AI Act : quelles obligations pour un SaaS qui intègre de l'IA ?

Votre logiciel répond aux clients avec un assistant, rédige des e-mails ou génère des visuels ? Le règlement européen sur l’intelligence artificielle, l’AI Act, aussi appelé IA Act, vous concerne déjà. Pour la plupart des SaaS, l’essentiel tient en deux développements ciblés. Ce guide trie ce qui s’applique, ce qui a été repoussé et ce qui relève d’un juriste, avec la grille de prix de notre offre d’intégration d’IA dans vos logiciels.

Que change l’AI Act pour un SaaS qui intègre de l’IA ?

Depuis le 2 août 2026, l’article 50 de l’AI Act impose deux choses à un SaaS qui intègre de l’IA : prévenir l’utilisateur qu’il échange avec une IA, au plus tard à la première interaction, et marquer les textes, images, sons ou vidéos générés dans un format lisible par machine. Le reste du règlement ne touche qu’une minorité de produits.

L’AI Act est le règlement (UE) 2024/1689. Son article 113 fixe au 2 août 2026 la date générale d’application, qui vaut pour l’article 50, comme le confirme la page de la Commission européenne consacrée à l’AI Act.

Un système d’IA est, au sens du règlement, un système automatisé qui déduit des entrées qu’il reçoit comment générer des prédictions, des contenus, des recommandations ou des décisions, avec un certain degré d’autonomie. Un chatbot branché sur un grand modèle de langage en est un.

Les deux obligations qui visent un éditeur de SaaS :

• La mention IA (paragraphe 1). Un système qui interagit directement avec des personnes doit les informer qu’elles échangent avec une IA, sauf si c’est évident pour une personne « normalement informée et raisonnablement attentive et avisée ». L’information arrive au plus tard à la première interaction.
• Le marquage (paragraphe 2). Un système qui génère des contenus de synthèse, audio, image, vidéo ou texte, doit les marquer « dans un format lisible par machine », sauf pour la mise en forme standard, comme la correction.

Deux autres obligations visent vos clients, pas vous : signaler un hypertrucage et signaler un texte d’intérêt public publié sans relecture humaine (paragraphe 4). Un hypertrucage, ou deepfake, est une image, un son ou une vidéo générés par IA qui imitent des personnes, des lieux ou des événements réels au point de passer pour authentiques.

Tout dépend donc de votre rôle. Le fournisseur est l’entreprise qui développe un système d’IA, ou le fait développer, et le met sur le marché sous son propre nom ou sa propre marque. Le déployeur est l’organisation qui l’utilise sous sa propre autorité, dans un cadre professionnel. L’éditeur d’un SaaS est fournisseur ; son client est déployeur.

Où se situe votre SaaS parmi les quatre niveaux de risque de l’AI Act ?

Un SaaS courant qui intègre de l’IA générative se situe presque toujours au niveau du risque limité : un chatbot, un assistant de rédaction ou un générateur d’images doivent respecter l’article 50, sans plus. Il bascule en haut risque s’il trie des candidats, évalue des salariés, établit un score de crédit ou tarifie une assurance vie ou santé.

L’AI Act classe les systèmes par usage, pas par technologie. Le même modèle de langage peut être sans obligation dans un outil de résumé et à haut risque dans un logiciel de recrutement.

L’annexe III du règlement liste huit domaines à haut risque, dont l’emploi, l’éducation, le crédit et la biométrie. Un système qui y figure peut y échapper s’il n’influence pas substantiellement la décision, par exemple pour une tâche procédurale étroite (article 6, paragraphe 3). Mais le profilage de personnes reste toujours à haut risque, et le fournisseur qui s’estime hors du haut risque doit documenter son analyse.

À l’autre bout, la Commission rappelle que le risque minimal, sans règle spécifique, couvre « la grande majorité des systèmes d’IA actuellement utilisés dans l’UE ».

Les obligations des modèles à usage général pèsent-elles sur votre SaaS ?

Non, tant que vous utilisez un modèle par API sans le modifier en profondeur. Les obligations de l’article 53 visent l’éditeur du modèle : documentation technique, information des intégrateurs, politique de droit d’auteur et résumé public des données d’entraînement. Votre SaaS reste fournisseur de son propre système, donc soumis à l’article 50.

Un modèle d’IA à usage général est un modèle entraîné sur de grands volumes de données, capable d’exécuter un large éventail de tâches distinctes et conçu pour être intégré dans d’autres systèmes.

