Ce que les entreprises doivent préparer avant août 2026

Le règlement européen sur l’IA passe du débat politique à la réalité opérationnelle. Pour les entreprises qui développent, achètent, déploient ou intègrent des systèmes d’IA liés à l’Union européenne, la question n’est plus de savoir si la gouvernance de l’IA sera importante. Il s’agit de savoir si l’organisation peut prouver que ses systèmes d’IA sont classés, documentés, surveillés et gérés d’une manière correspondant au risque qu’ils créent.

Le règlement sur l’IA est entré en vigueur le 1er août 2024. Ses règles s’appliquent progressivement. Les pratiques d’IA interdites et les obligations en matière de maîtrise de l’IA ont commencé à s’appliquer le 2 février 2025. Les obligations relatives aux modèles d’IA à usage général ont commencé à s’appliquer le 2 août 2025. Le règlement est généralement applicable à partir du 2 août 2026, bien que certains systèmes à haut risque, notamment ceux intégrés à des produits réglementés, bénéficient de périodes de transition plus longues selon le calendrier de mise en œuvre et les récentes mesures de simplification.

Ce calendrier est important, car de nombreuses organisations ne disposent toujours pas d’un inventaire fiable des domaines dans lesquels l’IA est utilisée. Certains systèmes sont évidents : chatbots destinés aux clients, outils de décision automatisés, plateformes de recrutement assistées par l’IA, systèmes de détection des fraudes ou flux de travail médicaux, financiers ou liés à l’emploi intégrant l’IA. D’autres sont moins visibles : fonctionnalités d’IA intégrées aux plateformes SaaS, assistants pour développeurs, outils de révision de documents, flux de travail analytiques, modèles de notation des clients et automatisation interne.

Une organisation ne peut pas gérer sa préparation au règlement sur l’IA si elle ne sait pas quels systèmes d’IA elle utilise, ce que ces systèmes font, quelles données ils traitent et s’ils affectent les personnes d’une manière que la réglementation considère comme présentant un risque plus élevé.

L’approche fondée sur les risques

Le règlement européen sur l’IA utilise un cadre fondé sur les risques. C’est utile, car il reconnaît que tous les systèmes d’IA ne méritent pas le même niveau d’examen. Un filtre anti-spam n’est pas comparable à un système d’IA utilisé dans le recrutement, l’éducation, l’application de la loi, les infrastructures critiques, les soins de santé ou l’accès aux services essentiels.

À grands traits, le cadre distingue plusieurs catégories de systèmes d’IA :

Risque inacceptable : Certaines pratiques sont interdites, notamment certaines formes de notation sociale, la manipulation nuisible, l’exploitation de groupes vulnérables et d’autres utilisations que le règlement considère comme incompatibles avec les droits fondamentaux et la sécurité publique.
Haut risque : Les systèmes utilisés dans des contextes sensibles peuvent être soumis à de nombreuses obligations en matière de gestion des risques, de gouvernance des données, de documentation technique, de journalisation, de transparence, de supervision humaine, d’exactitude, de robustesse et de cybersécurité.
Risque limité : Les systèmes tels que les chatbots et certains outils de contenu synthétique peuvent entraîner des obligations de transparence, notamment informer les utilisateurs lorsqu’ils interagissent avec une IA ou lorsque le contenu est généré ou manipulé artificiellement.
Risque minimal : De nombreux systèmes d’IA courants ne sont soumis à aucune obligation particulière au titre du règlement sur l’IA, au-delà des autres lois applicables et des attentes habituelles en matière d’utilisation responsable.

La conclusion pratique est que la classification vient en premier. Avant de décider quels contrôles mettre en place, une entreprise doit comprendre dans quelle catégorie chaque système d’IA se situe et quel rôle elle joue. Est-elle le fournisseur ? Le déployeur ? Un importateur, un distributeur, un fabricant de produits ou un intégrateur en aval ? Ces distinctions influencent les obligations.

