Conformité au règlement européen sur l’IA : échéance d’août 2026 et déficit de gouvernance

Le déficit de gouvernance d’août 2026

Le règlement européen sur l’IA passe du débat politique à la réalité opérationnelle. Pour les entreprises qui développent, achètent, déploient ou intègrent des systèmes d’IA liés à l’Union européenne, la question centrale n’est plus de savoir si la gouvernance de l’IA est importante. Il s’agit de savoir si l’organisation peut prouver que ses systèmes d’IA sont classés, documentés, surveillés et gérés d’une manière correspondant au risque qu’ils créent.

Le règlement sur l’IA est entré en vigueur le 1er août 2024. Ses exigences s’appliquent par étapes. Les dispositions générales, les obligations en matière de maîtrise de l’IA et les pratiques d’IA interdites ont commencé à s’appliquer le 2 février 2025. Les règles relatives aux modèles d’IA à usage général ont commencé à s’appliquer le 2 août 2025. Le règlement deviendra généralement applicable le 2 août 2026, avec certaines exceptions et des calendriers ultérieurs pour certaines catégories de systèmes à haut risque, notamment certains systèmes intégrés à des produits réglementés.

Ce calendrier est important, car août 2026 est suffisamment proche pour que les organisations aient déjà commencé ces travaux. Pour de nombreuses entreprises, la difficulté ne consistera pas à lire le règlement. Elle consistera à identifier chaque système d’IA utilisé, à classer les risques, à comprendre les dépendances vis-à-vis des fournisseurs, à documenter le comportement technique et à mettre en place des processus de gouvernance capables de résister à la réalité des opérations.

Cet article ne constitue pas un avis juridique. Les organisations devraient consulter des conseillers qualifiés pour l’interprétation du règlement sur l’IA et de leurs obligations au titre de celui-ci. Toutefois, nombre des tâches de préparation les plus difficiles sont opérationnelles et techniques, ce qui signifie que les équipes d’ingénierie, produit, sécurité, données, achats, conformité et les équipes métier ont toutes un rôle à jouer.

Pourquoi août 2026 est important

Le 2 août 2026 est la date à laquelle la plupart des dispositions restantes du règlement sur l’IA deviendront applicables. Pour de nombreux systèmes d’IA à haut risque, c’est à ce moment que les obligations relatives à la gestion des risques, à la gouvernance des données, à la documentation technique, à la journalisation, à la transparence, à la supervision humaine, à l’exactitude, à la robustesse, à la cybersécurité et aux responsabilités des déployeurs deviendront concrètement importantes.

Le règlement sur l’IA impose également à chaque État membre de l’UE d’établir au moins un bac à sable réglementaire consacré à l’IA d’ici au 2 août 2026. Ces bacs à sable sont destinés à fournir des environnements contrôlés dans lesquels les fournisseurs et fournisseurs potentiels peuvent développer, tester et valider des systèmes d’IA sous supervision réglementaire. Ils ne remplacent pas la conformité, mais font partie de l’architecture globale de mise en œuvre que l’UE construit autour de la gouvernance de l’IA.

Le point essentiel pour les entreprises est que les travaux de conformité ne peuvent pas commencer à la date limite. Une entreprise qui attend août 2026 pour commencer découvrira probablement que son véritable problème n’est pas l’absence d’une politique. C’est l’absence de visibilité.

Elle peut ignorer quels outils internes intègrent des fonctionnalités d’IA. Elle peut ignorer quels fournisseurs SaaS traitent des données au moyen de systèmes d’IA. Elle peut ignorer si un flux de travail est passé de l’aide à la décision à l’influence sur la décision. Elle peut ignorer quels systèmes relèvent des catégories à haut risque. Elle peut ne pas disposer de journaux, de documentation technique, de dispositifs de surveillance ou de procédures de contrôle humain correspondant à l’utilisation réelle de ces systèmes.

Le problème de la classification à haut risque

La classification à haut risque est l’un des aspects les plus importants de la préparation au règlement sur l’IA. Les obligations dépendent fortement de la fonction du système d’IA, de son contexte d’utilisation, de ses utilisateurs et de l’impact qu’il peut avoir sur les personnes.

