AI Act : comment transformer les obligations en un avantage de gouvernance ?

L’AI Act n’est pas seulement un texte de conformité. Il peut servir de cadre de gouvernance IA pour gérer les risques, l’éthique, les coûts, les fournisseurs et les usages de l’IA générative.

Le règlement européen sur l’intelligence artificielle (AI Act, ou RIA en français), plus communément connu sous le nom de « AI Act », entré en vigueur le 1^er août 2024 dans sa version initiale (avec des provisions qui entrent en vigueur de manière échelonnée), remanié depuis par le règlement (UE) 2026/1744, dit Omnibus numérique sur l’IA (publié  le 24 juillet dernier et entré en vigueur le 27 juillet suivant), occupe une position singulière dans le paysage réglementaire mondial. Premier texte contraignant à portée générale consacré à l’intelligence artificielle, il impose aux entreprises de procéder à une analyse par les risques, des obligations de transparence, de documentation et de traçabilité, ainsi que des exigences de gouvernance qui dépassent le seul territoire de l’Union européenne. Son objet est d’établir un cadre harmonisé pour le développement, la mise sur le marché, la mise en service et l’utilisation des systèmes d’IA dans l’Union, tout en promouvant une IA centrée sur l’humain, digne de confiance et respectueuse des droits fondamentaux. Le règlement IA s’inscrit d’ailleurs dans le cadre de la convention cadre du Conseil de l’Europe sur l’intelligence artificielle et les droits de l’homme, la démocratie et l’État de droit du 5 septembre 2024 dont l’UE est signataire (convention non encore entrée en vigueur).

Pour les directions générales des grandes entreprises européennes, la question n’est donc plus seulement celle de la conformité locale. Elle devient celle de l’anticipation d’un référentiel susceptible de structurer, au-delà de l’Union européenne, la gouvernance des projets IA à l’échelle des groupes internationaux. Si l’AI Act est, évidemment, une contrainte réglementaire, il peut également représenter une opportunité pour les acteurs économiques qui s’en saisiront pour définir un cadre interne de décision, d’éthique, de maîtrise des risques, de contrôle des coûts et de pilotage des usages de l’IA. Ce cadre est susceptible, en retour, de renforcer leur positionnement sur le marché et de limiter leur exposition aux risques réputationnels.

Un cadre construit pour s’imposer au-delà des frontières européennes

Le RIA reprend, dans son architecture, une logique déjà éprouvée par le RGPD : une application extraterritoriale fondée non seulement sur le lieu d’établissement des acteurs, mais aussi sur la présence sur un marché relevant du marché unique ou sur les personnes affectées sur le territoire de l’Union européenne.

En le disant simplement, une entreprise établie hors de l’Union peut ainsi entrer dans le champ d’application du règlement lorsque cette dernière met sur le marché, ou met en service, des systèmes d’IA, ou des modèles d’IA, à usage général dans l’Union, ou bien lorsque les résultats produits par son système d’IA (aussi nommés « outputs ») sont utilisés dans au moins un des États membres (conforment à l’article 2 de l’AI Act).

Au-delà de son champ d’application extraterritorial, destiné à protéger l’espace économique et social de l’Union européenne, la question est de savoir si ce régime extensif et cohérent influencera des législateurs dans le monde. Dit autrement, y aura-t-il un « effet Bruxelles » similaire à celui des textes en matière de protection des données (le RGPD ayant servi de modèle en Californie, en Chine, en Inde, etc.) ou celui sur la production et l’utilisation des substances chimiques (REACH). Rien n’indique que l’AI Act reproduira mécaniquement cette dynamique, mais le fait qu’il constitue le premier texte horizontal et contraignant consacré à l’IA à cette échelle laisse penser qu’un tel effet n’est pas à exclure.

Plus puissamment encore, face à la multiplication des législations nationales ou sectorielles sur la protection des données et sur la maitrise du risque informatique, les multinationales et les entreprises ayant une activité transnationale peuvent avoir intérêt à adopter un socle commun aligné sur le standard européen, plutôt que de multiplier les référentiels locaux de conformité. En effet, dans une logique de « qui peut le plus peut le moins », une conformité aux standards européens engloberait très largement une conformité aux différents autres standards qui se mettent en place dans le monde. L’expérience du RGPD illustre parfaitement cela : beaucoup de groupes internationaux ont d’abord traité le règlement comme un chantier européen (y voyant surtout une contrainte), avant d’en faire progressivement la matrice de leur gouvernance mondiale de la donnée, enrichie ensuite par d’autres réglementations similaires adoptées dans le monde.

