Que demande l'AI Act à une entreprise qui utilise des LLM en interne ?

En tant que déployeur, vous prenez des mesures pour garantir un niveau suffisant de maîtrise de l'IA chez le personnel qui utilise l'IA (article 4, depuis le 2 février 2025). À partir du 2 août 2026, vous indiquez qu'un hypertrucage ou un texte généré par IA publié sur une question d'intérêt public a été généré par IA (article 50). Si vous utilisez l'IA pour une finalité à haut risque de l'annexe III, comme le recrutement ou l'évaluation de la solvabilité, les obligations de l'article 26 s'ajoutent à partir du 2 décembre 2027.

Qui porte les obligations liées aux modèles d'IA à usage général ?

Les fournisseurs des modèles. Leurs obligations du chapitre V s'appliquent depuis le 2 août 2025. Une entreprise qui utilise GPT, Claude ou Gemini par API est le déployeur du système d'IA qu'elle met en œuvre.

Faut-il journaliser l'usage des LLM ?

Le règlement fixe une obligation de journalisation pour les usages à haut risque : selon l'article 26, paragraphe 6, les déployeurs conservent les journaux générés automatiquement par le système d'IA à haut risque, dans la mesure où ils sont sous leur contrôle, pendant au moins six mois, sauf disposition contraire du droit de l'Union ou du droit national, notamment en matière de protection des données. Par ailleurs, savoir quels modèles et quels fournisseurs utilise chaque application est le point de départ d'un inventaire IA, et c'est ce que tient une passerelle.

Nous utilisons des API LLM en interne. Qu'est-ce qui a changé en août 2026 ?

Depuis le 2 août 2026, les obligations de transparence de l'article 50 s'appliquent. L'obligation de maîtrise de l'IA s'applique depuis le 2 février 2025, et les obligations du déployeur pour les usages à haut risque de l'annexe III commencent le 2 décembre 2027.

Standard Compute remplit-il nos obligations au titre de l'AI Act ?

Les obligations reviennent à votre entreprise en tant que déployeur. Standard Compute fournit les preuves et les règles sur lesquelles ce travail s'appuie : un journal des requêtes avec modèle, fournisseur et règle de région sur 12 mois, un journal d'audit administrateur, des listes de modèles et de fournisseurs autorisés et la règle Europe.

Le journal des requêtes conserve-t-il nos prompts ?

Non. Les journaux de requêtes ne contiennent que des métadonnées (modèle, fournisseur, tokens, coût, statut), jamais vos prompts ni les réponses. Nous traitons vos prompts en mémoire pour servir chaque requête et ne les écrivons jamais sur disque ni dans des journaux.

Que doivent demander les achats à un fournisseur d'API LLM sur l'AI Act et le RGPD ?

Où les prompts sont traités, si les contenus sont conservés ou utilisés pour l'entraînement, qui sont les sous-traitants et quelles preuves vous recevez. Standard Compute répond avec la règle Europe, la zéro rétention, un DPA signé dans le tableau de bord, une liste publique des sous-traitants avec 14 jours de préavis et un journal des requêtes sur 12 mois.

Appeler Claude, GPT ou Gemini par API fait-il de nous un fournisseur de modèle ?

Non. Le règlement appelle déployeur l'entreprise qui utilise un système d'IA sous sa propre autorité. Le fournisseur d'un modèle est l'entreprise qui le développe et le met sur le marché.

AI Act : quelles obligations pour une entreprise qui déploie des LLM ?

Dernière mise à jour le 9 novembre 2026

Pour une entreprise qui utilise des LLM par API ou comme assistants, le règlement sur l'IA signifie surtout des obligations de déployeur : la maîtrise de l'IA du personnel (article 4, depuis le 2 février 2025), la transparence pour les hypertrucages et les textes générés par IA publiés sur des questions d'intérêt public (article 50, à partir du 2 août 2026) et, seulement pour les usages à haut risque de l'annexe III, les obligations de l'article 26 à partir du 2 décembre 2027, dont la conservation des journaux générés automatiquement pendant au moins six mois.