L’article 6 définit les règles de classification des systèmes d’IA à haut risque, notamment les systèmes qui sont des composants de sécurité de produits couverts par certaines législations de l’UE et les systèmes répertoriés à l’annexe III, sauf exceptions limitées. L’annexe III couvre notamment la biométrie, les infrastructures critiques, l’éducation, l’emploi, l’accès aux services essentiels, les forces de l’ordre, la migration et le contrôle des frontières, ainsi que l’administration de la justice. [oai_citation:1‡Artificial Intelligence Act](https://artificialintelligenceact.eu/article/6/?utm_source=chatgpt.com)

C’est ici que la classification devient plus qu’une simple étiquette. Un système qui semble présenter un faible risque pris isolément peut devenir à haut risque en raison de son utilisation prévue. Un outil d’IA qui classe des candidats, contribue à l’évaluation des salariés, influence l’accès à l’éducation ou aide à prendre des décisions concernant des services essentiels présente un profil réglementaire différent de celui d’un outil qui résume des notes internes.

Les entreprises ne devraient pas s’appuyer sur des descriptions désinvoltes telles que “ce n’est qu’un assistant” ou “l’humain prend la décision finale”. Ces affirmations peuvent être pertinentes, mais elles ne remplacent pas une analyse structurée du cas d’usage, des données, des résultats, de la supervision humaine et de l’impact.

La conformité n’est pas seulement une tâche juridique

La préparation au règlement européen sur l’IA nécessitera une interprétation juridique, mais le travail ne s’arrête pas au service juridique. Les obligations relatives aux systèmes d’IA à haut risque s’étendent à la conception et à l’exploitation des systèmes.

Une équipe juridique peut contribuer à interpréter les obligations. Mais les équipes d’ingénierie et produit doivent comprendre le fonctionnement du système. Les équipes chargées des données doivent expliquer l’origine des données et la manière dont leur qualité est contrôlée. Les équipes de sécurité doivent évaluer les accès, la surveillance et la cybersécurité. Les achats doivent comprendre les obligations des fournisseurs et leur documentation. Les responsables métier doivent définir l’utilisation prévue et le niveau de risque acceptable. Les équipes de conformité doivent disposer de preuves que le processus est effectivement suivi.

C’est pourquoi la gouvernance de l’IA doit être interfonctionnelle. Si un seul service assume l’intégralité de l’effort, l’organisation manquera presque certainement un élément important.

Ce qui passe des recommandations à l’application obligatoire

Le règlement sur l’IA fait passer la gouvernance de l’IA des bonnes pratiques volontaires à des obligations opposables. Cela ne signifie pas que tous les systèmes d’IA seront soumis aux mêmes contraintes. Le règlement adopte une approche fondée sur les risques. Mais pour les systèmes relevant des catégories à haut risque, les organisations doivent se préparer à bien plus qu’une déclaration générale sur une IA responsable.

Les systèmes d’IA à haut risque peuvent nécessiter :

• Des processus de gestion des risques qui identifient, évaluent et atténuent les risques prévisibles
• Des pratiques de gouvernance des données couvrant la pertinence, la représentativité, la qualité, les biais et l’utilisation appropriée des données
• Une tenue de journaux et de registres pour assurer la traçabilité et faciliter les contrôles
• Une documentation technique expliquant la conception du système, sa finalité, ses performances, ses limites et ses mesures de contrôle
• La transparence et des instructions d’utilisation permettant aux déployeurs de comprendre les capacités et les limites du système
• Une supervision humaine effective lorsque celle-ci est requise
• Des contrôles portant sur l’exactitude, la robustesse et la cybersécurité
• Une surveillance post-commercialisation et la gestion des incidents, le cas échéant

Ces exigences ont des implications techniques directes. Si un système n’a pas été conçu pour consigner les événements pertinents, permettre les contrôles, documenter la provenance des données, suivre le comportement du modèle ou expliquer la supervision humaine, l’ajout de ces capacités ultérieurement peut s’avérer difficile.

Le déficit de compétences en matière de gouvernance de l’IA

De nombreuses organisations ne disposent pas encore de la combinaison de compétences internes nécessaire pour se préparer au règlement sur l’IA. Il ne s’agit pas simplement d’un problème de recrutement, mais d’un problème de développement des capacités.