La même logique peut désormais s’appliquer à l’IA. L’AI Act peut devenir le socle d’une gouvernance globale, à condition de ne pas être appréhendé comme un texte isolé. Il doit au contraire être utilisé comme une colonne vertébrale, capable d’accueillir et d’articuler d’autres exigences émergentes : protection des données, cybersécurité, résilience opérationnelle, propriété intellectuelle, droit de la consommation, régulation des plateformes (concurrence), exigences sectorielles ou standards internationaux de gestion du risque informatique et de l’IA.

La Commission européenne a d’ailleurs pleinement conscience de la nécessité d’articuler entre elles ces différentes réglementations, au service d’une gouvernance cohérente et d’un déploiement de l’IA à la fois sûr et respectueux des droits et des libertés en Europe. C’est précisément dans cette optique qu’elle a présenté, en novembre 2025, une proposition de règlement « Digital Omnibus » visant à simplifier et à mieux articuler le « paquet numérique européen » (RGPD, NIS2, DORA, Data Act et AI Act notamment) afin d’en réduire la charge administrative pour les entreprises et de renforcer la compétitivité européenne, sans pour autant abaisser le niveau de protection des droits fondamentaux. La première brique de cette nouvelle articulation des règles régissant le numérique a été l’adoption récente d’un premier « omnibus numérique sur IA ».

Une méthode de gouvernance par les risques, au-delà de la conformité

La classification des systèmes d’IA par niveau de risques constitue l’une des principales forces du règlement. Le texte distingue notamment les pratiques interdites (chapitre II), les systèmes à haut risque (chapitre III), les systèmes soumis uniquement à des obligations de transparence (chapitre IV) et les usages appelant une approche plus légère ou volontaire. Cette approche graduée permet de calibrer les obligations selon l’usage concret du système, le contexte de son déploiement et ses impacts potentiels, plutôt que selon sa seule nature technique.

Cette approche verticale, fondée sur les risques du système d’IA, est doublée d’une approche horizontale, qui fait varier les obligations en fonction du rôle de l’opérateur (fournisseur, déployeur, importateur, distributeur, etc.), une même entreprise pouvant d’ailleurs cumuler plusieurs de ces qualités selon les systèmes qu’elle fournit et qu’elle exploite.

Pour une direction juridique, mais aussi toute direction générale, cette double approche présente un avantage opérationnel majeur. Elle fournit une méthode de tri, de priorisation et d’arbitrage des projets IA. Fondé sur le risque du système, tous les projets ne justifient pas le même niveau de revue, les mêmes comités, les mêmes preuves documentaires ou les mêmes garde-fous techniques. À l’inverse, certains projets, en particulier lorsqu’ils touchent à l’emploi, au crédit, à l’accès à des services essentiels, à la santé, à la sécurité, à la surveillance, à la notation ou aux droits fondamentaux, ainsi que, plus largement, tout projet répondant à des cas d’usage spécifiques relevant de ces catégories, doivent être traités avec un niveau renforcé de vigilance (une gouvernance resserrée).

L’enjeu est donc de transformer la classification juridique en outil de pilotage des projets. Une entreprise mature ne se contente pas de se demander si un système est conforme. Elle se demande, d’abord, s’il est utile, légitime, proportionné, explicable, maîtrisable et économiquement pertinent. C’est ainsi que l’AI Act, au travers de ses exigences, devient un instrument de bonne gestion, et non seulement un instrument de conformité.

L’éthique comme levier de performance, et non comme contrainte abstraite

L’un des apports les plus structurants de l’AI Act tient à la place qu’il accorde à une IA digne de confiance, centrée sur l’humain, respectueuse des droits fondamentaux, de la sécurité, de la santé, de la démocratie, de l’État de droit et de l’environnement. Ces principes ne doivent pas être relégués à une charte éthique sans effet opérationnel. Ils deviennent des critères concrets de décision.

À cet égard, les lignes directrices en matière d’éthique pour une IA digne de confiance élaborées par le groupe d’experts de haut niveau de la Commission européenne énoncent sept principes éthiques non contraignants, destinés à garantir qu’une IA est digne de confiance et saine sur le plan éthique :

• La centralité d’une action humaine et d’un contrôle humain.
• La robustesse technique et la sécurité.
• Le respect de la vie privée et la gouvernance des données.
• La transparence.
• La diversité, la non-discrimination et l’équité.
• Le bien-être sociétal et environnemental.
• La responsabilité.