Standard Compute prend en charge la partie pratique : le modèle, le fournisseur qui a servi la requête et la règle de région en vigueur pour chaque requête, conservés 12 mois et exportables, avec un journal d'audit administrateur, des listes de modèles et de fournisseurs autorisés et la règle Europe.

Cette page résume les textes officiels, article et date à l'appui. Ce qui s'applique à votre entreprise relève de votre service juridique.

Créer un espace entrepriseou écrivez à contact@standardcompute.com

English Deutsch Nederlands Italiano Español

Réponses courtes

Que demande l'AI Act à une entreprise qui utilise des LLM en interne ?: En tant que déployeur, vous prenez des mesures pour garantir un niveau suffisant de maîtrise de l'IA chez le personnel qui utilise l'IA (article 4, depuis le 2 février 2025). À partir du 2 août 2026, vous indiquez qu'un hypertrucage ou un texte généré par IA publié sur une question d'intérêt public a été généré par IA (article 50). Si vous utilisez l'IA pour une finalité à haut risque de l'annexe III, comme le recrutement ou l'évaluation de la solvabilité, les obligations de l'article 26 s'ajoutent à partir du 2 décembre 2027.
Qui porte les obligations liées aux modèles d'IA à usage général ?: Les fournisseurs des modèles. Leurs obligations du chapitre V s'appliquent depuis le 2 août 2025. Une entreprise qui utilise GPT, Claude ou Gemini par API est le déployeur du système d'IA qu'elle met en œuvre.
Faut-il journaliser l'usage des LLM ?: Le règlement fixe une obligation de journalisation pour les usages à haut risque : selon l'article 26, paragraphe 6, les déployeurs conservent les journaux générés automatiquement par le système d'IA à haut risque, dans la mesure où ils sont sous leur contrôle, pendant au moins six mois, sauf disposition contraire du droit de l'Union ou du droit national, notamment en matière de protection des données. Par ailleurs, savoir quels modèles et quels fournisseurs utilise chaque application est le point de départ d'un inventaire IA, et c'est ce que tient une passerelle.

Quelles sont les échéances de l'AI Act pour les entreprises ?

Les dates viennent des articles 113 et 111 du règlement (UE) 2024/1689, tel que modifié par l'omnibus numérique sur l'IA.

Échéances de l'AI Act
Date	Ce qui s'applique	Source officielle
1er août 2024	Ce qui s'applique: Le règlement sur l'IA, règlement (UE) 2024/1689, entre en vigueur.	Source officielle: EUR-Lex
2 février 2025	Ce qui s'applique: Le chapitre I s'applique, dont l'obligation de maîtrise de l'IA de l'article 4.	Source officielle: Article 113, article 4
2 août 2025	Ce qui s'applique: Les obligations des fournisseurs de modèles d'IA à usage général (chapitre V) s'appliquent.	Source officielle: Article 113
2 août 2026	Ce qui s'applique: Le règlement s'applique de façon générale, y compris les obligations de transparence de l'article 50.	Source officielle: Article 113, article 50
2 décembre 2026	Ce qui s'applique: Fin de la période transitoire de l'article 111, paragraphe 4 : les fournisseurs de systèmes mis sur le marché avant le 2 août 2026 doivent marquer les contenus synthétiques dans un format lisible par machine (article 50, paragraphe 2).	Source officielle: Article 111
2 décembre 2027	Ce qui s'applique: Obligations pour les systèmes d'IA à haut risque de l'annexe III, comme le recrutement, l'emploi, la solvabilité et l'éducation, y compris celles du déployeur à l'article 26.	Source officielle: Article 113, article 26
2 août 2028	Ce qui s'applique: Obligations pour l'IA intégrée aux produits couverts par la législation d'harmonisation de l'annexe I.	Source officielle: Article 113

Résumé des textes officiels, vérifié le 9 novembre 2026. Ceci n'est pas un avis juridique.

Appeler un LLM par API fait-il de nous un fournisseur ou un déployeur ?

Le règlement appelle déployeur toute personne ou entité qui utilise sous sa propre autorité un système d'IA (article 3, point 4), sauf usage personnel à caractère non professionnel. Une entreprise qui appelle GPT, Claude ou Gemini par API, ou qui donne un assistant IA à ses équipes, est le déployeur de ce système.

