L’intelligence artificielle générative peut faire gagner des heures sur des tâches de recherche, de synthèse et de rédaction, mais l’entreprise qui l’utilise continue de répondre des données qu’elle y introduit et des décisions qui en sortent. L’opportunité est réelle quand on sait quels outils sont utilisés, avec quelles informations et qui relit le résultat avant de l’appliquer.
Là où elle apporte vraiment de la valeur
L’IA est la plus efficace quand le problème consiste à trouver et à ordonner des informations qui existent déjà. Un bureau d’études de Gérone dont les techniciens perdent du temps à chercher des procédures, ou un groupe hôtelier d’Andorre dont le personnel pose chaque saison les mêmes questions sur les protocoles internes, sont des cas évidents. Elle aide aussi à produire un premier brouillon de courriel, d’offre ou de rapport qu’une personne relit ensuite.
Elle est moins efficace, et c’est là que se concentrent les erreurs d’usage, quand on lui demande une donnée exacte sans la vérifier ou quand le résultat sert directement à décider sur des personnes. Un modèle de langage peut donner une réponse bien rédigée et fausse. Notre recommandation est que l’IA joue le rôle de premier lecteur et de rédacteur, et que la décision finale soit prise par quelqu’un qui porte un nom.
Le risque le plus courant : l’IA que personne n’a autorisée
À notre avis, le risque le plus courant dans les PME vient de l’usage spontané, avant le règlement sur l’IA. Une personne de l’équipe colle un contrat ou une liste de clients dans un chat public pour le résumer, avec la meilleure intention. Si cet outil traite des données à caractère personnel pour le compte de l’entreprise, le prestataire agit comme sous-traitant, et le RGPD exige de le choisir avec des garanties suffisantes et d’encadrer la relation par un contrat (article 28). En Andorre, la Llei 29/2021 (la loi qualifiée sur la protection des données personnelles) y ajoute les conditions des transferts internationaux (articles 42 à 44) si le service se trouve hors d’Andorre et de l’UE.
Tout interdire fonctionne rarement. Il nous semble plus efficace de proposer un outil autorisé, avec un contrat révisé, et de l’accompagner de règles d’usage qui tiennent sur une page.
Inventaire : quels usages de l’IA existent dans l’entreprise
On ne peut pas classer ce que l’on ne connaît pas, et la première étape consiste à dresser une liste. Interrogez chaque service, regardez les abonnements et les extensions de navigateur, et n’oubliez pas les fonctions d’IA arrivées dans des outils que vous aviez déjà (suite bureautique, CRM, messagerie). Pour chaque usage, notez :
| Question | Pourquoi c’est important |
|---|---|
| Quel outil et quel prestataire, et où traite-t-il les données ? | Contrat de sous-traitance et transferts |
| Qui l’utilise et pour quelle tâche ? | Définit qui en répond |
| Quelles données y entrent : personnelles, de clients, confidentielles ? | Détermine la base juridique et le niveau de risque |
| Les résultats touchent-ils des personnes (recrutement, évaluation, crédit, accès à un service) ? | Peut être à haut risque selon le règlement |
| Le résultat est-il publié ou montré à des tiers ? | Obligations de transparence |
| Y a-t-il une relecture humaine avant de l’appliquer ? | Évite les décisions exclusivement automatisées |
L’inventaire est aussi la base pour répondre à un client, à un auditeur ou à une autorité.
Comment le risque est classé selon le règlement (UE) 2024/1689
Le règlement sur l’IA ordonne les usages en quatre niveaux, et la plupart des entreprises y figurent en tant que déployeurs : elles utilisent un système créé par un autre.
- Pratiques interdites (article 5). Elles comprennent les techniques subliminales ou manipulatrices qui altèrent substantiellement le comportement, la notation sociale des personnes, le moissonnage non ciblé d’images faciales sur internet et la déduction des émotions sur les lieux de travail et dans les établissements d’enseignement, sauf pour des raisons médicales ou de sécurité. Les amendes peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial (article 99, paragraphe 3).
- Haut risque (article 6 et annexe III). Parmi les domaines de l’annexe figurent le recrutement et l’évaluation des candidats, les décisions sur les conditions de travail, la promotion ou la rupture de la relation de travail, l’accès à l’éducation, l’évaluation de la solvabilité et la fixation des prix des assurances vie et santé. Les déployeurs doivent suivre les notices d’utilisation, confier le contrôle humain à des personnes compétentes, surveiller le fonctionnement, conserver les journaux au moins six mois et informer les travailleurs et les personnes concernées (article 26).