Le RIA fait de ces éléments des repères indispensables pour garantir le volet éthique de l’IA, un premier pas vers la conformité, sans obligation juridique contraignante.

L’éthique de l’IA n’est alors pas seulement une question de réputation. Elle est un outil de maîtrise du risque juridique, social, opérationnel et financier. Un projet IA insuffisamment encadré peut générer des résultats discriminatoires, des décisions opaques, des dépendances technologiques, des atteintes à la confidentialité, des erreurs coûteuses ou une perte de confiance des utilisateurs, voire des clients. À l’inverse, un projet conçu avec des critères éthiques explicites bénéficie souvent d’un meilleur cadrage métier et d’une meilleure acceptabilité aussi bien en interne qu’en externe.

L’éthique devient ainsi une discipline de conception. Elle impose de clarifier la finalité du système, les données utilisées, les populations affectées, les limites du modèle, les conditions d’intervention humaine, ainsi que les responsabilités respectives des équipes métiers, techniques, juridiques, conformité, achats et sécurité. Cela s’articule d’ailleurs avec les obligations de documentation technique et de conservation des documents qui pèsent sur les fournisseurs de systèmes d’IA à haut risque (articles 11 et 18 de l’AI Act), ainsi qu’avec les obligations de documentation applicables aux fournisseurs de modèles d’IA à usage général (article 53 de l’AI Act), dans un souci de transparence et de facilité de contrôle par les autorités nationales compétentes et le Bureau de l’IA au niveau européen.

Elle permet aussi d’éviter que l’IA ne soit utilisée pour automatiser des processus mal maîtrisés, amplifier des biais existants ou produire une illusion d’efficacité.

Enfin, ce volet éthique dépasse largement les seules exigences techniques de l’AI Act lui-même : il a vocation, selon la méthode voulue par l’AI Act, à encadrer toute utilisation des systèmes algorithmiques et neuronaux, sans limitation a priori à un usage déterminé selon les risques (par l’AI Act et les textes sectoriels), afin qu’ils soient des outils au service de l’humain, et non l’inverse. Le texte crée ainsi une formidable boussole pour les entreprises.

Maîtriser les coûts : l’angle encore sous-estimé de la gouvernance IA

La gouvernance de l’IA ne peut cependant pas se limiter à une gestion des exigences juridiques et éthiques. Elle doit également intégrer la maîtrise des coûts. L’essor de l’IA générative modifie profondément l’économie des projets numériques. Les coûts ne sont plus uniquement liés à la licence logicielle ou à l’intégration technique. Ils peuvent dépendre de la consommation d’API, du volume de requêtes, de la longueur des prompts, du nombre de tokens traités, de la fréquence d’utilisation, des modalités d’entraînement ou d’ajustement des modèles, de l’hébergement, de la supervision humaine ou de la gestion des données.

Cette « tokenisation » de l’économie de l’IA impose une nouvelle discipline budgétaire. Un cas d’usage peut sembler peu coûteux au stade du pilote, puis devenir significativement plus onéreux lors du passage à l’échelle. À l’inverse, certains projets très consommateurs de tokens peuvent produire une valeur métier limitée, voire créer des risques disproportionnés au regard du gain attendu.

Une bonne gouvernance IA doit donc intégrer, dès l’amont, une analyse de valeur. Il ne s’agit pas uniquement de se demander si un outil fonctionne, mais – plus concrèrement – s’il répond à un besoin réel, s’il remplace ou améliore un processus existant, s’il est soutenable économiquement, s’il peut être audité, s’il est compatible avec les politiques internes de sécurité et s’il présente un retour sur investissement raisonnable. L’AI Act, par son exigence de documentation, de gestion des risques des systèmes d’IA et de leur exploitation et de suivi dans le temps, offre un cadre propice à cette discipline.

Cette logique de maîtrise des coûts doit également irriguer le choix même des outils d’IA déployés. En plus des critères de performance, de couverture fonctionnelle et de coût direct d’usage, doit être prise en considération la capacité d’un système d’IA à répondre aux exigences de l’AI Act. Or un outil non conforme, ou dont le fournisseur ne peut apporter les garanties nécessaires, expose l’entreprise à des coûts indirects potentiellement bien supérieurs à son coût d’acquisition : sanctions pouvant atteindre 35 m€ ou 7 % du chiffre d’affaires mondial, mais aussi les coûts de remédiation, de re-documentation, voire de remplacement de l’outil une fois les obligations pleinement applicables et les contrôles des autorités de surveillance effectifs. La conformité doit ainsi devenir un des critères de sélection à part entière, au même titre que le prix ou la performance. On atteint ainsi un principe de « compliance by design » dans le choix des outils, plutôt qu’un correctif appliqué a posteriori, dans l’urgence et à moindre marge de manœuvre.

