Avec l'échéance du 2 août, l'intelligence
artificielle cesse d'être un sujet d'innovation pour devenir un sujet de
gouvernance. Les dirigeants deviennent comptables d'usages qui se sont diffusés
dans leur entreprise sans qu'ils les aient décidés.
Par Alexandre
Lazarègue, avocat au barreau de Paris, spécialisé en droit du numérique.
Le 2 août prochain, une
nouvelle étape du règlement européen sur l'intelligence artificielle entre en
application. Beaucoup d'entreprises y voient une strate réglementaire de plus,
après le RGPD. C'est passer à côté de l'essentiel.
Les obligations de
transparence et le régime de sanctions deviennent alors applicables, tandis que
le volet consacré aux systèmes à haut risque a été reporté.
Mais le changement de
fond n'est pas de nature normative : il est managérial. À compter de cette
date, l'intelligence artificielle cesse d'être un sujet d'innovation ou de
productivité pour devenir un sujet de gouvernance, dont le dirigeant doit
répondre.
Depuis l'arrivée de ChatGPT, l'adoption de l'IA s'est faite à un rythme inédit et le plus souvent par le bas.
Elle ne s'est décidée dans aucun comité exécutif. Ici, un
collaborateur a ouvert un compte. Là, une équipe a souscrit un abonnement.
Ailleurs, un éditeur de logiciels a glissé une fonctionnalité d'IA dans une
mise à jour. En quelques mois, l'intelligence artificielle est entrée dans les
directions juridiques, les ressources humaines, les forces commerciales, les
équipes informatiques et l'ensemble des fonctions support — souvent sans
politique interne, parfois sans que la direction générale en ait une vision
précise.
L'expérimentation
autorisait ce désordre. Le temps de la gouvernance ne l'autorisera pas.
Peu d'entreprises
savent ce qu'elles utilisent
La question que se
posent la plupart des dirigeants est de savoir si leur entreprise est concernée
par l'AI Act. Elle est légitime, mais elle n'est pas la première. La première
est de savoir quels systèmes d'intelligence artificielle sont réellement utilisés
dans l'entreprise.
C'est là que se situe l'obstacle. Rares sont les entreprises capables aujourd'hui d'établir une cartographie complète de leurs usages. Combien d'applications intégrant de l'IA sont utilisées par les collaborateurs ?
Quels fournisseurs interviennent en amont,
parfois à l'insu de l'utilisateur lui-même ? Quels traitements pèsent sur une
décision commerciale, un recrutement, une analyse financière ?
Ces questions
élémentaires restent le plus souvent sans réponse. Or il deviendra difficile de
soutenir longtemps que l'on ignorait ce qui était utilisé dans sa propre
entreprise.
La conformité commence
avant le droit
L'AI Act est souvent
abordé comme un texte technique. En pratique, la difficulté n'est pas de
comprendre le règlement : elle est de reprendre le contrôle d'usages qui se
sont diffusés vite, et de façon décentralisée.
Rédiger une politique
interne ou apprécier le niveau de risque d'un système suppose de savoir, en
amont, quels outils circulent, comment ils fonctionnent, quelles données ils
traitent et à quelles décisions ils contribuent. La première étape de la conformité
est donc moins juridique qu'organisationnelle.
Le RGPD avait déjà
produit ce partage. En 2018, les entreprises qui ont commencé par inventorier
leurs traitements ont construit une conformité cohérente ; les autres ont
accumulé de la documentation sans maîtriser leurs pratiques. La même ligne se
dessine aujourd'hui avec l'intelligence artificielle.
Qui en assume la
responsabilité ?
Le pilotage de ces
sujets s'en trouve également déplacé. L'intelligence artificielle ne relève
plus de la seule direction informatique : elle engage la direction juridique,
le DPO, la sécurité des systèmes d'information, les métiers et, désormais, la
direction générale.
Les conséquences d'un
système d'IA débordent en effet largement la dimension technique. Elles
touchent à la protection des données, aux droits fondamentaux, à la propriété
intellectuelle, à la cybersécurité, aux relations de travail et à la
responsabilité civile de l'entreprise. Peu d'organisations disposent
aujourd'hui d'une gouvernance à la mesure de cette transversalité.
La question n'est plus
de savoir qui déploie l'outil, mais qui en assume la responsabilité.
La cartographie comme
instrument de pilotage
L'AI Act ne se réduit
pourtant pas à un exercice de conformité. Le travail qu'il impose — identifier
ses usages, clarifier les responsabilités, documenter ses processus — produit
un bénéfice qui dépasse largement le rapport au régulateur.
Une entreprise qui sait
quels outils circulent chez elle, quelles données ils traitent et qui en assure
la supervision peut décider vite : elle évalue un nouvel outil en quelques
jours plutôt qu'en quelques semaines, répond sans délai aux questions d'un client
sur le traitement de ses données et engage ses investissements technologiques
en connaissance de cause. Ce qui est perçu comme une formalité préalable
devient un instrument de pilotage.
Cette exigence ne
viendra d'ailleurs pas seulement des autorités de contrôle. Les donneurs
d'ordre, les investisseurs, les assureurs et les partenaires commerciaux
poseront progressivement les mêmes questions, comme ils le font déjà en matière
de cybersécurité ou de protection des données. Savoir expliquer comment on
utilise l'intelligence artificielle deviendra, dans les années qui viennent, un
élément de la confiance que l'on inspire.
Par où commencer
Le 2 août 2026
n'entrave pas l'innovation. Il ouvre la période où celle-ci se conduit, plutôt
qu'elle ne se diffuse.
Le point de départ
tient en quatre questions, et non dans une politique interne de plusieurs
dizaines de pages : où l'intelligence artificielle est-elle utilisée ? Quelles
données lui sont confiées ? Quelles décisions influence-t-elle ? Qui en assure
la supervision ?
Elles relèvent autant de la stratégie que du droit. C'est sans doute ce que l'AI Act aura de plus durable : avoir fait de l'intelligence artificielle, au-delà d'une technologie performante, un objet de gouvernance d'entreprise.