La date est passée
Le 2 août 2026, l’essentiel du règlement européen sur l’intelligence artificielle est devenu applicable, et les autorités nationales de surveillance sont désormais compétentes pour le faire respecter. Ce n’est plus un point de roadmap pour le prochain comité. C’est le droit en vigueur.
Le chiffre qui devrait inquiéter les directions générales : 21 % seulement des organisations déclarent une gouvernance de l’IA agentique mature. Autrement dit, quatre entreprises sur cinq utilisent de l’IA sans savoir précisément où, par qui, avec quelles données, ni avec quelle traçabilité.
Ce n’est pas un problème juridique. C’est un problème d’architecture.
Pourquoi la plupart des entreprises sont en retard
Le retard ne vient presque jamais d’un refus de se conformer. Il vient de trois angles morts très concrets.
Personne ne sait combien d’IA tourne réellement. Un assistant dans le CRM activé par l’éditeur. Un module de scoring dans l’outil RH. Trois abonnements pris par des équipes marketing. Un POC de RAG passé discrètement en production l’an dernier parce que « ça marchait bien ». La cartographie n’existe pas, donc la classification des risques non plus.
La conformité a été traitée comme un document, pas comme une propriété du système. On produit une politique interne de 40 pages pendant que le système, lui, ne journalise rien, ne versionne pas ses prompts, et ne sait pas dire quelles données ont produit quelle réponse.
RGPD et AI Act sont pilotés séparément. Ce sont deux régimes distincts mais qui portent sur les mêmes flux. Traiter l’un sans l’autre garantit de refaire le travail deux fois.
Les 5 étapes à lancer cette semaine
1. Faire l’inventaire réel, pas déclaratif
Ne demandez pas aux équipes « utilisez-vous de l’IA ? ». La réponse sera fausse, sans mauvaise foi. Cherchez plutôt les traces : dépenses par carte sur les fournisseurs de modèles, appels sortants vers les API d’inférence dans les logs réseau, extensions navigateur déployées, fonctionnalités IA activées dans vos SaaS existants.
Vous trouverez systématiquement plus que ce que le comité de direction imaginait. C’est normal, et c’est le point de départ.
2. Classer par niveau de risque, pas par technologie
L’AI Act ne raisonne pas en « LLM » ou « machine learning ». Il raisonne en usage et en impact sur les personnes. Un même modèle est anodin pour reformuler une fiche produit et sensible pour présélectionner des candidatures.
Pour chaque usage identifié, posez trois questions : est-ce que ce système décide ou influence une décision concernant une personne ? Est-ce que la personne concernée sait qu’une IA est impliquée ? Est-ce qu’un humain peut contester et corriger ?
3. Rendre le système traçable
C’est le vrai chantier technique, et celui qui prend le plus de temps. Un système IA conforme doit pouvoir répondre, plusieurs mois après les faits, à la question : « pourquoi cette réponse-là, à ce moment-là ? »
Concrètement, cela veut dire versionner les prompts comme du code, journaliser les entrées, les sorties, le modèle et sa version, les documents récupérés en RAG et les outils appelés, conserver ces traces avec une durée de rétention définie, et être capable de rejouer un cas.
Si votre système ne fait pas cela aujourd’hui, aucune politique interne ne compensera.
4. Documenter avant d’être obligé de le faire
La documentation technique attendue n’est pas un rapport d’étonnement. Elle décrit la finalité du système, les données d’entraînement ou d’ancrage, les limites connues, les métriques d’évaluation et leurs résultats, les mesures de supervision humaine, et le comportement en cas d’échec.
Le bon réflexe : cette documentation doit être générée depuis le dépôt de code et les résultats d’évaluation, pas rédigée à la main dans un traitement de texte. Sinon elle sera périmée au premier déploiement.
5. Vérifier où tournent vos modèles
Question simple, réponse souvent embarrassante : votre inférence s’exécute-t-elle en Union européenne ? Sous quel droit ? Avec quelles clés de chiffrement ? Et si votre fournisseur ferme demain, combien de temps pour basculer ?
La souveraineté n’est pas un slogan politique, c’est une clause de continuité d’activité. Inférence localisée en UE, chiffrement avec vos propres clés, journalisation exploitable en audit, et réversibilité contractuelle écrite noir sur blanc.
Ce que ça change pour vos projets en cours
Si vous avez un projet d’IA en cours de cadrage, la conformité n’est pas une couche à ajouter à la fin. Elle change l’architecture : le choix de l’hébergement, la manière de stocker les traces, la façon dont vous exposez la supervision humaine dans l’interface.
Ajoutée après coup, elle coûte deux à trois fois plus cher et produit un résultat bancal. Intégrée dès le cadrage, elle ne coûte presque rien de plus — et elle devient un argument commercial dès que vous vendez à un grand compte, qui vous posera de toute façon les mêmes questions dans son questionnaire fournisseur.
Le vrai risque n’est pas l’amende
Les sanctions financières font les titres, mais elles concernent une minorité de cas et arrivent tard. Le risque immédiat est ailleurs : c’est le blocage commercial.
Vos clients grands comptes vous demandent déjà, dans leurs appels d’offres, comment vous documentez vos systèmes IA. Vos partenaires bancaires et assurantiels intègrent la question dans leur due diligence. Un « on est en train de regarder » vous coûtera un contrat bien avant qu’il ne vous coûte une amende.
Par où commencer concrètement
L’inventaire réel peut être bouclé en quelques jours. La classification des risques suit immédiatement. Le chantier de traçabilité, lui, se planifie sur quelques semaines à quelques mois selon le nombre de systèmes.
L’ordre compte : on ne peut pas rendre traçable ce qu’on n’a pas cartographié, et on ne peut pas documenter ce qu’on n’a pas classé.
Vous ne savez pas combien de systèmes IA tournent réellement chez vous ? C’est exactement le point de départ d’un audit de conformité IA. On cartographie les usages réels, on classe par niveau de risque et on vous rend un plan de mise en conformité priorisé, avec les chantiers techniques chiffrés.