De ce fait, les directions juridiques, financières, achats et IT ont ici intérêt à travailler ensemble. La gouvernance des coûts de l’IA va au-delà de l’aspect réglementaire et devrait inclure des règles de sélection des fournisseurs, des plafonds de consommation, des indicateurs d’usage, des clauses contractuelles sur les modèles tarifaires, des mécanismes d’audit, des revues périodiques des cas d’usage et des critères d’arrêt des initiatives à faible valeur ajoutée.

Éviter le shadow IT et reprendre le contrôle des usages

L’un des risques les plus immédiats pour les entreprises n’est pas nécessairement le développement d’un système d’IA à haut risque parfaitement identifié. Il réside souvent dans la prolifération d’usages non déclarés : assistants IA utilisés sans validation, outils de traduction ou de résumé alimentés avec des informations confidentielles, générateurs de code non approuvés, solutions métiers testées hors du circuit achats, extensions intégrées à des environnements collaboratifs sans évaluation préalable.

Cette dynamique de shadow IT est particulièrement forte avec l’IA générative, car les outils sont facilement accessibles, peu coûteux au départ et immédiatement utiles pour les collaborateurs. Mais elle crée des risques majeurs : fuite de données, atteinte au secret des affaires, non-respect du RGPD, violation de règles contractuelles, dépendance à des fournisseurs non référencés, absence de traçabilité, impossibilité d’auditer les usages, ou encore exposition à des résultats inexacts utilisés dans des processus sensibles. À terme, cela peut même mettre en danger le savoir-faire au sein d’une organisation.

Il faut comprendre que l’efficacité de l’IA est intrinsèquement liée aux données d’entraînement et aux données d’entrée (phénomène de « garbage in, garbage out », c’est-à-dire que de mauvaises données peuvent compromettre les performances et la fiabilité d’un système d’IA), d’où l’importance de la gouvernance des données prévue par l’AI Act, notamment pour les systèmes à haut risque (article 10). L’IA fonctionne sur un système d’apprentissage automatique et d’entraînement : si un modèle est entraîné ou affiné sur des données confidentielles ou des données érronées, ces dernières peuvent potentiellement réapparaître dans les sorties si elles ne sont pas protégées, tout comme les données à caractère personnel en l’absence de bases légales et de garanties suffisantes.

L’AI Act peut être utilisé comme un levier de prise, ou de reprise, de contrôle. Il justifie la mise en place d’un inventaire des systèmes et des usages de l’IA, d’un processus de déclaration des cas d’usage, d’une classification des risques, d’un circuit d’approbation proportionné, d’une politique d’utilisation des outils d’IA générative et d’une procédure d’escalade pour les projets sensibles. Ces mesures s’inscrivent pleinement dans les exigences de gestion des risques, de gouvernance et de transparence portées par l’AI Act, et viennent compléter les obligations issues du RGPD et du droit de la protection des secrets d’affaires.

En effet, il devient primordial pour les entreprises de mettre en place des chartes et des politiques IA. Nous avons vu ce phénomène avec l’essor du télétravail durant la période Covid et post-Covid, avec la mise en place des chartes de télétravail, et un mouvement similaire est en train de s’opérer pour encadrer les usages de l’IA, en particulier de l’IA générative. L’objectif n’est pas de bloquer l’innovation. Il est au contraire de la rendre gouvernable. Une entreprise qui interdit l’utilisation des outils d’intelligence artificielle sans discernement encouragera les usages cachés. Une entreprise qui encadre intelligemment, avec des outils approuvés, des règles simples, des formations pratiques et des circuits rapides de validation, réduira le shadow IT tout en favorisant l’adoption responsable de l’IA. Elle sera, en outre, mieux positionnée pour démontrer sa conformité à l’AI Act et au RGPD, et pour documenter les décisions prises en cas de contrôle des autorités nationales de surveillance et du Bureau de l’IA ou de contentieux.