La gouvernance de l’IA se situe à l’intersection de plusieurs disciplines. Les équipes ont besoin de personnes qui comprennent la réglementation, mais aussi l’architecture, les pipelines de données, l’apprentissage automatique, les achats de solutions SaaS, la sécurité, la conception des produits, les flux de travail des utilisateurs et la surveillance opérationnelle. Elles ont besoin de personnes capables de traduire une exigence de conformité en contrôle technique, puis de prouver que ce contrôle fonctionne.

Cette combinaison reste rare. Une équipe juridique peut comprendre le droit, mais pas l’architecture du système. Une équipe d’ingénierie peut comprendre le système, mais pas les implications réglementaires. Un responsable métier peut comprendre le flux de travail, mais pas le comportement des données ou du modèle. La gouvernance ne fonctionne que lorsque ces perspectives sont réunies.

C’est pourquoi la gouvernance de l’IA interfonctionnelle n’est pas une mise en scène institutionnelle. C’est une nécessité pratique.

Ce que les organisations doivent faire dès maintenant

La première étape n’est pas d’acheter une plateforme de gouvernance. La première étape consiste à comprendre l’empreinte actuelle de l’IA.

• Établir un inventaire de l’IA : Identifier les systèmes développés en interne, les outils fournisseurs, les fonctionnalités SaaS, les API de modèles, les flux de travail d’aide à la décision, les outils d’analyse, les chatbots, les assistants pour développeurs et les automatisations qui utilisent l’IA.
• Classer les systèmes selon leur niveau de risque : Déterminer si chaque système semble présenter un risque inacceptable, élevé, limité ou minimal, ou s’il est hors périmètre, puis documenter le raisonnement.
• Cartographier les rôles de l’entreprise : Déterminer si l’organisation agit en tant que fournisseur, déployeur, importateur, distributeur, fabricant de produits ou intégrateur en aval pour chaque système.
• Identifier les candidats à haut risque : Donner la priorité aux systèmes utilisés dans l’emploi, l’éducation, les services essentiels, les infrastructures critiques, les produits sensibles sur le plan de la sécurité, la santé, la finance ou d’autres contextes sensibles.
• Examiner les dépendances vis-à-vis des fournisseurs : Déterminer quels fournisseurs proposent des fonctionnalités d’IA, quelle documentation ils fournissent, comment ils traitent les données et quel soutien ils apportent pour constituer les éléments probants de conformité.
• Évaluer la gouvernance des données : Comprendre les sources de données, les contrôles qualité, les règles d’accès, la conservation, la provenance, l’examen des biais et la surveillance.
• Concevoir la supervision humaine : Définir qui examine les résultats, quand cet examen est requis, de quelle autorité disposent les personnes chargées de l’examen et comment fonctionnent les escalades.
• Créer des flux de travail pour la documentation et la surveillance : Mettre en place des processus pour la documentation technique, la journalisation, l’examen post-déploiement, la gestion des incidents et la gestion des changements.

Cela ne doit pas nécessairement commencer par un vaste programme de transformation d’entreprise. Un inventaire ciblé et une classification des risques peuvent révéler où se situe la véritable exposition et quels systèmes méritent en premier lieu un examen plus approfondi.

L’IA des fournisseurs crée une exposition cachée

De nombreuses entreprises ne développent pas de systèmes d’IA à partir de zéro. Elles activent des fonctionnalités d’IA au sein de plateformes existantes, achètent des produits SaaS intégrant de l’IA, utilisent des API de modèles, adoptent des assistants de programmation ou intègrent des automatisations fournies par des fournisseurs dans leurs flux de travail internes.

Cela crée un problème pratique de gouvernance. Une entreprise peut ne pas se considérer comme un fournisseur d’IA, mais elle peut tout de même être un déployeur. Elle peut s’appuyer sur les déclarations des fournisseurs, tout en devant comprendre comment l’outil est utilisé en interne. Elle peut penser que le fournisseur est propriétaire du modèle, alors que l’entreprise peut tout de même être responsable du flux de travail, de la supervision humaine, du traitement des données et des effets sur les employés, les clients, les candidats ou les utilisateurs.

