Alexandre Lazarègue, avocat au barreau de Paris, spécialisé en droit du numérique
Le 2 août prochain, une nouvelle étape du règlement européen sur l'intelligence artificielle entre en application. Beaucoup d'entreprises y voient une strate réglementaire de plus, après le RGPD. C'est passer à côté de l'essentiel.
Les obligations de transparence et le régime de sanctions deviennent alors applicables, tandis que le volet consacré aux systèmes à haut risque a été reporté. Mais le changement de fond n'est pas de nature normative : il est managérial. À compter de cette date, l'intelligence artificielle cesse d'être un sujet d'innovation ou de productivité pour devenir un sujet de gouvernance, dont le dirigeant doit répondre.
Depuis l'arrivée de ChatGPT, l'adoption de l'IA s'est faite à un rythme inédit et le plus souvent par le bas. Elle ne s'est décidée dans aucun comité exécutif. Ici, un collaborateur a ouvert un compte. Là, une équipe a souscrit un abonnement. Ailleurs, un éditeur de logiciels a glissé une fonctionnalité d'IA dans une mise à jour. En quelques mois, l'intelligence artificielle est entrée dans les directions juridiques, les ressources humaines, les forces commerciales, les équipes informatiques et l'ensemble des fonctions support — souvent sans politique interne, parfois sans que la direction générale en ait une vision précise.
L'expérimentation autorisait ce désordre. Le temps de la gouvernance ne l'autorisera pas.
Peu d'entreprises savent ce qu'elles utilisent
La question que se posent la plupart des dirigeants est de savoir si leur entreprise est concernée par l'AI Act. Elle est légitime, mais elle n'est pas la première. La première est de savoir quels systèmes d'intelligence artificielle sont réellement utilisés dans l'entreprise.
C'est là que se situe l'obstacle. Rares sont les entreprises capables aujourd'hui d'établir une cartographie complète de leurs usages. Combien d'applications intégrant de l'IA sont utilisées par les collaborateurs ? Quels fournisseurs interviennent en amont, parfois à l'insu de l'utilisateur lui-même ? Quels traitements pèsent sur une décision commerciale, un recrutement, une analyse financière ?
Ces questions élémentaires restent le plus souvent sans réponse. Or il deviendra difficile de soutenir longtemps que l'on ignorait ce qui était utilisé dans sa propre entreprise.
La conformité commence avant le droit
L'AI Act est souvent abordé comme un texte technique. En pratique, la difficulté n'est pas de comprendre le règlement : elle est de reprendre le contrôle d'usages qui se sont diffusés vite, et de façon décentralisée.
Rédiger une politique interne ou apprécier le niveau de risque d'un système suppose de savoir, en amont, quels outils circulent, comment ils fonctionnent, quelles données ils traitent et à quelles décisions ils contribuent. La première étape de la conformité est donc moins juridique qu'organisationnelle.
Le RGPD avait déjà produit ce partage. En 2018, les entreprises qui ont commencé par inventorier leurs traitements ont construit une conformité cohérente ; les autres ont accumulé de la documentation sans maîtriser leurs pratiques. La même ligne se dessine aujourd'hui avec l'intelligence artificielle.
Qui en assume la responsabilité ?
Le pilotage de ces sujets s'en trouve également déplacé. L'intelligence artificielle ne relève plus de la seule direction informatique : elle engage la direction juridique, le DPO, la sécurité des systèmes d'information, les métiers et, désormais, la direction générale.
Les conséquences d'un système d'IA débordent en effet largement la dimension technique. Elles touchent à la protection des données, aux droits fondamentaux, à la propriété intellectuelle, à la cybersécurité, aux relations de travail et à la responsabilité civile de l'entreprise. Peu d'organisations disposent aujourd'hui d'une gouvernance à la mesure de cette transversalité.
La question n'est plus de savoir qui déploie l'outil, mais qui en assume la responsabilité.
La cartographie comme instrument de pilotage
L'AI Act ne se réduit pourtant pas à un exercice de conformité. Le travail qu'il impose — identifier ses usages, clarifier les responsabilités, documenter ses processus — produit un bénéfice qui dépasse largement le rapport au régulateur.
Une entreprise qui sait quels outils circulent chez elle, quelles données ils traitent et qui en assure la supervision peut décider vite : elle évalue un nouvel outil en quelques jours plutôt qu'en quelques semaines, répond sans délai aux questions d'un client sur le traitement de ses données et engage ses investissements technologiques en connaissance de cause. Ce qui est perçu comme une formalité préalable devient un instrument de pilotage.
Cette exigence ne viendra d'ailleurs pas seulement des autorités de contrôle. Les donneurs d'ordre, les investisseurs, les assureurs et les partenaires commerciaux poseront progressivement les mêmes questions, comme ils le font déjà en matière de cybersécurité ou de protection des données. Savoir expliquer comment on utilise l'intelligence artificielle deviendra, dans les années qui viennent, un élément de la confiance que l'on inspire.
Par où commencer
Le 2 août 2026 n'entrave pas l'innovation. Il ouvre la période où celle-ci se conduit, plutôt qu'elle ne se diffuse.
Le point de départ tient en quatre questions, et non dans une politique interne de plusieurs dizaines de pages : où l'intelligence artificielle est-elle utilisée ? Quelles données lui sont confiées ? Quelles décisions influence-t-elle ? Qui en assure la supervision ?