Articuler l’AI Act avec les autres réglementations numériques : une opportunité

L’articulation de l’AI Act avec les autres textes du corpus numérique européen constitue une source de complexité, mais aussi une opportunité de rationalisation. Un même projet IA peut relever simultanément du RGPD lorsqu’il implique des données personnelles, du Data Act lorsqu’il repose sur des flux de données ou des relations contractuelles de partage, du DSA lorsqu’il est intégré à une plateforme, de DORA lorsqu’il est utilisé par une entité financière dans un contexte de résilience numérique, de NIS2 lorsqu’il touche à des fonctions critiques, ou encore de réglementations sectorielles propres à la santé, à la finance, aux télécommunications ou aux infrastructures essentielles.

Cette superposition ne doit pas conduire à une accumulation de comités et de questionnaires déconnectés. Elle doit au contraire encourager les entreprises à bâtir une gouvernance intégrée. L’AI Act peut en être le pilier, car il fournit une taxinomie des risques, une logique documentaire, une exigence de supervision et une méthode de cycle de vie. Autour de ce socle peuvent venir s’ajouter les exigences issues du RGPD, de la cybersécurité, de la résilience opérationnelle, du droit des contrats, de la propriété intellectuelle et des normes sectorielles.

Ce n’est donc pas un hasard que la Commission européenne ait choisi de positionner l’AI Act au cœur du paquet législatif numérique, l’Omnibus ayant vocation à harmoniser et à articuler certaines obligations administratives imposées par ces textes (notifications, contrôles, mécanismes de coopération entre autorités, obligations de transparence, etc.). L’objectif n’est pas seulement de créer un cadre supplémentaire, mais de rendre plus lisible et plus cohérent l’ensemble des exigences applicables aux systèmes d’IA et à leurs données.

L’expérience du RGPD est ici très utile. Les groupes les plus avancés n’ont pas simplement constitué des registres de traitements pour répondre à l’article 30 du règlement. Ils ont progressivement utilisé ce registre comme un outil de gouvernance de la donnée, alimentant les analyses d’impact, les politiques de conservation, les revues contractuelles, les procédures de sécurité et les programmes internationaux de conformité. La même méthode peut s’appliquer à l’IA : l’inventaire des systèmes IA et la documentation établie et conservée par les fournisseurs peut devenir la base de pilotage de l’ensemble des obligations juridiques, éthiques, opérationnelles, financières et cyber, liées à l’intelligence artificielle.

Des zones d’incertitude qui renforcent le besoin de gouvernance

Le calendrier d’entrée en application du règlement a été progressif depuis 2024, avec des obligations déjà applicables depuis début 2025, notamment sur les pratiques interdites en vertu de l’article 5 de l’AI Act dont les dispositions ainsi qu’une obligation de maîtrise de l’IA (AI literacy) (article 4 de l’AI Act dont les dispositions sont enrichies avec l’Omnibus numérique sur l’IA). D’autres exigences entreront en application selon un phasage différencié, en fonction des catégories de systèmes et des rôles des acteurs.

La publication le 24 juillet dernier de l’Omnibus numérique sur IA a modifié le calendrier des règles applicables à certains systèmes à haut risque, avec de nouvelles dates prévues au 2 décembre 2027 pour les systèmes autonomes à haut risque (article 6(2)) et au 2 août 2028 pour les systèmes à haut risque intégrés à des produits et destinés à être utilisés comme composants de sécurité (article 6(1)).

Ces évolutions ne doivent pas être interprétées comme une invitation à ralentir. Elles confirment au contraire que la conformité IA sera un chantier de durée, appelé à évoluer au gré des actes d’exécution (de la Commission), des lignes directrices, des standards harmonisés et des pratiques des autorités (en particulier le Bureau de l’IA et les autorités nationales de surveillance du marché).

En effet, la Commission européenne justifie ce décalage de certaines échéances par la nécessité de laisser aux opérateurs le temps de mettre en place des dispositifs robustes de gouvernance, de gestion des risques et de conformité, et de développer ou adapter leurs systèmes d’IA dans l’esprit de l’AI Act avant le début effectif des contrôles. L’objectif affiché n’est pas d’affaiblir les exigences, mais de permettre une mise en œuvre progressive, réaliste et alignée sur l’état de l’art, dans un contexte où les acteurs industriels, notamment les grands acteurs technologiques, ont appelé à un ajustement du calendrier pour éviter un décalage trop important entre innovation et régulation.

Pour les déployeurs comme pour les fournisseurs, cette période transitoire doit être considérée comme une fenêtre d’opportunité : structurer la gouvernance IA, cartographier les systèmes, prioriser les cas d’usage, en particulier à haut risque, élaborer les politiques et les procédures internes, et tester les dispositifs de conformité avant que l’ensemble des obligations ne devienne pleinement opposable.

