Comment informer les personnes des décisions IA selon l'Article 86 de l'EU AI Act

L'Art. 86 de l'AI Act donne à toute personne visée par une décision du déployeur, fondée sur la sortie d'un système à haut risque de l'Annexe III (hors infrastructures critiques) et produisant des effets juridiques ou l'affectant de façon significative, le droit d'obtenir des explications claires et pertinentes sur le rôle du système et sur les principaux éléments de la décision. L'obligation pèse sur le déployeur, y compris lorsqu'il utilise un logiciel acheté. Elle concerne les systèmes de l'Annexe III, dont les obligations s'appliquent à partir du 2 décembre 2027.

L'essentiel en 30 secondes

• Art. 86 : droit d'obtenir du déployeur des explications claires et pertinentes sur le rôle du système d'IA et sur les principaux éléments de la décision.
• Décisions visées : prises par le déployeur sur la base de la sortie d'un système à haut risque de l'Annexe III (hors point 2), avec des effets juridiques ou un effet significatif jugé défavorable pour la santé, la sécurité ou les droits fondamentaux.
• Le droit s'exerce sur demande de la personne. L'obligation pèse sur le déployeur, pas sur le fournisseur du logiciel. Le déployeur doit en outre informer les personnes qu'elles sont soumises à un système à haut risque (Art. 26(11)).
• L'Art. 86 ne s'applique que dans la mesure où le droit n'est pas déjà prévu par le droit de l'Union (Art. 86(3)) : le RGPD (Art. 15 et 22) s'applique en parallèle aux décisions exclusivement automatisées.
• Régime des systèmes de l'Annexe III : à partir du 2 décembre 2027 (règlement (UE) 2026/1744). L'information de l'Art. 26(11) relève du palier d'amende de 15 M€ ou 3 % (Art. 99(4)), le montant le plus bas pour une PME.

1. Portée de l'Article 86 : qui est concerné ?

L'Art. 86 du règlement (UE) 2024/1689 cible une situation précise : une décision prise par le déployeur d'un système d'IA à haut risque de l'Annexe III, sur la base de la sortie de ce système. Si cette décision produit des effets juridiques ou affecte la personne de façon significative, d'une manière qu'elle juge défavorable pour sa santé, sa sécurité ou ses droits fondamentaux, la personne peut obtenir des explications claires et pertinentes sur le rôle du système dans la procédure de décision et sur les principaux éléments de la décision. Le considérant 171 précise que l'explication vise les décisions fondées principalement sur la sortie du système et qu'elle doit permettre à la personne d'exercer ses droits.

Toutes les PME ne sont pas concernées. Le périmètre dépend de la classification du système d'IA déployé (Art. 6(2) et Annexe III). Les systèmes d'infrastructures critiques (point 2 de l'Annexe III) sont exclus de l'Art. 86.

1.1 Systèmes d'IA à haut risque relevant de l'Annexe III

L'Annexe III liste huit domaines où les systèmes d'IA sont qualifiés à haut risque, sauf dérogation de l'Art. 6(3) :

Domaine de l'Annexe III	Cas typiques pour une PME
1. Biométrie	Identification ou catégorisation biométrique (rare en PME)
2. Infrastructures critiques	Exclu de l'Art. 86
3. Éducation et formation professionnelle	Notation automatisée, orientation, évaluation des acquis
4. Emploi et gestion des travailleurs	Tri de CV, évaluation des candidats, évaluation de performance
5. Accès aux services essentiels	Scoring de crédit, tarification d'assurance vie et santé, prestations publiques
6. Application de la loi	Évaluation du risque de récidive ou de victimisation
7. Migration, asile et contrôle aux frontières	Examen automatisé de demandes de visa
8. Justice et processus démocratiques	Aide à la décision juridictionnelle ; influence sur le vote

Pour une PME, les usages les plus fréquents relèvent des ressources humaines et des services financiers ou d'assurance. Voir l'article sur le recrutement par IA et le cas pratique du scoring de crédit.

1.2 Systèmes interdits par l'Article 5

Les pratiques interdites (Art. 5) ne relèvent pas du régime d'information : elles doivent simplement cesser. L'Art. 86 ne légitime pas leur usage.

1.3 Systèmes exclus

Les systèmes à risque de transparence (chatbots, générateurs de contenu) et à risque minimal (filtres anti-spam, IA de jeu) ne déclenchent pas l'obligation de l'Art. 86. Ils peuvent toutefois être soumis aux obligations de transparence de l'Art. 50. Les systèmes à haut risque de l'Annexe I (par exemple un dispositif médical) ne sont pas visés non plus : l'Art. 86 renvoie à l'Annexe III.