Elles relèvent autant de la stratégie que du droit. C'est sans doute ce que l'AI Act aura de plus durable : avoir fait de l'intelligence artificielle, au-delà d'une technologie performante, un objet de gouvernance d'entreprise.
Les obligations de transparence et le régime de sanctions deviennent alors applicables, tandis que le volet consacré aux systèmes à haut risque a été reporté. Mais le changement de fond n'est pas de nature normative : il est managérial. À compter de cette date, l'intelligence artificielle cesse d'être un sujet d'innovation ou de productivité pour devenir un sujet de gouvernance, dont le dirigeant doit répondre.
Depuis l'arrivée de ChatGPT, l'adoption de l'IA s'est faite à un rythme inédit et le plus souvent par le bas. Elle ne s'est décidée dans aucun comité exécutif. Ici, un collaborateur a ouvert un compte. Là, une équipe a souscrit un abonnement. Ailleurs, un éditeur de logiciels a glissé une fonctionnalité d'IA dans une mise à jour. En quelques mois, l'intelligence artificielle est entrée dans les directions juridiques, les ressources humaines, les forces commerciales, les équipes informatiques et l'ensemble des fonctions support — souvent sans politique interne, parfois sans que la direction générale en ait une vision précise.
L'expérimentation autorisait ce désordre. Le temps de la gouvernance ne l'autorisera pas.
Peu d'entreprises savent ce qu'elles utilisent
La question que se posent la plupart des dirigeants est de savoir si leur entreprise est concernée par l'AI Act. Elle est légitime, mais elle n'est pas la première. La première est de savoir quels systèmes d'intelligence artificielle sont réellement utilisés dans l'entreprise.
C'est là que se situe l'obstacle. Rares sont les entreprises capables aujourd'hui d'établir une cartographie complète de leurs usages. Combien d'applications intégrant de l'IA sont utilisées par les collaborateurs ? Quels fournisseurs interviennent en amont, parfois à l'insu de l'utilisateur lui-même ? Quels traitements pèsent sur une décision commerciale, un recrutement, une analyse financière ?
Ces questions élémentaires restent le plus souvent sans réponse. Or il deviendra difficile de soutenir longtemps que l'on ignorait ce qui était utilisé dans sa propre entreprise.
La conformité commence avant le droit
L'AI Act est souvent abordé comme un texte technique. En pratique, la difficulté n'est pas de comprendre le règlement : elle est de reprendre le contrôle d'usages qui se sont diffusés vite, et de façon décentralisée.
Rédiger une politique interne ou apprécier le niveau de risque d'un système suppose de savoir, en amont, quels outils circulent, comment ils fonctionnent, quelles données ils traitent et à quelles décisions ils contribuent. La première étape de la conformité est donc moins juridique qu'organisationnelle.
Le RGPD avait déjà produit ce partage. En 2018, les entreprises qui ont commencé par inventorier leurs traitements ont construit une conformité cohérente ; les autres ont accumulé de la documentation sans maîtriser leurs pratiques. La même ligne se dessine aujourd'hui avec l'intelligence artificielle.
Qui en assume la responsabilité ?
Le pilotage de ces sujets s'en trouve également déplacé. L'intelligence artificielle ne relève plus de la seule direction informatique : elle engage la direction juridique, le DPO, la sécurité des systèmes d'information, les métiers et, désormais, la direction générale.
Les conséquences d'un système d'IA débordent en effet largement la dimension technique. Elles touchent à la protection des données, aux droits fondamentaux, à la propriété intellectuelle, à la cybersécurité, aux relations de travail et à la responsabilité civile de l'entreprise. Peu d'organisations disposent aujourd'hui d'une gouvernance à la mesure de cette transversalité.
La question n'est plus de savoir qui déploie l'outil, mais qui en assume la responsabilité.
La cartographie comme instrument de pilotage
L'AI Act ne se réduit pourtant pas à un exercice de conformité. Le travail qu'il impose — identifier ses usages, clarifier les responsabilités, documenter ses processus — produit un bénéfice qui dépasse largement le rapport au régulateur.
Une entreprise qui sait quels outils circulent chez elle, quelles données ils traitent et qui en assure la supervision peut décider vite : elle évalue un nouvel outil en quelques jours plutôt qu'en quelques semaines, répond sans délai aux questions d'un client sur le traitement de ses données et engage ses investissements technologiques en connaissance de cause. Ce qui est perçu comme une formalité préalable devient un instrument de pilotage.
Cette exigence ne viendra d'ailleurs pas seulement des autorités de contrôle. Les donneurs d'ordre, les investisseurs, les assureurs et les partenaires commerciaux poseront progressivement les mêmes questions, comme ils le font déjà en matière de cybersécurité ou de protection des données. Savoir expliquer comment on utilise l'intelligence artificielle deviendra, dans les années qui viennent, un élément de la confiance que l'on inspire.
Par où commencer
Le 2 août 2026 n'entrave pas l'innovation. Il ouvre la période où celle-ci se conduit, plutôt qu'elle ne se diffuse.
Le point de départ tient en quatre questions, et non dans une politique interne de plusieurs dizaines de pages : où l'intelligence artificielle est-elle utilisée ? Quelles données lui sont confiées ? Quelles décisions influence-t-elle ? Qui en assure la supervision ?
Elles relèvent autant de la stratégie que du droit. C'est sans doute ce que l'AI Act aura de plus durable : avoir fait de l'intelligence artificielle, au-delà d'une technologie performante, un objet de gouvernance d'entreprise.
