À partir d'août 2026, une entreprise européenne utilisant l'intelligence artificielle devra non seulement expliquer les avantages qu'elle en tire, mais aussi démontrer comment elle la maîtrise. Le règlement (UE) 2024/1689 – dit « loi sur l'IA » – est entré dans sa phase de mise en œuvre effective, intégrant ainsi au discours managérial trois notions auparavant réservées au domaine juridique : traçabilité, transparence et responsabilité.
Il est important de clarifier un point dès le départ, car cette date prête souvent à confusion : le calendrier a changé en milieu d’année. Quiconque incite à l’urgence sans expliquer ce changement l’ignore ou préfère que vous l’ignoriez.
La loi sur l'IA est entrée en vigueur le 1er août 2024, selon un calendrier de mise en œuvre progressive. Les interdictions relatives aux pratiques à risque inacceptables et les obligations en matière de formation à l'IA sont applicables depuis le 2 février 2025. Les obligations relatives aux modèles d'IA à usage général (GPAI) et à la structure de gouvernance sont applicables depuis le 2 août 2025.
Le 2 août 2026 marque deux événements précis :
Voici maintenant la partie qui change la donne. En 2026, l'Union a approuvé le programme connu sous le nom de Omnibus numérique, qui a reporté les obligations des systèmes à haut risque : les utilisations de l’annexe III — sélection du personnel, notation de crédit, biométrie, éducation, services essentiels — sont reportées à décembre 2027 et les systèmes de l’annexe I, IA intégrée dans des produits déjà réglementés, à août 2028.
Autrement dit : si votre système présente un risque élevé, vous disposez de plus de temps qu’on ne le prétend. Si votre système interagit avec des personnes ou génère du contenu, votre marge de manœuvre est plus réduite que vous ne le pensez.
Date | Ce qui s'applique | Qui est concerné ? |
2 février 2025 | Interdictions et culture de l'IA | Toutes les organisations |
2 août 2025 | Obligations et gouvernance de la GPAI | Fournisseurs de modèles à usage général |
2 août 2026 | Sanctions et transparence de la GPAI (art. 50) | Qui déploie une IA qui interagit avec les personnes ou génère du contenu |
2 décembre 2027 | Annexe III Systèmes à haut risque | RH, crédit, biométrie, éducation, services essentiels |
2 août 2028 | Systèmes à haut risque de l'Annexe I | L'IA intégrée dans des produits déjà réglementés |
Les sanctions maximales s'élèvent à 35 millions d'euros ou à 71 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. C'est ce chiffre qui a amené ce débat au conseil d'administration.
Voici le vrai problème, et il n'est pas d'ordre juridique. C'est un problème de gestion des stocks.
Pour se conformer à toute obligation réglementaire, il est essentiel de comprendre quels systèmes d'IA existent au sein de l'organisation, à quoi ils servent, quelles données ils utilisent et qui est responsable de chacun. La plupart des entreprises sont incapables de répondre à cette question, car une part importante de leur utilisation de l'IA n'est jamais passée par le service informatique.
Le rapport 2025 d'IBM sur le coût des violations de données a quantifié ce phénomène : 201 % des violations analysées impliquaient une utilisation non autorisée de l'IA au sein de l'organisation, et ces incidents ont ajouté en moyenne 670 000 $ au coût moyen d'une violation, qui s'élevait cette année-là à 4,44 millions de dollars. Plus révélateur encore : 97 % des organisations ayant subi un incident lié à l'IA ne disposaient pas de contrôles d'accès adéquats, et 63 % n'avaient aucune politique de gouvernance de l'IA.
Cela se rattache à un phénomène que nous avons analysé en détail : L'IA fantôme, le risque qui passe par la carte de crédit de l'entreprise [lien interne]. Des outils sous contrat avec un département, contenant des données clients, sans que le RSSI ni le DPO n'y aient accès. Ils ne figurent dans aucun inventaire car aucune procédure d'intégration n'a jamais été mise en place.
Sans inventaire, tout plan de conformité est un document déconnecté de la réalité opérationnelle.
L'erreur tactique serait de considérer ce report comme un prétexte à l'inaction. Les éléments requis par la réglementation ne relèvent pas de la bureaucratie : ce sont précisément les pratiques qui permettent à un système d'IA de fonctionner en toute sécurité. Ceux qui les mettent en œuvre par obligation découvrent qu'ils en avaient tout autant besoin.
Inventaire des systèmes d'IA. Quels modèles et outils sont utilisés, dans quel processus, avec quelles données, qui est responsable de l'activité et à quelle catégorie de risque appartient chacun d'eux ?.
Classification des risques par cas d'utilisation, et non par outil. Le même modèle peut être utilisé pour les comptes rendus de synthèse à faible risque et les CV de sélection à haut risque. La classification repose sur l'usage.
Traçabilité des décisions. Un enregistrement des données entrantes et sortantes, de la version du modèle utilisée et de la personne ayant validé le tout. Lorsqu'un système exécute des actions au lieu de simplement les suggérer, le journal d'audit cesse d'être une bonne pratique et devient le seul mécanisme de défense disponible.
Supervision humaine définie. Il ne s'agit pas de savoir « une personne est chargée de la révision », mais plutôt : quelles décisions nécessitent une validation, selon quels critères, dans quel délai, et que se passe-t-il si cette personne est indisponible ?.
