AI Act2 novembre 2026DILAIG

OCR, LLM et AI Act, dois-je informer mon client ?

Vous traitez les documents de vos clients avec un OCR couplé à un LLM ? L'AI Act l'impose rarement, le RGPD et vos contrats beaucoup plus souvent.

Article rédigé à l'aide de l'intelligence artificielle — en savoir plus sur l'article 50

Dernière mise à jour : novembre 2026 · Temps de lecture : 6 minutes

En bref. Dans le cas le plus courant, l'extraction de données en arrière-plan, l'AI Act ne vous oblige pas à informer votre client que ses documents passent par un OCR et un LLM. Le RGPD, le secret professionnel et vos contrats l'exigent en revanche souvent. Et si l'outil alimente une décision sur une personne, comme un crédit ou un recrutement, l'analyse change complètement.

Factures, pièces d'identité, bulletins de paie, contrats. De plus en plus de cabinets, d'assureurs et de collectivités font lire ces documents par un OCR, puis structurer le texte par un grand modèle de langage. La question revient à chaque audit. Faut-il le dire au client ?

Étape 1. Votre chaîne OCR et LLM est-elle un système d'IA ?

Un OCR par gabarits fixes peut rester hors de la définition. Dès qu'un modèle appris reconnaît les caractères ou qu'un LLM classe, résume ou extrait les champs, vous êtes face à un système d'IA.

Votre rôle dépend de l'origine de l'outil. Si vous l'achetez, vous êtes déployeur. Si vous l'avez assemblé vous-même et l'utilisez pour votre activité, vous le mettez en service et devenez fournisseur, même sans le vendre.

Étape 2. Ce que l'article 50 exige, et pourquoi il vise rarement l'OCR

L'article 50 regroupe les obligations de transparence de l'AI Act, applicables depuis le 2 août 2026. Il en contient quatre, et aucune ne vise directement l'extraction documentaire en arrière-plan.

Paragraphe	Ce qu'il impose	Applicable à une extraction OCR et LLM ?
50(1)	Informer une personne qu'elle interagit avec une IA	Non, sauf si le client dépose ses documents via un assistant conversationnel
50(2)	Marquer les contenus générés dans un format lisible par machine	Obligation du fournisseur, exclue quand le système ne modifie pas substantiellement les données d'entrée
50(3)	Informer des personnes exposées à la reconnaissance des émotions ou à la catégorisation biométrique	Non
50(4)	Signaler les deepfakes et les textes générés publiés pour informer le public	Non, un traitement interne n'est pas une publication

Le paragraphe 2 mérite un mot. Une transcription fidèle ne modifie pas la substance du document. Les lignes directrices finales de la Commission, publiées le 20 juillet 2026, excluent en outre les sorties courtes, les sorties de machine à machine et les étapes intermédiaires d'un flux fermé. Et quand il s'applique, ce paragraphe impose un marquage technique, pas une information du client.

Étape 3. Quand la réponse change, l'usage décisionnel

Tout bascule si les données extraites servent à décider pour une personne dans un domaine de l'annexe III. C'est le cas de l'évaluation de la solvabilité, de la tarification en assurance vie et santé, de l'éligibilité aux prestations publiques ou du tri de candidatures.

Le système est alors probablement à haut risque. L'exception de l'article 6, paragraphe 3, peut viser une extraction purement procédurale qui n'influence pas substantiellement la décision, mais jamais un système qui effectue un profilage.
À partir du 2 décembre 2027, le déployeur qui prend ou aide à prendre des décisions concernant des personnes devra les informer qu'elles font l'objet d'un système à haut risque (article 26, paragraphe 11).
Une personne visée par une décision du déployeur fondée sur un tel système, produisant des effets juridiques ou l'affectant de manière similaire et significative, pourra obtenir du déployeur des explications claires sur le rôle de l'IA dans la procédure et sur les principaux éléments de la décision (article 86).
Une FRIA sera exigée des organismes publics et des entreprises privées assurant un service public, ainsi que des déployeurs de systèmes d'évaluation de la solvabilité des personnes ou de tarification en assurance vie et santé.