2. Ce que prévoit le texte

L'Art. 86(1) donne à la personne concernée le droit d'obtenir du déployeur des explications claires et pertinentes sur le rôle du système d'IA dans la procédure de décision et sur les principaux éléments de la décision prise. Quatre points encadrent ce droit.

Ils se lisent ainsi :

1. Un droit qui s'exerce auprès du déployeur. La personne s'adresse à l'entreprise qui a pris la décision, pas au fournisseur du logiciel. Le déployeur s'appuie sur la notice d'utilisation du fournisseur (Art. 13) : voir l'article sur la transparence et les instructions d'utilisation.
2. Une explication claire et pertinente. Elle doit être compréhensible par une personne non spécialiste et lui donner une base pour exercer ses droits (considérant 171). Un simple renvoi à la documentation du fournisseur est peu adapté à cet objectif.
3. Des exceptions. Le droit ne s'applique pas lorsque le droit de l'Union ou le droit national prévoit des exceptions ou des restrictions (Art. 86(2)).
4. Une application subsidiaire. L'Art. 86 ne s'applique que dans la mesure où le droit n'est pas déjà prévu par le droit de l'Union (Art. 86(3)) : le RGPD donne déjà des garanties pour les décisions exclusivement automatisées (Art. 15 et 22).

Le déployeur, et non le fournisseur de l'IA, porte cette obligation. La PME qui achète une solution SaaS de scoring RH reste responsable de l'explication vis-à-vis des candidats. L'Art. 26(11) lui impose en outre d'informer les personnes qu'elles sont soumises à l'utilisation d'un système à haut risque, lorsque ce système aide à décider à leur sujet.

3. Contenu de l'explication

L'Art. 86 reste volontairement général : il parle d'explications claires et pertinentes sur le rôle du système d'IA dans la procédure de décision et sur les principaux éléments de la décision. Une structure en six rubriques permet de rendre cette exigence opérationnelle.

Rubrique	Contenu attendu	Exemple secteur recrutement
Nature de la décision	Objet, portée, conséquences	« Présélection automatique des candidatures pour le poste X »
Rôle de l'IA	Décision automatisée totale ou aide à la décision humaine	« L'IA classe les CV ; la décision finale reste humaine »
Critères et facteurs	Variables principales prises en compte	« Années d'expérience, compétences techniques listées, formation »
Logique générale	Type de modèle et grandes lignes de son fonctionnement	« Modèle de classement entraîné sur des candidatures passées »
Droits	Droits applicables (accès, rectification, opposition au titre du RGPD) et recours	« Vous pouvez demander une révision humaine de cette décision en écrivant à l'adresse ci-dessous »
Contact	Coordonnées pour exercer ses droits	« dpo@entreprise.fr » et voies de réclamation (CNIL pour les données personnelles ; autorité de surveillance du marché pour l'AI Act, Art. 85)

L'explication doit donner à la personne une base pour exercer ses droits (considérant 171). Elle porte sur le rôle du système et sur les principaux éléments de la décision : l'article ne demande pas de décrire l'intégralité du modèle. Un équilibre est à trouver entre explicabilité et protection de la propriété intellectuelle du fournisseur.

Pour les notions techniques, voir le glossaire.

4. Modalités d'information

L'Art. 86 ne prévoit pas de format unique. La modalité doit être adaptée au contexte de la décision et au profil de la personne concernée.

4.1 Formats possibles

• Écrit : courrier, e-mail, notice intégrée à un compte client.
• Oral : entretien d'explication, particulièrement pertinent en cas de refus d'embauche ou de crédit.
• Interface utilisateur : encart explicatif intégré à un parcours numérique, avec lien vers une notice détaillée.

4.2 Langue

Le règlement ne fixe pas de langue : l'explication doit être compréhensible par la personne. En pratique, elle est rédigée dans la langue de la relation avec la personne, c'est-à-dire le français pour des salariés ou des consommateurs en France.

4.3 Délai et accessibilité

Le règlement ne fixe pas de délai chiffré pour répondre à une demande d'explication. À titre de repère, le RGPD prévoit un délai d'un mois, prolongeable de deux mois en cas de complexité, pour répondre à l'exercice des droits (Art. 12(3)). Fixer un délai interne comparable est une bonne pratique.

4.4 Mise à jour

Une modification substantielle du système d'IA (changement d'algorithme, ajout de nouvelles variables, recalibrage) change les éléments à expliquer : il est prudent de mettre à jour les notices d'information en conséquence.

5. Exemples fictifs pour PME

5.1 Cabinet de recrutement

Exemple fictif. Un cabinet de recrutement de 15 salariés utilise un outil de tri automatique des candidatures. Chaque candidat non retenu reçoit un message qui mentionne :

• l'utilisation d'un système d'IA pour le tri initial ;
• les principaux critères pris en compte (adéquation poste-CV, années d'expérience, mobilité géographique) ;
• la possibilité de demander une révision humaine de la décision ;
• le contact du DPO.