C’est pour l’IA à haut risque que le travail opérationnel devient sérieux

Les systèmes d’IA à haut risque sont le domaine sur lequel de nombreuses entreprises doivent concentrer leurs efforts. Ces systèmes peuvent inclure l’IA utilisée dans les décisions liées à l’emploi, l’accès à l’éducation, les infrastructures critiques, l’identification biométrique, l’application de la loi, la migration et le contrôle aux frontières, l’administration de la justice et l’accès aux services privés ou publics essentiels, selon le cas d’usage précis et les règles de classification.

Pour les systèmes à haut risque, le règlement sur l’IA ne demande pas simplement aux organisations de publier une politique. Il exige un modèle fonctionnel de conformité et de gouvernance. Celui-ci peut comprendre la gestion des risques, la gouvernance des données, la documentation technique, la journalisation, la transparence, la supervision humaine, l’exactitude, la robustesse, la cybersécurité et la surveillance après mise sur le marché.

Ce travail ne se résume pas à des formalités juridiques. Il a des conséquences techniques. Les systèmes peuvent nécessiter de meilleurs journaux d’audit. Les pipelines de données peuvent avoir besoin de contrôles de provenance plus rigoureux. Les flux de travail de contrôle humain peuvent devoir être repensés. Les performances des modèles peuvent devoir être surveillées. Les contrats avec les fournisseurs peuvent nécessiter davantage de précisions. La documentation peut devoir expliquer les capacités du système, ses limites, son utilisation prévue et les risques connus.

En d’autres termes, la conformité au règlement sur l’IA touche à l’architecture, à la conception des produits, aux achats, à la gouvernance des données, à la sécurité, aux opérations et à l’expérience utilisateur.

Août 2026 n’est pas le moment de commencer

Il est tentant de considérer août 2026 comme une échéance lointaine. C’est la mauvaise approche. Même lorsque certaines obligations suivent un calendrier progressif, le travail nécessaire à la préparation est important.

Les entreprises ont besoin de temps pour identifier les systèmes d’IA, classer les risques, évaluer les dépendances vis-à-vis des fournisseurs, documenter l’utilisation prévue, examiner les sources de données, évaluer la supervision humaine, mettre à jour les processus d’achat, créer des instances de gouvernance et mettre en place une surveillance. Les grandes organisations doivent également coordonner les équipes juridiques, de sécurité, produit, ingénierie, données, conformité, achats, ressources humaines et les équipes opérationnelles.

Les entreprises qui attendent qu’une échéance approche découvriront probablement que leur véritable problème n’est pas l’absence d’une politique. C’est l’absence de visibilité opérationnelle.

Elles peuvent ne pas savoir quelles fonctionnalités d’IA sont intégrées aux plateformes de leurs fournisseurs. Elles peuvent ignorer qu’un flux de travail interne est passé de l’aide à la décision humaine à une influence automatisée sur les décisions. Elles peuvent ne pas savoir si un modèle est utilisé dans un contexte à haut risque. Elles peuvent ne pas disposer de journaux d’audit, d’une documentation ou de procédures de contrôle humain adaptés au rôle joué par le système d’IA.

C’est pourquoi la première étape n’est généralement pas la remédiation. C’est l’inventaire.

Ce que les entreprises doivent faire dès maintenant

Une démarche pratique de préparation devrait commencer par une vision claire de l’environnement d’IA. Cela ne signifie pas que chaque système nécessite un vaste programme de conformité. Cela signifie que l’organisation doit savoir ce qui existe avant de déterminer le niveau de gouvernance approprié.

