Un avocat en intelligence artificielle aide les entreprises qui développent, achètent ou utilisent des systèmes d'IA à respecter le règlement (UE) 2024/1689, dit AI Act. Il traite aussi le RGPD et le droit d'auteur, qui s'appliquent en même temps. Le calendrier a bougé en 2026 : une partie des obligations s'applique déjà, d'autres ont été reportées, et de nouvelles interdictions entrent en vigueur le 2 décembre 2026. Chez Hashtag Avocats, à Paris, Me Arnaud Touati, associé cofondateur et responsable du pôle Contractuel IP-IT, pilote ces dossiers avec Me Nathan Benzacken, qui intervient en IA et en blockchain.
Nous conseillons les éditeurs de solutions, les start-up de l'IA générative et les entreprises qui déploient des outils d'IA dans leurs ressources humaines, leur relation client ou leur production. L'audit au titre du règlement IA est proposé au forfait de 8 000 à 20 000 € HT, selon notre page Tarifs. Le premier échange est un diagnostic de 30 minutes offert.
Les situations qui vous amènent
- Votre start-up commercialise un outil d'IA et un grand compte exige, avant de signer, une analyse de conformité à l'AI Act.
- Votre DRH veut trier des candidatures ou évaluer des salariés avec un outil d'IA, et vous craignez un usage à haut risque.
- Vous intégrez un modèle d'un grand fournisseur dans votre produit et vous ne savez plus si vous êtes fournisseur ou simple utilisateur.
- Vous entraînez un modèle sur des contenus collectés en ligne et vous voulez savoir ce que permet le droit d'auteur.
- Votre chatbot répond à vos clients et vous vous demandez ce que vous devez leur dire.
- Votre direction veut une politique interne d'usage de l'IA générative pour les équipes.
Ce que nous faisons
- Cartographie et qualification : inventaire des systèmes d'IA, rôle de l'entreprise pour chacun, niveau de risque, obligations applicables et date d'entrée en application.
- Audit au titre du règlement IA : écarts de conformité, plan d'action, documentation à produire.
- Contrats : contrats de développement, d'intégration, de licence de modèle et d'abonnement, répartition des obligations entre fournisseur et déployeur.
- Données personnelles : base légale de l'entraînement, information des personnes, analyse d'impact, décisions automatisées.
- Propriété intellectuelle : données d'entraînement, réservation des droits, titularité des contenus produits.
- Gouvernance interne : charte d'usage, formation des équipes, procédure en cas d'incident.
Votre équipe sur vos projets d’intelligence artificielle
Parcours Maître Arnaud Touati
Son domaine d’expertise englobe les questions relatives à l’entrepreneuriat, au droit du numérique, au droit des données personnelles, ainsi qu’au droit du Web3.
Avant de fonder Hashtag Avocats en 2015, Arnaud a pratiqué le droit des affaires dans de nombreux cabinets d’avocats anglo-saxons à Paris, de grandes banques d’affaires, mais également au sein de structures de taille intermédiaire. Sa passion pour la technologie l’a naturellement conduit à fonder Hashtag Avocats avec Maître Harry Allouche, dans le but de développer une expertise rare dans les domaines de l’intelligence artificielle, de la protection des données (RGPD, éthique), et surtout de la blockchain (ICO/STO, NFT, Web 3.0).
Arnaud est également membre de l’incubateur du Barreau de Paris. Il enseigne à l’École de Formation du Barreau et dans plusieurs écoles de commerce renommées. Il participe également à de nombreux workshops et événements au sein de l’écosystème des startups.
Maître Elise Hausherr
Avocate collaboratrice au sein du pôle Contractuel IP-IT
Parcours Maître Elise Hausherr
Son domaine d’expertise englobe les questions relatives au droit des données personnelles, au droit du numérique et au droit du Web3.
Elise a suivi une double formation droit des affaires / école de commerce. Avant de rejoindre Hashtag Avocats en 2021, Elise a cumulé huit années d’expérience au sein d’une grande société de conseil en technologies. Pendant cette période, elle a dirigé des projets de transformation complexes pour de grandes entreprises françaises et internationales opérant dans le secteur industriel. Aujourd’hui, elle accompagne les clients en résolvant leurs problématiques juridiques tout en apportant son expertise opérationnelle. Depuis son arrivée au cabinet, Elise a développé les pôles Fintech/Blockchain/NFT et RGPD. Elle a également mis en place des outils internes afin d’améliorer les processus du cabinet.