- Transparence (article 50). Les personnes doivent savoir qu’elles s’adressent à un système d’IA, et les contenus de synthèse doivent pouvoir être identifiés. Les déployeurs d’un système qui génère des hypertrucages doivent indiquer qu’ils sont artificiels, et ceux qui publient un texte produit par une IA pour informer le public sur des questions d’intérêt public doivent le signaler, sauf s’il y a relecture humaine et responsabilité éditoriale.
- Tout le reste. Ces usages n’ont pas d’obligations spécifiques dans ce règlement, mais ils relèvent du RGPD et, pour le personnel, de la mesure de soutien à la maîtrise de l’IA de l’article 4.
Les amendes pour manquement aux obligations de l’article 26 ou de l’article 50 peuvent atteindre 15 millions d’euros ou 3 % du chiffre d’affaires mondial, et pour les PME, c’est le plus faible des deux montants qui s’applique (article 99).
Calendrier en vigueur au 25 octobre 2026
Le règlement (UE) 2026/1744, le train de mesures omnibus numérique sur l’IA, a été publié au Journal officiel de l’Union européenne le 24 juillet 2026 et est entré en vigueur le 27 juillet. Les dates, désormais, sont les suivantes :
| Date | Ce qui s’applique |
|---|---|
| 2 février 2025 | Dispositions générales et pratiques interdites ; article 4 sur la maîtrise de l’IA |
| 2 août 2025 | Gouvernance, modèles à usage général et régime de sanctions (sauf l’article 101) |
| 2 août 2026 | Date générale d’application, y compris les obligations de transparence de l’article 50 |
| 2 décembre 2026 | Nouvelles interdictions sur les images intimes de synthèse sans consentement et sur le matériel d’abus sexuel d’enfants ; date limite pour que les systèmes générateurs de contenu de synthèse déjà commercialisés respectent l’article 50, paragraphe 2 |
| 2 décembre 2027 | Obligations des systèmes à haut risque de l’annexe III |
| 2 août 2028 | Obligations des systèmes à haut risque de produits réglementés de l’annexe I |
L’omnibus a aussi réécrit l’article 4 : il ne demande plus de garantir un niveau suffisant de maîtrise de l’IA, mais d’adopter des mesures pour la soutenir, sans exiger de niveau précis d’aucune personne. Un outil de recrutement choisi aujourd’hui devrait pouvoir respecter les obligations de haut risque d’ici un peu plus d’un an.
Ce qui s’applique à une entreprise andorrane qui offre des services dans l’UE
Le règlement n’est pas du droit andorran, mais être en Andorre ne place pas une entreprise en dehors de son champ. Il s’applique aux fournisseurs qui mettent des systèmes d’IA sur le marché de l’Union quel que soit leur lieu d’établissement (article 2, paragraphe 1, point a) et aux fournisseurs et déployeurs d’un pays tiers lorsque les sorties du système sont utilisées dans l’Union (article 2, paragraphe 1, point c). Un fournisseur d’un pays tiers d’un système à haut risque doit désigner un mandataire établi dans l’UE avant de le mettre sur le marché (article 22).
Deux exemples typiques. Un groupe hôtelier d’Andorre qui utilise un chat doté d’IA pour répondre à des clients de France ou d’Espagne doit s’assurer que ces clients savent qu’ils s’adressent à un système d’IA. Une agence andorrane qui présélectionne des candidats pour une entreprise de Barcelone avec un outil d’IA devrait vérifier si l’usage relève de l’annexe III, car les résultats sont utilisés dans l’Union.
L’Espagne a créé sa propre agence de supervision, l’AESIA (l’Agence espagnole de supervision de l’intelligence artificielle ; Real Decreto 729/2023). En Andorre, le cadre dont nous avons connaissance pour les données personnelles est la Llei 29/2021, sans préjudice du RGPD lorsqu’il est applicable (article 3, paragraphe 2).
Les données personnelles restent soumises au RGPD et à la Llei 29/2021
L’IA ne crée pas un espace à part en matière de protection des données. Le RGPD reconnaît le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant la personne de manière significative (article 22). La Llei 29/2021 contient un droit équivalent pour l’Andorre (article 25). En pratique, si un outil propose qui reçoit une offre, un crédit ou un entretien, une personne doit relire et pouvoir expliquer la décision.
Contrôle : ce qu’il faut exiger de tout outil
Avant de souscrire à un assistant d’IA, il convient d’avoir des réponses écrites à quelques questions. Les données de l’entreprise servent-elles à entraîner les modèles d’autres ? L’outil respecte-t-il les autorisations qui existent déjà, de sorte que chaque personne ne consulte que ce qui la concerne ? Peut-on savoir sur quels documents chaque réponse s’appuie ? Et où le service s’exécute-t-il et où les données se retrouvent-elles ?