Ces obligations s’appliquent depuis le 2 août 2025, et la Commission peut les sanctionner depuis le 2 août 2026, jusqu’à 3 % du chiffre d’affaires mondial ou 15 millions d’euros (article 101). Au-delà de 10²⁵ opérations de calcul pour l’entraînement, le modèle est présumé à risque systémique. Tout cela vise une poignée d’éditeurs de modèles, pas un SaaS de gestion.

Trois conséquences pratiques pour vous :

• Vous avez droit à de la documentation. L’article 53 oblige l’éditeur du modèle à informer les intégrateurs de ses capacités et de ses limites. Demandez-la.
• Une adaptation légère ne fait pas de vous un éditeur de modèle. Selon les lignes directrices de la Commission, seules les modifications importantes entraînent les obligations du fournisseur de modèle.
• Le marquage du modèle peut servir, sans vous décharger. Les lignes directrices du 20 juillet 2026 autorisent à s’appuyer sur le marquage d’un fournisseur en amont, s’il est conforme, mais la preuve de conformité reste à votre charge.

L’omnibus numérique a-t-il repoussé les échéances de l’AI Act ?

Oui pour le haut risque, non pour la transparence. Le volet IA de l’omnibus numérique, adopté et en vigueur depuis le 27 juillet 2026, décale les règles du haut risque au 2 décembre 2027 et au 2 août 2028. L’article 50 s’applique toujours depuis le 2 août 2026, avec un seul sursis pour le marquage.

L’omnibus IA est le règlement (UE) 2026/1744 du 8 juillet 2026, qui modifie l’AI Act pour en simplifier l’application. Proposé le 19 novembre 2025, il a fait l’objet d’un accord politique le 7 mai 2026. Ce qu’il change :

• Haut risque de l’annexe III (emploi, éducation, biométrie, crédit) : 2 décembre 2027 au lieu du 2 août 2026.
• Haut risque intégré à des produits réglementés (machines, jouets, ascenseurs) : 2 août 2028 au lieu du 2 août 2027.
• Marquage : les systèmes génératifs mis sur le marché avant le 2 août 2026 ont jusqu’au 2 décembre 2026 (nouvel article 111, paragraphe 4).
• Allègements : des mesures réservées aux PME sont étendues aux petites entreprises de taille intermédiaire, et l’obligation de formation à l’IA est assouplie.

Le second volet de l’omnibus numérique, sur les données, la cybersécurité et la vie privée, RGPD compris, n’est pas adopté : au 6 octobre 2026, la Commission le présente toujours comme une proposition.

Le sursis du 2 décembre 2026 ne vaut que pour le marquage des systèmes déjà en ligne avant le 2 août 2026 : une fonction générative lancée en septembre 2026 marque ses contenus dès sa sortie. La foire aux questions de la Commission sur l’article 50 précise qu’aucun étiquetage rétroactif n’est exigé pour les contenus produits avant le 2 août 2026.

Comment savoir si votre SaaS est concerné, et que risquez-vous ?

Listez chaque fonction d’IA de votre produit et passez-la au crible de quatre questions : pratique interdite, domaine du haut risque, interaction directe avec une personne, génération de contenus vus par des humains. Une seule réponse positive crée une obligation. Le manquement à l’article 50 coûte jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial.

La méthode, applicable sans développeur :

1. Inventoriez les fonctions d’IA : chat, rédaction, résumé, génération d’images, classement, score. Notez le modèle utilisé.
2. Écartez l’interdit : aucune fonction ne doit déduire les émotions de salariés ou d’élèves, ni noter socialement des personnes.
3. Vérifiez l’annexe III : recrutement, gestion des salariés, éducation, crédit, assurance, biométrie. Si une fonction y touche, consultez un juriste.
4. Repérez l’interaction directe : une personne échange-t-elle avec l’IA, par écrit, par la voix ou par e-mail ? Si oui, la mention s’impose.
5. Repérez la génération : l’IA produit-elle un contenu vu par des humains ? Si oui, le marquage s’impose. Notez la date de mise en ligne.
6. Consignez vos conclusions dans un document daté : c’est la première pièce de votre dossier.

Côté sanctions, l’article 99 prévoit jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial pour un manquement à la transparence, et jusqu’à 35 millions ou 7 % pour une pratique interdite. Pour une PME, le montant le plus bas sert de plafond : une société qui réalise 2 millions d’euros de chiffre d’affaires risque au plus 60 000 euros pour un défaut de mention ou de marquage. En France, le schéma de gouvernance présenté par le Gouvernement confie le contrôle de l’article 50 à la DGCCRF et à l’Arcom.