Maître Nathan Benzacken
Avocat dans le domaine de la propriété intellectuelle et du droit numérique
Parcours Maître Nathan Benzacken
Son domaine d’expertise englobe les questions relatives au droit du numérique et de la propriété intellectuelle. Son expérience s’est enrichie au sein de services juridiques, notamment dans le domaine de l’audiovisuel et du cinéma, ainsi qu’au sein de cabinets d’avocats traitant du droit d’auteur, du droit des marques, du droit de la consommation, du droit des données personnelles et du droit de la presse.
Passionné par les évolutions constantes et les défis sans cesse renouvelés du numérique, Nathan a, depuis son arrivée au cabinet, élargi ses compétences en intégrant le droit des crypto-actifs et de la blockchain dans son domaine de compétence.
AI Act : qui est concerné ?
Le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024. Il distingue deux rôles principaux (article 3). Le fournisseur développe ou fait développer un système ou un modèle d'IA et le met sur le marché sous son nom ou sa marque. Le déployeur utilise un système d'IA sous sa propre autorité, dans le cadre d'une activité professionnelle.
Une même entreprise peut cumuler les deux rôles. Celle qui vend sous sa marque un outil bâti sur le modèle d'un tiers est fournisseur de cet outil. Celle qui l'utilise pour ses propres besoins est déployeur. La qualification se fait système par système, et elle commande tout le reste.
Quatre niveaux de risque
| Niveau | Exemples | Conséquence |
|---|---|---|
| Pratiques interdites | Manipulation préjudiciable, exploitation des vulnérabilités, notation sociale, reconnaissance des émotions au travail ou à l'école | Interdiction (article 5) |
| Haut risque | Recrutement et gestion des salariés, évaluation de la solvabilité, éducation, infrastructures critiques (annexe III) | Gestion des risques, documentation, journaux, contrôle humain |
| Transparence | Chatbots, contenus générés ou manipulés | Information des personnes (article 50) |
| Risque minimal | Filtres anti-spam, outils internes sans effet sur les personnes | Pas d'obligation spécifique, hors maîtrise de l'IA |
Les pratiques interdites
L'article 5 interdit notamment les systèmes qui manipulent les personnes ou exploitent leurs vulnérabilités au point de leur causer un préjudice important. Il interdit aussi la notation sociale, la prédiction d'infractions fondée uniquement sur le profilage et la constitution de bases de reconnaissance faciale par moissonnage non ciblé d'images. La reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement est interdite, sauf raisons médicales ou de sécurité. Le règlement (UE) 2026/1744 ajoute, à partir du 2 décembre 2026, l'interdiction des systèmes qui génèrent des images intimes ou sexuelles réalistes d'une personne identifiable sans son consentement.
Les systèmes à haut risque
Les systèmes listés à l'annexe III, comme ceux qui servent au recrutement ou à l'évaluation de la solvabilité, sont à haut risque. Le fournisseur doit mettre en place une gestion des risques, une documentation technique et une journalisation (articles 9, 11 et 12), avec une notice d'utilisation transparente (article 13). Le déployeur doit utiliser le système conformément à cette notice, confier le contrôle humain à des personnes compétentes, surveiller son fonctionnement et conserver les journaux au moins six mois (article 26). Une personne visée par une décision fondée sur un tel système peut obtenir une explication (article 86).
Les obligations de transparence
Un système qui interagit avec des personnes doit les informer qu'elles échangent avec une IA, sauf si c'est évident (article 50). Les contenus de synthèse doivent être marqués comme générés artificiellement. Les fournisseurs de systèmes génératifs mis sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026 pour respecter ce marquage.
Le calendrier d'application, après l'omnibus de 2026
- 2 février 2025 : dispositions générales et pratiques interdites.
- 2 août 2025 : règles des modèles d'IA à usage général, gouvernance et sanctions.
- 2 août 2026 : application générale du règlement, dont les obligations de transparence.
- 2 décembre 2026 : nouvelles interdictions et marquage des contenus pour les systèmes génératifs déjà sur le marché.
- 2 décembre 2027 : obligations des systèmes à haut risque de l'annexe III.
- 2 août 2028 : obligations des systèmes à haut risque intégrés à des produits réglementés (annexe I).
Le règlement 2026/1744 a aussi réécrit l'obligation de maîtrise de l'IA. Fournisseurs et déployeurs prennent des mesures pour favoriser la maîtrise de l'IA par leur personnel, sans obligation de garantir un niveau donné pour chaque personne. Une formation documentée et une charte d'usage restent la façon la plus simple de le démontrer.
