait pas quelles données alimentent réellement les outils. Sans inventaire, sans traçabilité, sans vision claire des flux, on classe au doigt mouillé. Et ça, dans un audit, ça se voit très vite.

Pourquoi la data devient le vrai sujet ?

C’est assez simple à dire, mais souvent moins simple à faire accepter en interne : la data devient le vrai sujet parce qu’une IA ne peut pas être conforme si les données qu’on lui donne sont floues, mal qualifiées, sensibles sans contrôle, ou impossibles à tracer.

Dans les équipes data et analytics, ça touche beaucoup plus de choses qu’on ne l’imagine. On parle de données personnelles, d’événements web, de consentement, de logs serveur, de CRM, de données de conversion, de comportements utilisateurs, d’enrichissement, de prompts envoyés par les utilisateurs, ou encore d’exports vers des outils tiers. Une IA peut avaler tout ça très vite. Parfois trop vite. Et le business ne réalise pas toujours que tel prompt, tel connecteur ou telle automatisation envoie des données vers un outil externe.

Avant de brancher une IA dans un flux data ou analytics, je pose toujours les mêmes questions. Elles sont basiques, mais elles évitent pas mal de problèmes :

• Quelles données entrent dans l’outil ?
• À quoi servent ces données exactement ?
• Qui peut les consulter, les stocker ou les réutiliser ?
• Est-ce qu’on peut prouver ce qui s’est passé après coup ?

Cette dernière question est souvent oubliée. Pourtant, si personne ne peut expliquer quelle donnée est entrée, quel traitement a été fait, et quel résultat est sorti, on est vite dans le flou. Et le flou, avec l’EU AI Act, le RGPD et les audits internes, ça finit rarement bien.

Découvrez égalementPourquoi utiliser des LLM guardrails en production ?

Pour les systèmes à haut risque, la qualité des données devient encore plus importante. Les données doivent être pertinentes, représentatives, suffisamment complètes, et les biais doivent être surveillés. Un biais, c’est un déséquilibre dans les données qui pousse le modèle à favoriser ou défavoriser certains cas. Une IA entraînée ou alimentée avec des données sales produit des décisions sales. Dans certains cas, ce n’est plus juste un problème métier, ça devient un risque légal.

Sur le terrain, chez certains clients, le premier chantier n’est même pas l’IA. C’est l’inventaire des flux. On découvre des pixels oubliés, des connecteurs branchés il y a trois ans, des automatisations sans propriétaire, des exports CRM que plus personne ne challenge vraiment. C’est rarement volontaire. C’est juste l’empilement des outils.

C’est aussi pour ça que les solutions analytics plus privacy-friendly gagnent en intérêt. Hébergement mieux maîtrisé, collecte limitée, transparence plus forte, contrôle des accès, moins de dépendance à des plateformes opaques. Matomo, par exemple, va dans cette logique d’analytics orienté confidentialité, sans que ce soit une réponse magique à tout.

Une fois les données cartographiées, le vrai travail commence : mettre en place une gouvernance simple, compréhensible, et surtout vérifiable.

Comment se préparer sans se bloquer ?

Je me prépare sans me bloquer en traitant l’EU AI Act comme un chantier de gouvernance pragmatique, pas comme un frein à l’innovation. Le piège, c’est de partir dans un grand audit théorique. Moi, je commence par les usages réels. Ceux qui tournent déjà dans les équipes, parfois sans que personne ne les ait vraiment cadrés.

Je regarde les cas concrets : chatbot support, génération de contenus, scoring commercial, automatisation de reporting, analyse de parcours, recommandations produit, matching candidat, segmentation marketing. Pour chacun, je pose les mêmes questions simples. Quel impact sur une personne ? Quelles données sont utilisées ? Quel fournisseur est derrière ? Est-ce qu’un humain peut reprendre la main ? Est-ce qu’on peut auditer la décision ou au moins comprendre la logique générale ?

C’est souvent là que les choses deviennent claires. Chez un client, le sujet sensible n’était pas le modèle d’IA le plus visible. C’était un petit scoring commercial branché dans le CRM, avec des données enrichies par un outil SaaS externe. Personne ne l’avait vu comme un “système IA”. Pourtant, il influençait les priorités des équipes de vente.

Les actions prioritaires sont assez simples, mais il faut les faire sérieusement :

• Inventorier les outils IA utilisés, y compris les outils SaaS avec des fonctions IA intégrées.
• Identifier les cas d’usage réels, pas seulement les projets officiels.
• Classer les risques selon l’impact business, humain, légal et réputationnel.
• Cartographier les données utilisées, surtout les données personnelles.
• Vérifier les bases légales, le consentement quand il est nécessaire, et le rôle du DPO.
• Documenter les décisions, les validations, les limites connues et les contrôles humains.
• Garder des traces exploitables, parce qu’un audit sans preuve, c’est juste une discussion.
• Former les équipes pour qu’elles sachent quand escalader un usage IA.