5.2 Courtier en crédit

Exemple fictif. Un courtier en crédit à la consommation déploie un modèle de scoring fourni par un tiers. En cas de refus, le client reçoit une notice qui détaille :

• les principaux facteurs pris en compte (revenus, charges, historique de remboursement) ;
• le rôle du modèle dans la décision ;
• la possibilité de fournir des justificatifs complémentaires pour une nouvelle évaluation humaine ;
• les voies de recours, dont le médiateur.

5.3 Organisme de formation

Exemple fictif. Un organisme de formation utilise un outil qui évalue automatiquement les résultats d'apprentissage et oriente les apprenants (Annexe III, point 3). Chaque apprenant reçoit une notice qui indique :

• le rôle de l'outil dans l'évaluation ;
• les critères pris en compte ;
• la possibilité de demander une relecture humaine ;
• le contact pour exercer ses droits.

5.4 Outil RH interne

Exemple fictif. Une PME industrielle utilise un logiciel d'évaluation continue de la performance (Annexe III, point 4 b). Chaque salarié reçoit une notice qui indique :

• les paramètres mesurés ;
• le rôle du logiciel dans les décisions qui le concernent ;
• l'accès à ses données via le portail RH ;
• les droits applicables et les voies de recours.

L'usage de cet outil suppose aussi d'informer le CSE : voir l'article sur la consultation du CSE.

6. Pour aller plus loin

La conformité à l'Art. 86 ne se construit pas isolément : elle s'appuie sur l'inventaire des systèmes d'IA, leur classification et les obligations du déployeur.

Voir le guide AI Act pour les PME françaises, la page systèmes à haut risque, l'article Article 26 : obligations du déployeur, le glossaire et la page sources. Côté institutions : le service desk de la Commission européenne et les fiches pratiques de la CNIL sur l'IA.

7. Conséquences d'un manquement

Le régime de sanction de l'AI Act figure à l'Art. 99 du règlement (UE) 2024/1689. L'Art. 86 n'est pas cité parmi les dispositions des paliers de l'Art. 99(3) à (5) : les États membres fixent les règles de sanction applicables aux infractions au règlement (Art. 99(1)). Les obligations des déployeurs de l'Art. 26, dont l'information des personnes (Art. 26(11)), relèvent du palier de 15 M€ ou 3 %.

Type de manquement	Plafond financier	Article du Règlement
Pratiques interdites (Art. 5)	35 M€ ou 7 % du CA mondial	Art. 99(3)
Obligations des opérateurs, dont l'Art. 26 des déployeurs	15 M€ ou 3 % du CA mondial	Art. 99(4)
Information inexacte aux autorités	7,5 M€ ou 1 % du CA mondial	Art. 99(5)

Pour une PME, le montant le plus bas entre la valeur fixe et le pourcentage du chiffre d'affaires s'applique (Art. 99(6)).

Au-delà de l'amende, trois autres suites sont possibles :

• Réclamation. Toute personne qui estime qu'il y a eu infraction au règlement peut saisir l'autorité de surveillance du marché compétente (Art. 85).
• Mesures correctives. L'autorité de surveillance du marché peut exiger des mesures correctives, le retrait ou le rappel d'un système qui présente un risque (Art. 79).
• RGPD. Les droits issus du RGPD (Art. 15 et 22) relèvent de la CNIL, selon ses propres pouvoirs de sanction.

Pour le détail du régime de sanction, voir la page Sanctions AI Act pour une PME : amendes et calcul.

8. Étape par étape pour la mise en œuvre

Une démarche en sept étapes permet de se préparer à l'Art. 86.

1. Inventaire des systèmes d'IA. Lister tous les outils utilisés en interne et en SaaS qui prennent ou assistent des décisions affectant des personnes.
2. Classification de chaque système. Déterminer la qualification (haut risque, risque limité, minimal, interdit) en s'appuyant sur l'Annexe III et l'Article 6.
3. Cartographie des décisions concernées. Identifier précisément quelles décisions produisent des effets juridiques ou affectent significativement les droits fondamentaux.
4. Rédaction des notices d'information. Adapter un modèle par cas d'usage, en respectant les six rubriques du tableau de la section 3.
5. Mise en place du canal de demande d'explication. Créer une adresse dédiée, un formulaire en ligne, ou une procédure documentée.
6. Sensibilisation des équipes opérationnelles. RH, service client et conformité doivent savoir reconnaître une demande d'explication et y répondre dans le délai interne fixé.
7. Revue annuelle. Réviser les notices, vérifier les délais de réponse et mettre à jour en cas d'évolution du système d'IA.