Étape 4. Ce que le RGPD impose déjà

Vos documents contiennent presque toujours des données personnelles. Le RGPD s'applique alors pleinement, indépendamment de l'AI Act.

Information des personnes (articles 13 et 14). Votre politique de confidentialité doit mentionner les destinataires ou leurs catégories, dont le prestataire OCR ou LLM, et les éventuels transferts hors UE.
Contrat de sous-traitance (article 28). Il doit exclure la réutilisation des données pour entraîner des modèles et préciser leur localisation.
Si vous êtes vous-même sous-traitant de votre client, par exemple pour la paie ou la comptabilité, vous devez disposer de son autorisation écrite préalable, spécifique ou générale, et l'informer de tout nouveau sous-traitant pour qu'il puisse s'y opposer. Ici, informer le client n'est pas une option.
Analyse d'impact (article 35) si le traitement est susceptible d'engendrer un risque élevé, par exemple s'il porte à grande échelle sur des données sensibles.
Décision automatisée (article 22) si l'outil décide seul avec un effet juridique sur la personne.

Étape 5. Secret professionnel et contrats

Avocats, experts-comptables, professions de santé. Le secret professionnel impose de maîtriser chaque prestataire qui accède aux pièces. En France, confier l'hébergement de données de santé à un tiers impose en outre un prestataire certifié HDS. Relisez enfin vos lettres de mission et contrats clients, qui interdisent parfois toute sous-traitance sans accord.

La réponse selon votre situation

Situation	AI Act	RGPD et contrat
Extraction de factures entre entreprises, sans données personnelles sensibles	Pas d'information requise	Mention dans la politique de confidentialité si des données personnelles sont traitées
Vous traitez les données pour le compte de votre client	Pas d'information requise	Autorisation écrite préalable du client
Le client dépose ses pièces via un assistant conversationnel	Information obligatoire (50(1))	Information RGPD
L'extraction alimente une décision de crédit, d'assurance, d'embauche ou d'aide	Haut risque probable, information des personnes au 2 décembre 2027	Article 22, analyse d'impact
Documents médicaux	Selon l'usage	Hébergeur HDS, analyse d'impact

Notre recommandation, informer quand même

Même quand rien ne l'impose, une phrase dans votre lettre de mission ou vos conditions générales coûte peu et rassure. Les acheteurs publics et les grands comptes la demandent de plus en plus. Voici un exemple à adapter avec votre conseil.

Certains documents que vous nous transmettez sont traités par un outil de reconnaissance de caractères et d'analyse automatisée reposant sur l'intelligence artificielle. Ce traitement est réalisé sous notre contrôle, par un prestataire lié par un contrat de sous-traitance qui exclut toute réutilisation de vos données pour entraîner des modèles. Chaque résultat est vérifié par un membre de notre équipe avant utilisation.

FAQ

L'AI Act m'oblige-t-il à signaler l'usage d'un OCR à mes clients ?

Non dans le cas d'une extraction en arrière-plan. L'obligation naît si le client interagit directement avec l'IA, ou si l'outil sert à une décision à haut risque à partir du 2 décembre 2027.

Un résumé généré par un LLM et envoyé au client doit-il porter une mention ?

Pas au titre de l'AI Act pour le déployeur, tant qu'il ne s'agit pas d'un texte publié pour informer le public. Le marquage technique incombe au fournisseur du système d'IA générative.

Le RGPD m'oblige-t-il à nommer mon prestataire LLM ?

Il impose d'indiquer les destinataires ou leurs catégories, et les transferts hors UE. Si vous êtes sous-traitant de votre client, vous devez obtenir son autorisation avant de recourir au prestataire.

Dois-je former mes collaborateurs qui utilisent l'outil ?

Oui. L'article 4 impose de prendre des mesures pour soutenir leur maîtrise de l'IA, notamment la vérification des résultats extraits.

Et maintenant ?

L'audit gratuit DILAIG qualifie votre outil OCR et LLM et vérifie l'article 50 et le haut risque. Avec les offres payantes, dont l'offre Essential au premier mois offert, DILAIG génère une notice de transparence prête à intégrer à vos documents clients.

Lancer l'audit gratuit · Voir les offres · Les documents générés

Vos clients savent-ils aujourd'hui que leurs documents passent par une IA ?