Faire de l’AI Act un avantage de gouvernance

L’AI Act ne doit donc pas être perçu comme un frein à l’innovation. Il peut devenir un avantage de gouvernance pour les entreprises qui l’utilisent comme un cadre de structuration des projets IA. En imposant une logique de risques, de documentation, de transparence, de supervision et de responsabilité, il oblige les organisations à se poser les bonnes questions au bon moment.

Sa véritable valeur dépasse de loin la conformité. Le règlement peut aider les entreprises à sélectionner les bons cas d’usage, éviter les expérimentations coûteuses et risquées, réduire le shadow IT, mieux encadrer les fournisseurs, renforcer la confiance des utilisateurs et articuler l’IA avec les autres exigences réglementaires émergentes.

Comme le RGPD l’a fait pour la gouvernance de la donnée, l’AI Act peut devenir le socle d’une gouvernance mondiale de l’intelligence artificielle. À condition toutefois de ne pas le traiter comme une contrainte juridique isolée, mais comme un cadre de management : un outil de décision, d’éthique, de maîtrise des coûts, de gestion des risques et de pilotage durable de l’innovation.

En définitive, pour toutes les entreprises, on peut imaginer qu’une gouvernance IA efficace reposera sur 5 piliers fondamentaux :

• Un contrôle régulier des fournisseurs.
• Une cartographie des usages.
• Une classification des risques.
• Une documentation complète.
• Une recherche de maîtrise des coûts.

---

Questions fréquentes

Qui est concerné par l’AI Act ?

L’AI Act concerne les fournisseurs, déployeurs, importateurs et distributeurs de systèmes d’intelligence artificielle. Son champ d’application dépasse les frontières de l’Union européenne : une entreprise établie hors UE peut être soumise au règlement dès lors qu’elle met des systèmes d’IA sur le marché européen ou que les résultats produits par ces systèmes sont utilisés dans l’Union. Les entreprises utilisatrices doivent donc également évaluer leurs obligations au regard des usages qu’elles déploient.

Que sont les systèmes à haut risque ?

Les systèmes d’IA à haut risque sont ceux dont l’utilisation est susceptible d’avoir un impact significatif sur la santé, la sécurité ou les droits fondamentaux des personnes. Sont notamment concernés certains cas d’usage liés à l’emploi, au crédit, à la santé, à l’accès à des services essentiels ou encore à la sécurité. Ces systèmes sont soumis à des exigences renforcées en matière de gestion des risques, de documentation, de supervision humaine et de gouvernance.

L’AI Act s’applique-t-il hors UE ?

Oui. Comme le RGPD, l’AI Act a une portée extraterritoriale. Une entreprise non européenne peut être concernée lorsqu’elle commercialise ou met à disposition des systèmes d’IA dans l’Union européenne ou lorsque les résultats produits par ces systèmes sont utilisés sur le territoire européen. Cette approche vise à garantir un niveau homogène de protection au sein du marché unique.

Une entreprise utilisatrice est-elle concernée ?

Oui. Même lorsqu’elle n’est pas fournisseur d’un système d’IA, une entreprise peut être qualifiée de déployeur ou d’opérateur et être soumise à certaines obligations. Celles-ci varient selon le niveau de risque du système utilisé et le contexte de son utilisation. Les organisations ont donc intérêt à inventorier leurs usages, à évaluer les risques associés et à mettre en place un cadre de gouvernance adapté.

Quels sont les risques en cas de non-conformité ?

Le règlement prévoit des sanctions financières pouvant atteindre plusieurs millions d’euros ou un pourcentage significatif du chiffre d’affaires mondial selon la nature du manquement. Au-delà des sanctions administratives, une non-conformité peut entraîner des coûts de remédiation, des risques contentieux, des atteintes à la réputation ou encore la nécessité de retirer ou remplacer certains outils d’IA déployés dans l’organisation.

L’AI Act est-il une contrainte ou une opportunité pour les entreprises ?

Si l’AI Act crée de nouvelles obligations, il peut également constituer un levier de transformation. En structurant les pratiques autour de la gestion des risques, de la transparence, de la documentation et de la responsabilité, il offre aux organisations l’opportunité de bâtir une gouvernance plus robuste, de renforcer la confiance des parties prenantes et de sécuriser le développement de leurs projets d’intelligence artificielle.