Les sanctions
Les amendes peuvent atteindre 35 000 000 € ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites, le montant le plus élevé étant retenu (article 99). Le non-respect des obligations des fournisseurs, des déployeurs ou de transparence expose à 15 000 000 € ou 3 % du chiffre d'affaires. Fournir des informations inexactes aux autorités expose à 7 500 000 € ou 1 %. Pour les PME et les jeunes pousses, c'est le montant le plus faible qui sert de plafond. Le règlement 2026/1744 étend ce plafond réduit aux petites entreprises à moyenne capitalisation pour les deux dernières catégories.
IA et données personnelles
L'AI Act s'ajoute au RGPD sans le remplacer. Entraîner un modèle sur des données personnelles suppose une base légale, l'information des personnes et le respect de la minimisation. Une analyse d'impact est souvent nécessaire. Ces sujets prolongent la conformité générale de l'entreprise, traitée par notre avocat en données personnelles.
Une décision produisant des effets juridiques, ou affectant une personne de manière significative, ne peut en principe pas être fondée exclusivement sur un traitement automatisé (article 22 du RGPD). Les exceptions sont limitées : nécessité contractuelle, autorisation légale, consentement explicite. En cas de nécessité contractuelle ou de consentement, la personne doit pouvoir obtenir une intervention humaine, exprimer son point de vue et contester la décision. Selon la CNIL, l'autorité néerlandaise de protection des données a prononcé en coopération avec elle une amende de près de 825 millions d'euros contre Uber, pour des décisions automatisées.
IA et propriété intellectuelle
Les données d'entraînement
Le Code de la propriété intellectuelle autorise la fouille de textes et de données sur des œuvres licitement accessibles. L'auteur peut s'y opposer, notamment par des procédés lisibles par machine (article L. 122-5-3 du Code de la propriété intellectuelle). Les fournisseurs de modèles à usage général doivent en outre se doter d'une politique de respect du droit d'auteur, qui repère et respecte ces oppositions (article 53 du règlement IA). Avant d'entraîner un modèle, il faut donc tracer les sources et leurs conditions d'utilisation.
Les contenus produits par l'IA
Le droit d'auteur protège les œuvres de l'esprit et naît du seul fait de la création par un auteur (article L. 111-1). La protection d'un contenu produit avec une IA dépend de l'apport créatif humain, qui s'apprécie au cas par cas. Les contrats doivent donc dire qui détient les résultats, les requêtes et les modèles affinés, sans compter sur le droit d'auteur pour régler la question.
Les contrats de l'IA
Un contrat d'IA reprend la structure d'un contrat informatique et y ajoute des clauses propres. Elles portent sur la provenance des données, les performances et les biais, la propriété des modèles affinés et le sort des données saisies par les utilisateurs. Le contrat répartit aussi les obligations de l'AI Act et organise un droit d'audit. Côté achat, les conditions des grands fournisseurs se négocient peu ; l'enjeu se déplace vers vos propres règles d'usage. Nous rédigeons ces contrats avec les méthodes de notre avocat informatique à Paris. L'IA s'inscrit dans un ensemble plus large de questions technologiques, que traite notre avocat en nouvelles technologies à Paris. Les règles propres aux plateformes et au commerce en ligne relèvent de notre avocat en droit du numérique. Chaque situation est particulière, et le niveau de détail dépend de l'usage réel du système.
Le déroulé de notre intervention
- Diagnostic de 30 minutes offert, après vérification des conflits d'intérêts sous un jour ouvré.
- Convention d'honoraires écrite, avec forfait ou devis annoncé avant toute diligence.
- Cartographie des systèmes d'IA et qualification de votre rôle pour chacun.
- Audit : écarts, priorités, calendrier aligné sur les dates d'application.
- Mise en conformité : documentation, contrats, information des personnes, charte interne.
- Suivi : nouveaux outils, évolutions du règlement, demandes des clients et des autorités.
Honoraires
L'audit au titre du règlement IA est proposé au forfait de 8 000 à 20 000 € HT. La note de qualification approfondie est à 4 500 € HT, et une analyse d'impact sur la protection des données démarre à 3 500 € HT. Pour un suivi continu, l'abonnement entreprises couvre le numérique et l'IA parmi ses huit domaines. Une convention d'honoraires écrite est signée avant toute diligence. Le détail figure sur la page Tarifs du cabinet.