Les pièges que nous voyons revenir :

• la mention IA glissée dans les conditions générales, que les lignes directrices jugent insuffisante seule ;
• la conviction que l’éditeur du modèle marque les contenus à votre place ;
• l’idée qu’un SaaS B2B échappe au marquage, alors que l’exemption ne vise que des sorties techniques internes, jamais partagées hors de l’entreprise ;
• une fonction de tri de candidats ajoutée sans analyse, qui fait basculer le produit en haut risque.

Que faut-il développer pour respecter l’article 50 de l’AI Act, et combien ça coûte ?

Quatre chantiers techniques : une mention visible dans l’interface, un marquage lisible par machine des contenus générés, une journalisation de chaque génération et un dossier de documentation. Sur un SaaS existant, c’est une évolution facturée au temps passé, entre 700 et 1 100 € HT par jour chez Krafter. Sur une fonction neuve, la conformité se conçoit dès l’intégration.

La mention visible

Les lignes directrices de la Commission citent un message d’accueil qui annonce l’IA, un badge permanent près du champ de saisie, un libellé en tête des e-mails rédigés par un agent, une annonce vocale en début d’appel.

Le marquage des contenus

Le marquage lisible par machine est une signature technique ajoutée à un contenu généré, sous forme de métadonnée, de filigrane invisible ou de signature cryptographique, qui permet à un logiciel de détecter son origine artificielle. Le règlement exige une solution aussi efficace, interopérable, solide et fiable que la technologie le permet, et la détection doit être accessible aux personnes exposées au contenu.

La journalisation

L’article 50 ne l’exige pas en tant que telle, mais une trace de chaque génération (date, modèle, version, marquage) est votre meilleure preuve en cas de contrôle. Le considérant 133 cite d’ailleurs les « méthodes d’enregistrement » parmi les techniques de marquage. Chez Krafter, la journalisation fait partie des garde-fous de toute intégration, comme le détaille notre guide pour intégrer l’IA dans son logiciel.

La documentation

Le dossier réunit l’inventaire des fonctions, l’analyse de classement, la documentation des modèles, la description du marquage, des captures de la mention et la formation des équipes (article 4).

Prenons un scénario type. Un éditeur vend depuis 2025 un SaaS de relation client avec un chatbot et un module de visuels de campagne. La mention est due depuis le 2 août 2026, le marquage des visuels avant le 2 décembre 2026. Le chantier : message d’accueil et badge, métadonnées sur les visuels, journalisation, conditions générales qui rappellent aux abonnés leurs propres obligations. Dans ce scénario, quatre jours de développement et de tests, soit 2 800 à 4 400 € HT.

Le marquage suivra l’évolution des normes européennes : un contrat de maintien en conditions évite de rouvrir le dossier à chaque changement.

Quand l’AI Act est-il d’abord une affaire de juriste ?

Dès que la question n’est plus « comment l’afficher » mais « suis-je concerné » ou « qui est responsable » : classement en haut risque, contrats avec vos clients, articulation avec le RGPD. Ces arbitrages relèvent d’un juriste spécialisé. Krafter traite la partie technique et fournit au juriste les éléments techniques dont il a besoin.

Les cas où le juriste passe avant le développeur :

• une fonction touche un domaine de l’annexe III, même de loin, et le classement doit être documenté ;
• vos contrats doivent répartir les rôles de fournisseur et de déployeur avec vos clients ;
• l’IA traite des données personnelles, ce qui ajoute le RGPD, comme l’explique notre article sur ce qu’un dirigeant de SaaS doit savoir sur le RGPD.

Si votre produit relève du haut risque, ne commencez pas par nous : le chantier est d’abord réglementaire, et le code vient après.

Il existe aussi des cas sans rien à développer. Un assistant interne utilisé par des équipes formées entre dans l’exception d’évidence citée en exemple par la Commission. Une IA qui corrige l’orthographe ou traduit relève de la mise en forme standard. Un document daté qui le constate suffit alors. La foire aux questions de la CNIL sur le règlement IA, mise à jour le 17 août 2026, reprend ce calendrier et l’articulation avec le RGPD.

Avant le 2 décembre 2026, faites l’inventaire de vos fonctions d’IA, puis faites chiffrer la mention et le marquage. Si votre SaaS est encore à construire, intégrez ces règles dès le cadrage : notre page développement SaaS détaille la méthode, et le simulateur de budget donne une fourchette en 8 questions. Pour un produit déjà en ligne, parlez-nous de votre SaaS : un associé vous répond sous 24 à 48 heures, avec un avis net sur ce qui relève du code et ce qui relève du juriste.