Nous avons ici un intérêt et nous le disons : MIA est un assistant d’entreprise privé et un produit de BDR Group. Selon le site du produit, les données de l’entreprise n’entraînent pas de modèles publics, l’accès se définit par équipe, rôle ou service à partir de la gestion des identités de l’entreprise, il existe une traçabilité de ce sur quoi s’appuient les réponses et il peut être déployé dans un cloud privé, dans un environnement dédié ou sur site (on-premise). Quels que soient les outils que vous choisissez, ce sont les questions à poser à n’importe quel prestataire.
Que faire maintenant
- Demandez à l’équipe quels outils d’IA elle utilise aujourd’hui et avec quel type d’informations, et dressez l’inventaire.
- Rédigez une politique d’usage d’une page : ce qui peut être saisi, ce qui ne le peut pas, et qui relit les résultats.
- Choisissez un outil autorisé, avec le contrat de sous-traitance révisé, et vérifiez où les données sont traitées.
- Identifiez si un usage touche des décisions sur des personnes (recrutement, évaluation, crédit) et prévoyez-y une relecture humaine.
- Si le résultat parvient à des clients de l’UE, vérifiez la transparence et organisez une formation de base pour toutes les personnes qui l’utilisent.
Questions fréquentes
Si l’équipe utilise un chat public, est-ce que j’enfreins une règle ?
Cela dépend de ce qui y est saisi. Si des données à caractère personnel y entrent sans contrat avec le prestataire ni base pour le transfert, il peut y avoir un manquement au RGPD ou à la Llei 29/2021.
Le règlement sur l’IA s’applique-t-il déjà ?
Oui, en partie. Les pratiques interdites s’appliquent depuis le 2 février 2025 et la date générale est le 2 août 2026, avec les obligations de transparence. Celles des systèmes à haut risque de l’annexe III s’appliquent à partir du 2 décembre 2027, selon la modification de 2026.
Une entreprise andorrane doit-elle respecter le règlement européen sur l’IA ?
Pas en tant que droit andorran, mais oui lorsque les sorties du système sont utilisées dans l’Union européenne.
Puis-je utiliser l’IA pour sélectionner du personnel ?
Oui, mais l’annexe III considère ces systèmes comme à haut risque, avec des obligations à partir du 2 décembre 2027. De plus, le droit de ne pas faire l’objet de décisions exclusivement automatisées s’applique déjà aujourd’hui.
Sources
- Parlement européen et Conseil. Règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle (règlement sur l’intelligence artificielle), articles 2, 4, 5, 6, 22, 26, 27, 50, 99 et 113 et annexe III. JOUE L, 2024/1689, 12/7/2024. Consulté le : 25/10/2026. https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32024R1689
- Parlement européen et Conseil. Règlement (UE) 2026/1744 du 8 juillet 2026 modifiant les règlements (UE) 2024/1689, (UE) 2018/1139 et (UE) 2023/1230 en ce qui concerne la simplification de la mise en œuvre des règles harmonisées concernant l’intelligence artificielle (train de mesures omnibus numérique sur l’IA), article 1 (modifications des articles 4, 5, 111 et 113). JOUE L, 2026/1744, 24/7/2026. Consulté le : 25/10/2026. https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32026R1744
- Règlement (UE) 2016/679 (règlement général sur la protection des données), articles 3, 22 et 28. JOUE L 119, 4/5/2016. Consulté le : 25/10/2026. https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32016R0679
- Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals (loi qualifiée 29/2021 du 28 octobre sur la protection des données à caractère personnel), articles 25 et 42 à 44. BOPA n° 119, 17/11/2021 (texte en catalan). Consulté le : 25/10/2026. https://www.apda.ad/assets/pdf/CGL20211115_08_58_32.pdf
- Real Decreto 729/2023, de 22 de agosto, por el que se aprueba el Estatuto de la Agencia Española de Supervisión de Inteligencia Artificial (décret royal 729/2023 du 22 août portant approbation du statut de l’Agence espagnole de supervision de l’intelligence artificielle). BOE n° 210, 2/9/2023 (BOE-A-2023-18911, texte en espagnol). Consulté le : 25/10/2026. https://www.boe.es/buscar/doc.php?id=BOE-A-2023-18911
Parlons de l’IA dans votre entreprise
Si vous voulez voir comment un assistant privé peut fonctionner avec la documentation de votre entreprise, consultez la fiche : MIA, l’assistant d’IA d’entreprise privé