AI Act européen : ce que les dirigeants doivent savoir

Peu de textes réglementaires auront suscité autant de malentendus que l'AI Act européen. Dans les comités de direction que nous rencontrons, il occupe une place étrange : tout le monde en a entendu parler, presque personne ne sait ce qu'il implique concrètement pour son organisation, et la plupart le rangent mentalement dans la catégorie « problème juridique, à traiter plus tard ». C'est précisément ce classement qui coûte cher.

Le règlement, adopté en mars 2024, entre en application par paliers jusqu'en 2027. Il classe les systèmes d'intelligence artificielle selon quatre niveaux de risque. Les usages à risque inacceptable — notation sociale, manipulation subliminale, certaines formes de reconnaissance biométrique — sont purement interdits. Les systèmes à haut risque, qui touchent au recrutement, au crédit, à la santé, à l'éducation ou à la justice, sont soumis à des obligations lourdes : documentation technique, gestion des risques, qualité des données, supervision humaine, enregistrement dans une base européenne. Les systèmes à risque limité, comme les chatbots ou les contenus générés, portent une obligation de transparence : l'utilisateur doit savoir qu'il interagit avec une machine. Le reste relève du risque minimal et n'appelle aucune obligation spécifique.

Cette architecture paraît simple. Elle l'est beaucoup moins dès qu'on l'applique à une organisation réelle.

Le premier piège est de croire que la conformité se joue au niveau de l'outil. Elle se joue au niveau de l'usage. Le même modèle de langage, utilisé pour résumer des comptes rendus de réunion, relève du risque minimal ; utilisé pour présélectionner des candidatures, il bascule en haut risque avec l'ensemble des obligations associées. Ce n'est pas la technologie qui est qualifiée, c'est ce que vous en faites. Une organisation qui déploie un assistant conversationnel à l'échelle de l'entreprise sans encadrer les usages ne sait pas, en réalité, dans quelle catégorie elle se trouve — et cette incertitude est en soi un risque.

Le second piège tient au calendrier. Beaucoup de dirigeants entendent « 2027 » et en concluent qu'ils ont le temps. Or l'échéance qui compte n'est pas celle de l'entrée en vigueur : c'est celle de la mise en conformité de systèmes déjà en production. Reconstituer la documentation technique d'un modèle déployé il y a deux ans, retracer la provenance des données d'entraînement, démontrer qu'un dispositif de supervision humaine existait dès la conception — tout cela est infiniment plus coûteux après coup qu'au moment de la conception. La dette de conformité fonctionne comme la dette technique : elle s'accumule silencieusement et se paie au pire moment.

Le cas suivant ne décrit aucune entreprise en particulier : il assemble des observations recueillies dans plusieurs organisations. Une entreprise de services déploie depuis dix-huit mois une série d'outils d'IA achetés sur étagère : un assistant de rédaction pour les équipes commerciales, un moteur de recommandation pour le service client, un outil d'aide au tri des candidatures pour les ressources humaines. Chaque déploiement a été piloté par la direction métier concernée, sans coordination centrale. Interrogée sur son exposition à l'AI Act, la direction générale découvre trois choses. D'abord, que le troisième outil relève du haut risque et qu'aucune des obligations correspondantes n'a été anticipée. Ensuite, que personne dans l'organisation ne dispose de la cartographie des systèmes d'IA en service — il faut plusieurs semaines pour la reconstituer. Enfin, que les contrats signés avec les fournisseurs ne prévoient rien sur la fourniture de la documentation technique exigée par le règlement, ce qui place l'entreprise en position de faiblesse pour l'obtenir.

Aucun de ces trois constats ne relève du droit. Ce sont des défaillances de gouvernance.

C'est là que notre lecture du sujet diffère de celle d'un cabinet juridique. L'AI Act ne se traite pas comme une mise en conformité, mais comme une question de conception organisationnelle. Chez KAIROS Impulse, nous abordons ces travaux par la cartographie des usages avant l'analyse des textes : quels systèmes sont en service, qui les a déployés, sur quelles données, pour quelles décisions, avec quel niveau de supervision humaine. Cette cartographie révèle presque toujours des angles morts — des outils adoptés localement, des extensions activées par défaut dans des suites bureautiques, des expérimentations devenues permanentes sans que personne ne l'ait décidé. Le travail réglementaire proprement dit ne commence qu'ensuite, et il est alors beaucoup plus rapide, parce qu'il porte sur un périmètre connu.

Il y a une objection courante à cette approche, et elle mérite d'être prise au sérieux : la conformité freinerait l'innovation. Notre expérience suggère l'inverse, à une condition. Une organisation qui sait précisément où se situent ses systèmes à haut risque peut avancer beaucoup plus vite sur tout le reste, parce qu'elle n'a plus besoin d'appliquer un principe de précaution généralisé à chaque nouvelle initiative. L'incertitude réglementaire est un frein bien plus puissant que la réglementation elle-même. Ce sont les organisations qui ne savent pas où elles en sont qui bloquent leurs projets par prudence.

La dimension humaine de ce sujet est également sous-estimée. L'obligation de supervision humaine, au cœur du régime des systèmes à haut risque, n'est pas une case à cocher : elle suppose que quelqu'un soit en mesure de comprendre la décision de la machine, d'en contester le résultat et d'en assumer la responsabilité. Cela demande des compétences, du temps alloué, et une autorité réelle. Une supervision humaine décorative — un opérateur qui valide en série des recommandations qu'il n'a pas les moyens d'évaluer — ne satisfait ni l'esprit ni la lettre du règlement, et expose l'organisation bien plus qu'elle ne la protège.

Si vous ne deviez retenir que trois questions à poser lors de votre prochain comité, ce seraient celles-ci. Premièrement, disposons-nous aujourd'hui d'un inventaire à jour des systèmes d'IA en service dans l'organisation, y compris ceux qui n'ont pas transité par la DSI ? Deuxièmement, parmi ces systèmes, lesquels interviennent dans des décisions concernant des personnes — recrutement, évaluation, accès à un service, tarification ? Troisièmement, pour ces systèmes-là, serions-nous capables de produire aujourd'hui la documentation, la traçabilité des données et la preuve de supervision humaine que le règlement exige ? Si l'une de ces réponses est incertaine, le sujet n'est pas juridique. Il est stratégique, et il relève du comité de direction.