La gestion des fournisseurs doit devenir une composante de la gouvernance de l’IA. Les achats devraient poser de meilleures questions avant l’adoption :

• Quelles fonctionnalités d’IA sont incluses ?
• Quelles données sont traitées, conservées ou utilisées à des fins d’amélioration ?
• Où les données sont-elles traitées ?
• Quelle documentation est disponible ?
• Comment les changements apportés aux modèles sont-ils communiqués ?
• Quels journaux ou pistes d’audit sont disponibles ?
• Le client peut-il configurer la supervision humaine, les contrôles d’accès et la conservation ?
• Que se passe-t-il si l’outil est utilisé dans un contexte à haut risque ?

Ces questions doivent être posées au début du processus d’achat, et non après qu’un outil s’est intégré aux opérations quotidiennes.

Comment Ridiculous Engineering envisage le déficit de gouvernance

Chez Ridiculous Engineering, nous abordons la préparation à l’AI Act comme un problème pratique de gouvernance et de mise en œuvre. L’interprétation juridique est importante, et les organisations devraient travailler avec des conseillers qualifiés. Mais le travail difficile se situe également dans les systèmes : inventaire, classification, flux de données, documentation, surveillance, intégration des fournisseurs, contrôle des accès et supervision humaine.

Nous aidons les organisations à traduire leurs objectifs de gouvernance en réalités opérationnelles et techniques. Cela peut consister à cartographier les systèmes d’IA, documenter les cas d’usage, identifier les candidats à haut risque, examiner les pipelines de données, évaluer les dépendances vis-à-vis des fournisseurs, concevoir des flux de travail de gouvernance ou mettre en place les contrôles techniques nécessaires pour soutenir l’auditabilité et la supervision.

L’objectif n’est pas de créer de la paperasserie pour elle-même. L’objectif est de bâtir un modèle opérationnel de l’IA que la direction peut comprendre, que les équipes peuvent suivre et auquel les clients ou les autorités de contrôle peuvent faire confiance.

Pour de nombreuses organisations, la première étape utile consiste à réaliser un inventaire structuré de l’IA et un examen des risques. Cela donne à la direction une vision plus claire de l’utilisation actuelle de l’IA, des systèmes nécessitant une analyse plus approfondie et des domaines sur lesquels l’organisation devrait concentrer ses mesures correctives avant que les échéances ne créent une pression inutile.

La conformité doit instaurer la confiance, et pas seulement produire des preuves

L’AI Act de l’UE est l’un des signaux les plus clairs indiquant que les systèmes d’IA entrent dans une phase de maturité accrue. La première question était de savoir si les organisations pouvaient utiliser l’IA. La question suivante est de savoir si elles peuvent l’utiliser de manière responsable, la documenter, la surveiller et expliquer les contrôles qui l’encadrent.

Les organisations qui considèrent l’AI Act comme un exercice de conformité de dernière minute pourront peut-être produire des documents, mais elles auront des difficultés si ces documents ne sont pas liés au fonctionnement réel des systèmes.

La meilleure voie consiste à intégrer dès maintenant la gouvernance au travail. Inventorier les systèmes. Classer les risques. Comprendre les données. Cartographier les responsabilités. Examiner les fournisseurs. Concevoir la supervision. Mettre en place la surveillance. Conserver des dossiers qui reflètent la réalité.

Si votre organisation se prépare à respecter les obligations du règlement européen sur l’IA, cherche à comprendre son empreinte IA ou souhaite relier les exigences de gouvernance à une mise en œuvre technique concrète, Ridiculous Engineering peut vous aider. Nous accompagnons nos clients pour transformer la gouvernance de l’IA, d’un document de politique en un modèle opérationnel pratique.

L’échéance d’août 2026 est importante. L’enjeu plus général est plus durable : la confiance dans l’IA doit désormais être conçue, opérationnalisée et démontrée.

Sources et lectures complémentaires : Commission européenne : cadre réglementaire et calendrier du règlement sur l’IA, Centre de services du règlement européen sur l’IA de la Commission européenne : calendrier de mise en œuvre, Règlement européen sur l’intelligence artificielle : règles de classification de l’article 6 pour les systèmes d’IA à haut risque, Règlement européen sur l’intelligence artificielle : environnements réglementaires d’expérimentation de l’article 57, Cloud Security Alliance : préparation à l’échéance concernant les systèmes d’IA à haut risque prévue par le règlement européen sur l’IA, Holland & Knight : les entreprises américaines et l’échéance d’août 2026 du règlement européen sur l’IA