Les obligations relatives aux modèles d'IA à usage général du chapitre V, comme la documentation technique et l'information des fournisseurs en aval, reviennent aux entreprises qui développent les modèles et les mettent sur le marché.

Que demande l'article 50 à partir du 2 août 2026 ?

Les fournisseurs de systèmes d'IA qui génèrent des contenus de synthèse de type audio, image, vidéo ou texte marquent ces contenus dans un format lisible par machine et identifiable comme généré ou manipulé par une IA (article 50, paragraphe 2). Pour les systèmes mis sur le marché avant le 2 août 2026, l'article 111, paragraphe 4, laisse jusqu'au 2 décembre 2026.

Les déployeurs indiquent que des contenus image, audio ou vidéo constituant un hypertrucage ont été générés ou manipulés par une IA (article 50, paragraphe 4). Il en va de même pour un texte généré ou manipulé par IA publié pour informer le public sur des questions d'intérêt public, sauf si le texte a fait l'objet d'un examen humain ou d'un contrôle éditorial et qu'une personne en assume la responsabilité éditoriale. Les déployeurs de systèmes de reconnaissance des émotions ou de catégorisation biométrique informent les personnes exposées (article 50, paragraphe 3).

Combien de temps un déployeur conserve-t-il les journaux ?

Seulement en cas d'usage à haut risque. Utiliser l'IA pour une finalité de l'annexe III, comme la sélection de candidats, la gestion des travailleurs, l'évaluation de la solvabilité ou l'éducation, en fait un système d'IA à haut risque. L'article 26 demande alors, à partir du 2 décembre 2027, notamment d'utiliser le système conformément à la notice du fournisseur, de confier le contrôle humain à des personnes compétentes et de surveiller son fonctionnement.

Article 26, paragraphe 6 : les déployeurs conservent les journaux générés automatiquement par le système d'IA à haut risque, dans la mesure où ils sont sous leur contrôle, pendant une période adaptée à sa destination et d'au moins six mois, sauf disposition contraire du droit de l'Union ou du droit national applicable, en particulier du droit de la protection des données.

Quelles preuves une passerelle IA fournit-elle ?

Standard Compute place Claude, GPT, Gemini et les modèles ouverts sous un seul compte entreprise, avec une clé pour chaque personne et chaque application. L'inventaire IA, la politique d'usage et les preuves sont alors au même endroit.

Chaque modification administrateur est enregistrée avec ses valeurs avant et après, et vous exportez un relevé de chaque requête indiquant le modèle, le fournisseur qui l'a servie et la règle de région en vigueur, conservé 12 mois. Les journaux de requêtes ne contiennent que des métadonnées (modèle, fournisseur, tokens, coût, statut), jamais vos prompts ni les réponses.

Décidez quels modèles chaque clé peut utiliser et quels fournisseurs d'inférence peuvent traiter vos données, pour toute l'entreprise, une équipe ou une seule clé. Les niveaux inférieurs ne peuvent que restreindre les règles, et les replis ne peuvent jamais contourner votre liste. Avec une règle Europe, chaque requête, y compris les nouvelles tentatives et les replis, n'est servie que par des points de terminaison d'inférence européens approuvés.

Ce que la passerelle enregistre et le travail qu'elle appuie
Fonction	Ce qu'elle fait	Appuie
Export du journal des requêtes	Ce qu'elle fait: Modèle, fournisseur et règle de région de chaque requête, conservés 12 mois et exportables	Appuie: Preuves d'usage, inventaire IA
Journal d'audit administrateur	Ce qu'elle fait: Chaque modification administrateur avec ses valeurs avant et après	Appuie: Historique de la politique d'usage
Liste de modèles autorisés	Ce qu'elle fait: Seuls les modèles que vous approuvez pour chaque application ou personne	Appuie: Politique d'usage
Liste de fournisseurs autorisés	Ce qu'elle fait: Seuls les fournisseurs d'inférence approuvés ; un nouveau fournisseur exige un administrateur	Appuie: Choix des fournisseurs
Une clé par personne et par application	Ce qu'elle fait: L'usage est rattaché à une personne ou une application dès la première requête	Appuie: Inventaire IA
Règle Europe	Ce qu'elle fait: Requêtes, nouvelles tentatives et replis servis uniquement par des points de terminaison européens approuvés	Appuie: Travail RGPD
Authentification unique (SSO)	Ce qu'elle fait: Microsoft Entra ID ou tout fournisseur d'identité SAML	Appuie: Traçabilité des accès