Transparence envers l'utilisateur. Toute personne interagissant avec un système doit en être consciente. Si le contenu a été généré artificiellement, il doit être signalé.
Documentation technique et de données. D’où proviennent les données d’entraînement ou de contexte, quelles sont les limitations connues du système et quelles évaluations ont été réalisées ?.
Pour structurer tout cela, il n'est pas nécessaire d'inventer votre propre cadre. Cadre de gestion des risques liés à l'IA du NIST Il propose le modèle de gestion des risques opérationnels, avec un profil spécifique pour l'IA générative qui identifie douze catégories de risques. La norme ISO/IEC 42001:2023 Il offre ce que le NIST ne propose pas : un système de gestion certifiable, ce qu’un client ou un auditeur vous demandera de démontrer.
C’est là que le débat réglementaire cesse d’être juridique et devient technique, domaine dans lequel nous intervenons.
Un système non conçu pour enregistrer les actions ne peut ajouter de traçabilité ultérieurement sans modifier son architecture. Un système sans modèle d'autorisations précis ne peut démontrer qui a accédé à quelles ressources. Un système dépendant d'un fournisseur unique de modèles ne peut documenter les changements de version, car il n'a aucun contrôle sur leur occurrence.
Ces trois éléments — la traçabilité, les autorisations et la possibilité de remplacer le modèle — sont définis dès la phase de conception. Les ajouter ultérieurement est coûteux, contrairement à leur intégration dès le départ.
C’est la différence entre la sécurité intégrée dès la conception et les garde-fous ajoutés a posteriori, et c’est pourquoi, chez The Cloud Group, la gouvernance et la conformité ne sont pas vendues en option : elles sont incluses dans chaque projet, avec des environnements isolés, le chiffrement des données en transit, un contrôle d’accès précis et des journaux d’audit intégrés. Nous l’avons développé en Nos travaux sur les risques, les hallucinations et la gouvernance de l'IA
Si une décision doit être prise lors de la prochaine réunion sur la marche à suivre à ce sujet, voici l'ordre qui donne des résultats :
Ce qu'il faut éviter, c'est l'inverse : rédiger une politique de gouvernance de l'IA de quarante pages avant même de connaître les systèmes en place dans l'entreprise. C'est un travail considérable, cela rassure le conseil d'administration pendant un trimestre, et cela ne change rien au niveau opérationnel.
Pendant trois ans, la question que se posaient les entreprises au sujet de l'IA était : « Que pouvons-nous faire avec cela ? ». Désormais, elle s'accompagne d'une autre : « Pouvons-nous démontrer comment nous le faisons ? ».
La deuxième question n'arrête personne. Elle arrête ceux qui ont construit sans plans d'architecte, sans permis ni enregistrement, et qui découvrent maintenant que la traçabilité ne s'improvise pas. Pour ceux qui ont bien conçu leur projet, la conformité consiste simplement à documenter ce qui existe déjà.
À compter du 2 août 2026, les pouvoirs de sanction à l’égard des fournisseurs de modèles à usage général et les obligations de transparence de l’article 50 sont effectifs : signaler lorsqu’une personne interagit avec un système d’IA, marquer le contenu généré artificiellement et déclarer l’utilisation de la reconnaissance des émotions ou de la catégorisation biométrique.
Oui. Le paquet Digital Omnibus a reporté les obligations relatives aux systèmes à haut risque : les utilisations de l’annexe III (sélection du personnel, notation de crédit, biométrie, éducation, services essentiels) à décembre 2027 et les utilisations de l’annexe I (IA intégrée à des produits déjà réglementés) à août 2028. Les obligations en matière de transparence et de GPAI n’ont pas été reportées.
Les sanctions maximales atteignent 35 millions d'euros ou 71 000 milliards de dollars du chiffre d'affaires mondial annuel de l'année précédente, le montant le plus élevé étant retenu, pour les infractions les plus graves liées aux pratiques interdites.
L'inventaire recense les systèmes d'IA existants au sein de l'organisation, les processus concernés, les données utilisées et les responsables de chaque système. Les risques sont ensuite catégorisés par cas d'usage, et non par outil, et les systèmes traitant des données personnelles, des décisions concernant des personnes ou des opérations financières sont audités en priorité.
Le cadre de gestion des risques liés à l'IA du NIST est un cadre volontaire axé spécifiquement sur l'IA générative ; il n'est pas certifiable. La norme ISO/IEC 42001:2023 définit un système de gestion de l'IA certifiable, et c'est donc celle dont un client ou un auditeur exigera la preuve.
Pas si cela est prévu dès le départ. La traçabilité, le contrôle des autorisations et la possibilité de remplacer le modèle relèvent de choix architecturaux : les intégrer à la conception engendre un coût marginal, tandis que les ajouter après la mise en production du système nécessite de refaire les intégrations.
Savez-vous quels systèmes d'IA sont réellement en place dans votre organisation ? Notre audit IA analyse le modèle, les données, la traçabilité et les coûts : ce qu’il faut conserver, ce qu’il faut réécrire et ce qu’il faut arrêter. Prix fixe et rapport écrit inclus. Demander un diagnostic → |
Español Español 
English
Français
العربية
Português
Deutsch
Italiano