Cette démarche s'appuie sur le registre des systèmes d'IA : un modèle de registre (Excel) est disponible gratuitement. L'ISO/IEC 42001:2023 est une norme volontaire de système de management de l'IA ; elle n'est pas harmonisée et ne donne aucune présomption de conformité.

9. Articulation avec le RGPD

L'Art. 86 ne remplace pas l'Art. 22 du RGPD, qui encadre les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant la personne de façon significative. L'Art. 86(3) précise qu'il s'applique seulement dans la mesure où le droit à l'explication n'est pas déjà prévu par le droit de l'Union. Les deux dispositifs se combinent donc selon la situation.

Critère	Article 22 RGPD	Article 86 AI Act
Champ d'application	Décision entièrement automatisée	Décision du déployeur fondée sur la sortie d'un système de l'Annexe III (hors point 2)
Effet visé	Juridique ou significatif	Juridique, santé, sécurité, droits fondamentaux
Droit principal	Ne pas faire l'objet d'une décision automatisée	Obtenir des explications
Intervention humaine	Droit d'obtenir une intervention humaine	Non explicitement prévu
Autorité de contrôle	CNIL (Art. 77 du RGPD)	Autorité de surveillance du marché (Art. 85)

Une décision de refus de crédit exclusivement automatisée relève de l'Art. 22 du RGPD (garanties dont l'intervention humaine, Art. 22(3)) et peut relever de l'Art. 86 de l'AI Act si le système est de l'Annexe III. Il est prudent de couvrir les deux régimes dans une même notice d'information. Voir l'article sur le RGPD et l'AI Act.

FAQ

Quelles sont les sanctions pour non-conformité à l'Article 86 ?

L'Art. 86 n'est pas cité aux paliers de l'Art. 99(3) à (5) : les États membres fixent les règles de sanction applicables (Art. 99(1)). L'information des personnes de l'Art. 26(11) relève, elle, du palier de 15 M€ ou 3 % du chiffre d'affaires mondial (Art. 99(4)) ; pour une PME, le montant le plus bas des deux s'applique (Art. 99(6)). Voir la page Sanctions AI Act pour une PME.

Comment savoir si mon système d'IA est concerné par l'Article 86 ?

Quatre conditions : (1) la décision est prise par un déployeur ; (2) elle est fondée sur la sortie d'un système à haut risque de l'Annexe III, hors point 2 ; (3) elle produit des effets juridiques ou affecte la personne de façon significative, avec un impact jugé défavorable sur sa santé, sa sécurité ou ses droits fondamentaux ; (4) le droit n'est pas déjà prévu ailleurs par le droit de l'Union et aucune exception ne s'applique (Art. 86(2) et (3)). Le service desk de la Commission (ai-act-service-desk.ec.europa.eu) permet de poser des questions de qualification.

Puis-je utiliser un modèle IA tiers sans informer les personnes ?

Non. La responsabilité de l'explication pèse sur le déployeur, c'est-à-dire la PME qui utilise le système, et non sur le fournisseur du modèle. Même si vous achetez une solution SaaS, vous restez tenu d'expliquer vos décisions à vos candidats, clients ou salariés. Il est prudent de prévoir au contrat la communication des informations nécessaires (voir la notice d'utilisation de l'Art. 13). Le glossaire définit « déployeur » et « fournisseur ».

Quels sont les droits des personnes concernées selon l'Article 86 ?

L'Art. 86 donne un droit : obtenir du déployeur des explications claires et pertinentes sur le rôle du système et sur les principaux éléments de la décision. D'autres droits s'y ajoutent selon les textes : l'Art. 26(11) impose d'informer les personnes qu'elles sont soumises à un système à haut risque, l'Art. 85 permet de saisir l'autorité de surveillance du marché, et le RGPD donne notamment le droit à une intervention humaine pour les décisions exclusivement automatisées (Art. 22(3)) et le droit de saisir la CNIL (Art. 77).

Comment tester ma conformité à l'Article 86 ?

Quatre tests pratiques : (1) une personne non spécialiste comprend-elle la notice ? (2) l'équipe sait-elle répondre à une demande d'explication dans un délai interne fixé ? (3) les six rubriques de la section 3 sont-elles couvertes ? (4) l'explication précise-t-elle le rôle du système et les principaux éléments de la décision ? Le guide AI Act pour les PME françaises situe ces obligations dans le cadre général.

Sources officielles

• Règlement (UE) 2024/1689 — version consolidée au 27 juillet 2026 — EUR-Lex
• Règlement (UE) 2026/1744 (« Omnibus IA ») — EUR-Lex
• Fiches pratiques IA — CNIL
• AI Act Service Desk — Commission européenne
• ISO/IEC 42001:2023 — Système de management de l'intelligence artificielle
• Pages du site : guide AI Act pour les PME françaises, sanctions AI Act pour une PME, glossaire, sources

---

Avertissement — Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.