AI Act : les obligations réelles de l’expert-comptable

Oui, mais pas au titre que la plupart des cabinets imaginent. Un cabinet qui utilise un assistant conversationnel, un copilote bureautique ou une fonction d’IA intégrée à son outil de production est un déployeur au sens du règlement (UE) 2024/1689, pas un fournisseur. Le règlement définit le déployeur comme la personne « utilisant un système d’IA sous son autorité », dès lors que l’usage n’est pas une activité personnelle non professionnelle.

La distinction est décisive parce qu’elle détermine le régime applicable. Le fournisseur est celui qui développe le système et le met sur le marché sous son propre nom : c’est l’éditeur du logiciel, pas votre cabinet. Un cabinet ne bascule dans le statut de fournisseur que s’il met lui-même un système d’IA sur le marché ou en service sous sa marque, ou s’il appose son nom sur un système existant. Tant que ce n’est pas le cas, les obligations lourdes du chapitre III, celles qui visent les systèmes classés à haut risque au titre de l’annexe III, ne sont pas les vôtres.

Deux articles, pas davantage, dans la très grande majorité des cabinets comptables. L’article 4 s’applique depuis le 2 février 2025 : les fournisseurs et les déployeurs doivent agir pour que leur personnel dispose d’un niveau de maîtrise de l’IA adapté à ses connaissances, à son expérience et au contexte d’utilisation. La Commission européenne indique qu’il n’existe pas de solution universelle en la matière, et que les organisations peuvent tenir un registre interne de leurs formations et actions d’accompagnement.

L’article 50 organise la transparence, mais il ne pèse pas de la même façon sur tous : ses paragraphes désignent tantôt le fournisseur, tantôt le déployeur. L’obligation d’informer une personne qu’elle interagit avec un système d’IA pèse sur celui qui conçoit et met le système sur le marché, donc sur l’éditeur. L’obligation d’indiquer qu’un texte a été généré artificiellement ne vise le déployeur que pour les textes publiés afin d’informer le public sur des questions d’intérêt public, et elle réserve le cas des contenus ayant fait l’objet d’un contrôle éditorial humain assumé. Un livrable client n’entre pas dans ce périmètre. Une tribune publiée par le cabinet, éventuellement. Vérifiez la rédaction en vigueur de cet article avant d’en tirer une règle interne.

• Aucun seuil d’effectif : l’article 4 vise le cabinet de trois personnes comme le groupe de trois cents.
• Aucun programme imposé : ni durée minimale, ni contenu type, ni organisme obligatoire.
• Aucune certification « AI Act » : ce label n’existe pas, aucun prestataire ne peut le délivrer.
• Aucune obligation d’annexe III tant que le cabinet reste déployeur et non fournisseur.
• À partir du 2 août 2026, les autorités nationales disposent de leurs pouvoirs de contrôle et de sanction.

Pour la méthode de traçabilité proprement dite, le guide « Cabinet comptable : les 8 traces utiles pour l’article 4 » détaille les éléments à réunir et la façon de les tenir à jour. La présente page traite d’une autre question, celle que ces documents ne règlent pas.

Non. C’est le point le plus souvent négligé dans les discussions sur l’AI Act, et c’est pourtant celui qui expose le cabinet. Le règlement européen organise la conformité d’une chaîne technologique ; il ne touche pas au régime de responsabilité professionnelle de l’expert-comptable. Ces deux corps de règles se superposent sans que l’un n’allège l’autre.

L’article 12 de l’ordonnance du 19 septembre 1945 est sans ambiguïté : les experts-comptables « assument dans tous les cas la responsabilité de leurs travaux et activités ». Le même article rappelle que la responsabilité propre de la société d’expertise comptable laisse subsister la responsabilité personnelle de chaque professionnel à raison des travaux qu’il exécute lui-même, et que ces travaux doivent être assortis de sa signature personnelle. Une sortie d’assistant conversationnelle intégrée à un livrable devient un travail du cabinet à l’instant où elle est reprise, et elle est couverte par cette signature.

Le code de déontologie referme la porte. Son article 145 impose d’exercer avec compétence, conscience professionnelle et indépendance d’esprit, et de donner à chaque question « tout le soin et le temps qu’elle nécessite, de manière à acquérir une certitude suffisante avant de faire toute proposition ». Une réponse produite en trois secondes par un modèle statistique ne constitue pas cette certitude suffisante ; elle constitue une hypothèse à vérifier. L’article 147 ajoute un devoir de discrétion sur toutes les informations connues dans le cadre de l’activité, ce qui commande de savoir où partent les pièces déposées dans un outil.

La conséquence pratique est simple à formuler et exigeante à tenir : la seule façon de faire baisser le risque est de définir, par type de livrable, qui vérifie quoi avant diffusion. Un contrôle humain qui n’est pas nommé, daté et opposable n’est pas un contrôle.

Moins de choses qu’annoncé pour un cabinet d’expertise comptable, et rien qui justifie d’attendre. Le texte modificatif arrêté en juin 2026 remplace l’article 4 : les fournisseurs et les déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l’IA » de leur personnel, et cette obligation « ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu ». La formulation passe d’une logique de résultat à une logique de moyens ; l’obligation d’agir demeure.

Le calendrier bouge, mais pas là où on le croit. Le texte modificatif reporte l’entrée en application des sections 1, 2 et 3 du chapitre III au 2 décembre 2027 pour les systèmes à haut risque de l’annexe III, et au 2 août 2028 pour ceux de l’annexe I. Il laisse inchangée la date générale d’application du 2 août 2026 et maintient les chapitres I et II, dont relève l’article 4, à compter du 2 février 2025. Autrement dit : le report concerne un régime auquel votre cabinet n’est pas soumis, et il ne touche ni l’article 4 ni l’article 50.

Par l’inventaire, pas par le document. Un cabinet ne sait généralement pas quels outils tournent réellement dans ses pôles, sur quelles pièces et pour quels livrables. Tant que cette cartographie n’existe pas, une charte reste une déclaration d’intention et une action de formation reste calibrée au hasard. Le Conseil national de l’ordre des experts-comptables met à disposition un guide « Parlons data et IA » assorti d’un modèle de charte : c’est un appui professionnel utile, ce n’est pas une obligation légale et cela ne vaut pas présomption de conformité.

• Recenser les outils d’IA effectivement utilisés, par pôle, par tâche et par type de données.
• Distinguer les populations : associés signataires, chefs de mission, collaborateurs de production, fonctions support.
• Écrire, par type de livrable, le niveau de vérification humaine exigé avant diffusion au client.
• Nommer un responsable du dispositif et une date de revue, faute de quoi rien ne sera mis à jour.
• Conserver la trace des actions de formation et d’accompagnement, sans les présenter comme une certification.

La formation « Sécuriser et gouverner l’IA au cabinet » traite ces arbitrages avec les équipes concernées, et Lucelia construit le périmètre à partir des usages constatés plutôt que d’un programme générique. Le cadre général de l’AI Act, son calendrier et les obligations transverses sont détaillés sur la page consacrée à l’échéance de 2026.