Établir un inventaire de l’IA : Identifier les outils internes, les systèmes destinés aux clients, les fonctionnalités d’IA intégrées aux logiciels SaaS, les capacités d’IA fournies par les fournisseurs, les outils de développement, les systèmes d’analyse et les flux de travail décisionnels automatisés.
Classer les systèmes selon leur niveau de risque : Déterminer quels systèmes peuvent relever des catégories de risque inacceptable, élevé, limité ou minimal.
Cartographier les rôles organisationnels : Déterminer si l’entreprise agit en tant que fournisseur, déployeur, importateur, distributeur ou intégrateur en aval pour chaque système.
Identifier les systèmes potentiellement à haut risque :Portez une attention particulière à l’IA utilisée dans l’emploi, l’éducation, les services essentiels, les infrastructures critiques, les produits sensibles en matière de sécurité, les soins de santé, l’accès aux services financiers ou d’autres environnements réglementés.
Examinez la gouvernance des données :Comprenez les sources des données d’entraînement, de validation, de test, d’entrée et d’exploitation, notamment leur qualité, leur provenance, leur accès et leur conservation.
Évaluez la supervision humaine :Déterminez où les humains examinent les résultats, annulent les décisions, gèrent les escalades et restent responsables des résultats.
Améliorez la documentation :Documentez l’utilisation prévue, les limites du système, les contrôles des risques, les procédures de surveillance, les dépendances vis-à-vis des fournisseurs et les processus de gestion des changements.
Intégrez la surveillance aux opérations :Suivez les performances, les erreurs, la dérive, le comportement des utilisateurs, les incidents et l’évolution de l’utilisation des systèmes au fil du temps.

Tout cela ne doit pas nécessairement commencer par un vaste projet de transformation d’entreprise. Mais il faut commencer. La gouvernance de l’IA est bien plus difficile à mettre en place a posteriori, une fois que les systèmes se sont déjà répandus dans l’organisation.

L’IA des fournisseurs crée un problème de conformité caché

De nombreuses entreprises ne construisent pas elles-mêmes tous leurs systèmes d’IA. Elles achètent des plateformes SaaS dotées de fonctionnalités d’IA, intègrent des API de modèles de fondation, utilisent des assistants de productivité, adoptent des outils de développement et activent des fonctionnalités d’IA dans des systèmes qui faisaient déjà partie de l’activité.

Cela crée un problème de gouvernance facile à manquer. Une entreprise peut ne pas se considérer comme un fournisseur d’IA, tout en étant un déployeur de systèmes d’IA. Elle peut s’appuyer sur la documentation d’un fournisseur, mais devoir malgré tout comprendre comment le système est utilisé dans ses propres flux de travail. Elle peut croire qu’un fournisseur est responsable du comportement du modèle, tout en restant responsable de l’impact de l’outil sur ses employés, ses clients, ses candidats ou ses utilisateurs.

Les achats et la gestion des fournisseurs doivent se mettre à niveau. Les entreprises devraient interroger les fournisseurs sur l’utilisation des données, la documentation des modèles, la classification des risques, la journalisation, la transparence, la supervision humaine, la conservation, la sécurité, les sous-traitants et la prise en charge des obligations du règlement sur l’IA. Ces questions doivent faire partie des décisions d’achat, et pas seulement de l’examen juridique mené après l’adoption.

La conformité ne doit pas se réduire à une mise en scène de cases à cocher

Le règlement sur l’IA créera de la documentation administrative. C’est inévitable. Mais les organisations doivent veiller à ne pas réduire la gouvernance de l’IA à un exercice documentaire.

Une politique bien présentée ne prouve pas qu’un système d’IA est sûr, équitable, explicable, surveillé ou adapté à son cas d’utilisation. Un registre des risques ne sert à rien si personne ne l’examine. Un processus avec intervention humaine ne signifie pas grand-chose si l’examinateur humain manque de contexte, d’autorité ou de temps. Une fiche de modèle ne suffit pas si le système est utilisé en dehors de sa finalité prévue.

Une bonne gouvernance de l’IA relie la politique aux opérations. Elle donne aux équipes les moyens de classifier les risques, de prendre des décisions de conception, de surveiller le comportement, de répondre aux incidents et de s’adapter lorsqu’un système évolue. Elle donne également à la direction une visibilité sur les domaines où l’IA crée de la valeur pour l’entreprise et ceux où elle crée des risques.

