L'AI Act, sans panique

L’AI Act en deux mots

L’AI Act (règlement européen 2024/1689) encadre l’usage de l’intelligence artificielle dans l’Union européenne. Son principe : des obligations proportionnées au risque. Quelques usages sont interdits (notation sociale, manipulation…), certains sont « à haut risque » et lourdement encadrés (recrutement, crédit, santé…), et tout le reste, dont la génération de contenu produit, relève d’obligations légères, dites de transparence.

• Février 2025 : les usages interdits sont bannis.
• Août 2025 : obligations des fournisseurs de grands modèles (Mistral, OpenAI…).
• 2 août 2026 : les obligations de transparence s’appliquent. C’est la date qui concerne les fiches produit et les assistants conversationnels.
• Décembre 2027 : les obligations « haut risque » (reportées). Elles ne concernent pas un PIM.

Concrètement, deux règles de transparence s’appliquent à un outil comme cocoPIM : un assistant conversationnel doit se présenter comme une IA, et les contenus générés par IA doivent être identifiables par les machines (un marquage lisible par un programme, pas forcément visible du lecteur final).

Qui est responsable de quoi ?

L’AI Act distingue trois rôles, et vous n’avez que le plus léger des trois :

• Le fournisseur du modèle (Mistral, dont les modèles motorisent l’IA de cocoPIM) porte les obligations sur le modèle lui-même : documentation, respect du droit d’auteur, sécurité. Un acteur français, soumis au droit européen, cohérent avec notre engagement de souveraineté.
• cocoPIM est le fournisseur du système d’IA que vous utilisez : c’est à nous de signaler l’IA quand elle intervient, de marquer les contenus générés et de poser les garde-fous. C’est fait (voir ci-dessous).
• Vous êtes « déployeur » : votre responsabilité se limite à un usage raisonnable, relire ce que l’IA produit et savoir, dans votre équipe, qui utilise l’IA et pour quoi faire.

Ce que cocoPIM couvre déjà

• Traçabilité native des contenus IA. Chaque valeur générée ou traduite par l’IA porte une provenance enregistrée avec la donnée : origine (générée, traduite…), date, modèle utilisé, relecture éventuelle. Cette provenance est posée par le serveur (elle ne peut pas être falsifiée depuis l’interface) et elle voyage avec vos données : l’API et l’export JSON la restituent. C’est exactement le « marquage lisible par les machines » que demande le règlement.
• Relecture humaine outillée : la file de relecture (module 11) liste tout ce que l’IA a produit et qui n’a pas encore été validé par un humain ; chaque relecture est tracée. Vous gardez le dernier mot, et vous pouvez le prouver.
• CoCo se présente comme une IA : l’assistant intégré s’annonce comme une intelligence artificielle et rappelle que ses réponses peuvent contenir des erreurs. Et quand une vraie personne doit prendre le relais, l’escalade vers le support humain est à un clic.
• Des garde-fous par construction : l’IA ne peut proposer que des options existantes de vos listes (pas de valeurs inventées), n’écrase jamais silencieusement ce que vous avez écrit, et des quotas bornent son usage.
• Souveraineté. Modèles Mistral, hébergement en France : vos données produit ne quittent pas le cadre juridique européen.

Ce qui reste de votre côté

• Former votre équipe : le règlement demande que les personnes qui utilisent l’IA en comprennent les bases (article 4, « maîtrise de l’IA »). Les modules 11 et 12 de ce parcours peuvent servir de support : ce que l’IA sait faire, ses limites, comment la relire.
• Relire avant de publier : la file de relecture existe pour ça. Une description générée puis relue par un humain, c’est votre contenu, assumé.
• Conserver la provenance en aval : si vous rediffusez vos fiches vers d’autres systèmes, privilégiez les formats qui transportent la provenance (API, export JSON) quand la traçabilité IA compte pour le destinataire.