Documenter le rôle réel de votre entreprise
Acheter un modèle, l’intégrer dans un produit et déployer un outil interne ne créent pas les mêmes obligations. Commencez par inventorier les systèmes, leurs usages, fournisseurs et utilisateurs. La revue articule l’AI Act avec les données personnelles, la propriété intellectuelle et les contrats. Une déclaration du fournisseur ne répond pas à toutes les questions liées à votre usage.
Transformer l’analyse en décisions de projet
La revue doit préciser les exigences, les équipes responsables et les preuves à obtenir avant le lancement. Les contrats encadrent les usages, la documentation et les évolutions du service. Ils répartissent aussi les responsabilités en cas d’incident. Le calendrier se vérifie au regard du règlement 2026/1744 et des transitions pertinentes, sans appliquer une date unique à tous les systèmes.
Intelligence artificielle : AI Act, données et contrats : questions fréquentes
L'AI Act s'applique-t-il à mon entreprise ?
Oui, dès que vous fournissez ou utilisez un système d'IA dans l'Union dans un cadre professionnel. L'intensité des obligations dépend du niveau de risque du système et de votre rôle. Une cartographie de vos usages est la première étape.
Quand les obligations des systèmes à haut risque s'appliquent-elles ?
Depuis l'omnibus de 2026, le 2 décembre 2027 pour les systèmes listés à l'annexe III, comme le recrutement ou l'évaluation de la solvabilité. Pour les systèmes intégrés à des produits réglementés, la date est le 2 août 2028. Les interdictions et les obligations de transparence s'appliquent déjà.
Mon chatbot doit-il signaler qu'il est une IA ?
Oui, sauf si c'est évident pour l'utilisateur. Le règlement impose d'informer les personnes qu'elles interagissent avec un système d'IA. Les contenus générés doivent par ailleurs être marqués comme artificiels.
Utiliser une IA pour trier des CV est-il autorisé ?
Oui, mais un tel système est à haut risque. L'employeur, en tant que déployeur, devra notamment l'utiliser selon la notice, confier le contrôle humain à une personne compétente et conserver les journaux. Le RGPD interdit en outre une décision fondée exclusivement sur le traitement automatisé, sauf exceptions.
Une œuvre générée par IA est-elle protégée par le droit d'auteur ?
Elle peut l'être si un auteur humain y a apporté des choix créatifs. Une production entièrement générée par la machine est difficilement protégeable. La titularité des résultats doit donc être réglée par contrat.
Quelles amendes en cas de non-respect de l'AI Act ?
Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 millions ou 3 % pour les autres obligations principales. Pour les PME, le montant le plus faible sert de plafond. Les montants sont fixés au cas par cas selon la gravité.
Le cabinet utilise-t-il lui-même l'IA ?
Oui, comme outil. Chaque acte rédigé avec l'aide d'outils d'IA est relu, corrigé et validé par un avocat du cabinet avant d'être remis.
Textes cités
- Règlement (UE) 2024/1689, art. 113
- Règlement (UE) 2024/1689, art. 3 points 3-4
- Règlement (UE) 2024/1689, art. 5 § 1
- Règlement (UE) 2026/1744, art. 1er (art. 5 et 113 AI Act)
- Règlement (UE) 2024/1689, art. 9, 11, 12, 13 ; annexe III points 4 et 5 b)
- Règlement (UE) 2024/1689, art. 26
- Règlement (UE) 2024/1689, art. 86
- Règlement (UE) 2024/1689, art. 50
- Règlement (UE) 2026/1744 (art. 111 § 4 AI Act)
- Règlement (UE) 2024/1689 art. 113 modifié par 2026/1744
- Règlement (UE) 2026/1744, art. 1er point 5 (art. 4 AI Act)
- Règlement (UE) 2024/1689 art. 99, modifié par 2026/1744
- RGPD, art. 22
- CNIL, actualité du 24/08/2026
- Article L. 122-5-3 du CPI
- Règlement (UE) 2024/1689, art. 53 § 1 c)
- Article L. 111-1 du CPI
- Règlement (UE) 2024/1689 – AI Act, à lire avec le règlement modificatif 2026/1744
- Règlement (UE) 2026/1744 – modification de l’AI Act
- Commission européenne – calendrier d’application de l’AI Act
Chaque situation est particulière : les informations présentées sur cette page sont générales et ne remplacent pas un conseil juridique adapté à votre dossier. Le cabinet ne promet aucun résultat ; il s'engage sur les moyens mis en œuvre.
Services et guides liés
Chaque situation est particulière. Cette page apporte une information générale et ne remplace pas une consultation sur votre dossier. Contactez le cabinet pour définir le périmètre d’une intervention.