Comment Ridiculous Engineering envisage la préparation au règlement sur l’IA

Chez Ridiculous Engineering, nous abordons la gouvernance de l’IA à la fois comme un problème de conformité et de mise en œuvre. L’interprétation juridique est importante, et les organisations devraient travailler avec des conseillers qualifiés sur leurs obligations réglementaires. Mais bon nombre des problèmes difficiles sont opérationnels et techniques : inventaire, flux de données, documentation, conception des systèmes, intégration des fournisseurs, surveillance, auditabilité et supervision humaine.

C’est là que l’ingénierie et la gouvernance doivent se rejoindre. Si un système d’IA traite des données sensibles, influence des décisions ou devient partie intégrante d’un flux de travail critique pour l’activité, le modèle de conformité doit être reflété dans l’architecture du système. La journalisation, les contrôles d’accès, les voies d’escalade, la documentation, la surveillance et les processus d’examen ne peuvent pas être traités après coup.

Nous aidons les organisations à réfléchir à cette dimension pratique. Quels systèmes d’IA sont utilisés ? Quels flux de travail présentent les risques les plus élevés ? Où les données circulent-elles ? Quels systèmes dépendent de modèles tiers ou de fonctionnalités d’IA fournies par des fournisseurs ? Quelle documentation existe ? Qu’est-il difficile de démontrer lors d’un audit ou d’un examen client ? Quelles améliorations doivent être réalisées en priorité ?

Pour certaines équipes, la première étape utile consiste à établir un inventaire léger de l’IA et à effectuer un exercice de classification des risques. Pour d’autres, il peut s’agir d’une évaluation préalable des fournisseurs, de la conception des flux de gouvernance, de la documentation technique ou de la planification des mesures correctives pour les systèmes susceptibles d’entrer dans une catégorie à haut risque.

La confiance devient une composante du produit

Le règlement européen sur l’IA est l’un des signaux les plus clairs indiquant que les systèmes d’IA entrent dans une phase de maturité accrue. La première question était : “Pouvons-nous utiliser l’IA ?” La question suivante est : “Pouvons-nous l’utiliser de manière responsable, démontrer son fonctionnement et continuer à la gérer après son lancement ?”

Les entreprises qui traitent la conformité comme une case à cocher de dernière minute rencontreront des difficultés. Elles pourront peut-être produire des documents, mais auront davantage de mal à démontrer que la gouvernance atteint réellement les systèmes, les flux de travail, les fournisseurs et les décisions dans lesquels l’IA est utilisée.

La meilleure approche consiste à intégrer dès maintenant la gouvernance au modèle opérationnel. Inventoriez les systèmes. Classez les risques. Comprenez les données. Cartographiez les responsabilités. Documentez l’utilisation prévue. Concevez une supervision humaine là où elle est importante. Surveillez le comportement après le déploiement.

Si votre organisation a besoin d’aide pour se préparer aux exigences de gouvernance de l’IA, évaluer des systèmes d’IA ou transformer les attentes réglementaires en contrôles techniques et opérationnels concrets, Ridiculous Engineering peut vous aider. Nous travaillons avec nos clients pour relier les objectifs de conformité à l’architecture, aux flux de travail et à la documentation nécessaires pour les soutenir.

La confiance n’est pas un slogan dans le domaine de l’IA. Elle devient une composante du produit. Les organisations qui le comprennent tôt seront mieux positionnées que celles qui tentent d’intégrer la confiance après coup, une fois le système déjà déployé sur le terrain.

Sources et lectures complémentaires : Commission européenne : cadre réglementaire et calendrier du règlement sur l’IA, Règlement de l’Union européenne sur l’intelligence artificielle : règles de classification de l’article 6 pour les systèmes d’IA à haut risque, Cloud Security Alliance : préparation à l’échéance de conformité au règlement européen sur l’IA pour les systèmes à haut risque, Baker McKenzie : règlement de l’Union européenne sur l’IA, Bird & Bird : guide sur le règlement de l’Union européenne sur l’intelligence artificielle

Conformité au règlement européen sur l’IA : ce dont chaque entreprise a besoin avant août 2026