Les sanctions rappellent que le sujet est sérieux, sans tomber dans la peur. Les pratiques interdites peuvent aller jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial. Certaines autres violations peuvent aller jusqu’à 15 millions ou 3 %. Les informations incorrectes ou trompeuses fournies aux autorités peuvent aller jusqu’à 7,5 millions ou 1 %.

Les équipes data, analytics et marketing sont souvent au croisement des données, des outils SaaS, des automatisations et des décisions business. Elles doivent parler avec le juridique, le DPO, l’IT, la sécurité et les métiers. Si le sujet reste dans un silo, on rate forcément quelque chose.

Et maintenant on fait quoi concrètement ?

L’EU AI Act ne dit pas d’arrêter l’IA. Il dit surtout : classez vos usages, comprenez vos données, documentez vos choix, informez les utilisateurs et gardez un humain là où les décisions peuvent faire mal. Pour la data et l’analytics, le sujet devient très concret : tracking, consentement, exports, prompts, logs, outils tiers, qualité des données. Mon conseil est simple : commencez par vos vrais cas d’usage, pas par un grand audit théorique. Vous gagnerez en conformité, mais aussi en maîtrise opérationnelle. Le bénéfice pour vous : utiliser l’IA plus vite, avec moins de risques et plus de confiance.

FAQ

• Qu’est-ce que l’EU AI Act ?
  L’EU AI Act est le règlement européen qui encadre les systèmes d’intelligence artificielle selon leur niveau de risque. Plus un usage peut impacter les personnes, plus les obligations sont fortes : documentation, transparence, qualité des données, supervision humaine et sécurité.
• L’EU AI Act remplace-t-il le RGPD ?
  Non. Le RGPD continue de s’appliquer dès qu’il y a des données personnelles. L’EU AI Act ajoute une couche spécifique sur les systèmes d’IA : risques, transparence, traçabilité, contrôle humain et obligations selon les usages.
• Quels usages IA sont interdits ?
  Les usages à risque inacceptable sont interdits. On parle notamment de notation sociale, de manipulation nuisible, de certaines surveillances biométriques, de reconnaissance émotionnelle au travail ou à l’école, et de certaines catégorisations biométriques sensibles.
• Pourquoi les équipes analytics sont concernées ?
  Parce qu’elles manipulent souvent les données qui alimentent les outils IA : événements web, données CRM, conversions, comportements utilisateurs, logs, segments, exports SaaS. Si ces flux ne sont pas maîtrisés, la conformité devient vite fragile.
• Quelles sanctions sont prévues par l’EU AI Act ?
  Les sanctions peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites. D’autres manquements peuvent aller jusqu’à 15 millions ou 3 %, et les informations incorrectes jusqu’à 7,5 millions ou 1 %.

A propos de l’auteur

Je suis Franck Scandolera, expert et formateur en tracking avancé server-side, analytics engineering, automatisation no/low code avec n8n, intégration de l’IA en entreprise et SEO/GEO. J’accompagne des équipes data, marketing et business sur des sujets très terrain : collecte fiable, conformité, architecture analytics, automatisations IA et gouvernance des données. J’ai travaillé pour des références comme Logis Hôtel, Yelloh Village, BazarChic, la Fédération Française de Football ou Texdecor. Je dirige l’agence webAnalyste et l’organisme Formations Analytics. Si vous voulez cadrer vos usages IA et analytics sans usine à gaz, contactez-moi.

Franck Scandolera

⭐ Analytics engineer, Data Analyst et Automatisation IA indépendant ⭐

Ref clients : Logis Hôtel, Yelloh Village, BazarChic, Fédération Football Français, Texdecor…

Mon terrain de jeu :

Data Analyst & Analytics engineering : tracking avancé (GA4, Matomo, Piano, GTM server, Tealium, Commander Act, e-commerce, CAPI, RGPD), entrepôt de données (BigQuery, Snowflake, PostgreSQL, ClickHouse), modèles (Airflow, dbt, Dataform), dashboards décisionnels (Looker, Power BI, Metabase, SQL, Python).
Automatisation IA des taches Data, Marketing, RH, compta etc : conception de workflows intelligents robustes (n8n, App Script, scraping) connectés aux API de vos outils et LLM (OpenAI, Mistral, Claude…).
Engineering IA pour créer des applications et agent IA sur mesure : intégration de LLM (OpenAI, Mistral…), RAG, assistants métier, génération de documents complexes, APIs, backends Node.js/Python.