Tableau de bord Standard Compute, journal d'audit : modifications de la règle de région, de la zéro rétention, d'un plafond de dépenses, des modèles d'une clé d'application et d'un domaine SSO, chacune avec ses valeurs avant et après. — Le journal d'audit administrateur : chaque modification de règles, de budgets et de clés avec ses valeurs avant et après. L'entreprise affichée est un exemple ; le tableau de bord est en anglais.

Ces enregistrements sont des preuves, tenues par la passerelle, de l'usage des modèles et des fournisseurs. Les journaux visés à l'article 26, paragraphe 6, sont ceux que génère le système d'IA à haut risque lui-même. Ce que le règlement exige de votre entreprise relève de votre service juridique, et les preuves sont réunies au même endroit chez Standard Compute.

Questions de l'IT, de la sécurité et des achats

Nous utilisons des API LLM en interne. Qu'est-ce qui a changé en août 2026 ?: Depuis le 2 août 2026, les obligations de transparence de l'article 50 s'appliquent. L'obligation de maîtrise de l'IA s'applique depuis le 2 février 2025, et les obligations du déployeur pour les usages à haut risque de l'annexe III commencent le 2 décembre 2027.
Standard Compute remplit-il nos obligations au titre de l'AI Act ?: Les obligations reviennent à votre entreprise en tant que déployeur. Standard Compute fournit les preuves et les règles sur lesquelles ce travail s'appuie : un journal des requêtes avec modèle, fournisseur et règle de région sur 12 mois, un journal d'audit administrateur, des listes de modèles et de fournisseurs autorisés et la règle Europe.
Le journal des requêtes conserve-t-il nos prompts ?: Non. Les journaux de requêtes ne contiennent que des métadonnées (modèle, fournisseur, tokens, coût, statut), jamais vos prompts ni les réponses. Nous traitons vos prompts en mémoire pour servir chaque requête et ne les écrivons jamais sur disque ni dans des journaux.
Que doivent demander les achats à un fournisseur d'API LLM sur l'AI Act et le RGPD ?: Où les prompts sont traités, si les contenus sont conservés ou utilisés pour l'entraînement, qui sont les sous-traitants et quelles preuves vous recevez. Standard Compute répond avec la règle Europe, la zéro rétention, un DPA signé dans le tableau de bord, une liste publique des sous-traitants avec 14 jours de préavis et un journal des requêtes sur 12 mois.
Appeler Claude, GPT ou Gemini par API fait-il de nous un fournisseur de modèle ?: Non. Le règlement appelle déployeur l'entreprise qui utilise un système d'IA sous sa propre autorité. Le fournisseur d'un modèle est l'entreprise qui le développe et le met sur le marché.

Sources

Règlement (UE) 2024/1689 (règlement sur l'IA), EUR-Lex, version française, vérifié le 9 novembre 2026
Règlement (UE) 2026/1744 (omnibus numérique sur l'IA), EUR-Lex, vérifié le 9 novembre 2026
Article 4, AI Act Service Desk de la Commission européenne, vérifié le 9 novembre 2026
Article 26, AI Act Service Desk, vérifié le 9 novembre 2026
Article 50, AI Act Service Desk, vérifié le 9 novembre 2026
Article 111, AI Act Service Desk, vérifié le 9 novembre 2026
Article 113, AI Act Service Desk, vérifié le 9 novembre 2026

Créez votre entreprise, définissez vos règles de modèles et de fournisseurs, et démarrez le journal des requêtes sur lequel s'appuie votre travail AI Act.

Créer un espace entreprise