IA Act : pourquoi les entreprises qui se concentrent sur la conformité risquent de passer à côté de l'essentiel

EN RÉSUMÉ

L’IA Act est souvent présenté comme le premier grand texte européen encadrant l’intelligence artificielle. Les débats se concentrent sur les catégories de risques, les obligations de transparence, la documentation attendue ou les sanctions. Cette lecture est indispensable, mais elle ne dit pas tout.

L’intelligence artificielle s’est diffusée dans les organisations selon une dynamique inhabituelle : les usages ont précédé la stratégie, les expérimentations ont précédé la gouvernance et, dans de nombreux métiers, l’adoption a précédé la décision formelle de l’entreprise.

Le défi qui s’ouvre pour les dirigeants dépasse donc la conformité. Il consiste à définir dans quelles situations l’IA peut influencer une décision, qui en conserve la responsabilité, quel niveau de supervision humaine est attendu et comment l’entreprise transforme des initiatives dispersées en capacité collective.

La gouvernance de l’IA ne doit pas être conçue comme un frein. Lorsqu’elle clarifie les règles du jeu, différencie les contrôles selon les risques et organise l’apprentissage, elle permet au contraire d’expérimenter plus vite et de déployer les usages les plus utiles avec davantage de confiance.

Une réglementation peut-elle transformer la manière dont une entreprise se dirige ?

Lorsqu’un nouveau règlement entre en vigueur, la réaction des entreprises est généralement prévisible. Les directions juridiques interprètent le texte, les équipes conformité évaluent l’exposition au risque, les métiers recensent les adaptations nécessaires et un programme est lancé pour produire les procédures, les contrôles et la documentation attendus. Cette mécanique a une vertu évidente : elle rend un sujet complexe administrable. Elle peut aussi créer une illusion, celle qu’une fois les livrables achevés, la transformation l’est également.

L’expérience du RGPD invite à davantage de prudence. Au moment de son application, le débat portait d’abord sur le consentement, les registres de traitement, les mentions d’information ou le niveau des sanctions. Ces sujets n’ont pas disparu, mais le règlement a produit des effets plus larges : il a conduit les organisations à mieux connaître leurs flux de données, à clarifier la responsabilité des traitements, à rapprocher le juridique, la technologie et les métiers, puis à intégrer la protection des données dans la conception même de nombreux services. Le chantier de conformité a progressivement révélé un sujet de gouvernance.

L’IA Act pourrait suivre une trajectoire comparable, avec une différence de taille. Il n’arrive pas face à une technologie encore cantonnée à quelques projets pilotes. Il intervient au moment où l’intelligence artificielle, notamment générative, s’installe déjà dans les gestes ordinaires du travail : rechercher, résumer, traduire, rédiger, analyser, coder, recommander ou préparer une décision. La réglementation ne précède donc pas la transformation. Elle tente de donner un cadre à une transformation qui a commencé sans elle.

C’est pourquoi la question la plus utile pour un dirigeant n’est pas seulement de savoir ce que l’entreprise doit faire pour se conformer au texte. Elle est de comprendre ce que ce texte révèle de son propre fonctionnement : qui décide des usages, comment sont appréciés les risques, où se situe la responsabilité lorsque le jugement humain s’appuie sur une recommandation algorithmique, et par quels mécanismes les apprentissages locaux deviennent une capacité partagée.

L’IA Act en quelques mots — et au bon niveau de lecture

Le règlement européen 2024/1689 établit un cadre harmonisé pour le développement, la mise sur le marché, la mise en service et l’utilisation des systèmes d’intelligence artificielle dans l’Union. Son architecture repose sur une logique de risque : certaines pratiques sont interdites, les systèmes considérés à haut risque font l’objet d’exigences renforcées, et plusieurs usages sont soumis à des obligations de transparence. Le texte distingue également les responsabilités des fournisseurs, des importateurs, des distributeurs et des organisations qui déploient des systèmes d’IA.

Le calendrier est progressif. Le règlement est entré en vigueur le 1er août 2024. Les pratiques interdites et les dispositions relatives à la littératie en matière d’IA s’appliquent depuis le 2 février 2025 ; les règles de gouvernance et les obligations portant sur les modèles d’IA à usage général depuis le 2 août 2025 ; la majorité des autres dispositions doit s’appliquer à compter du 2 août 2026. À la date de publication de cette note, le calendrier de certains systèmes à haut risque fait par ailleurs l’objet d’ajustements législatifs dans le cadre des travaux européens de simplification.

Pour une entreprise qui ne développe pas elle-même de modèle, la tentation est grande d’en conclure que le règlement concerne surtout les éditeurs technologiques. Ce serait négliger la place accordée aux déployeurs, c’est-à-dire aux organisations qui utilisent un système d’IA sous leur propre autorité. Une entreprise peut être éloignée de la conception du modèle tout en restant pleinement responsable du contexte dans lequel elle l’intègre, des personnes affectées par son usage et des décisions prises à partir de ses résultats.

Cette portée devient d’autant plus importante que l’adoption s’accélère. En 2025, 20 % des entreprises de l’Union européenne employant au moins dix personnes déclaraient utiliser des technologies d’IA, contre 13,5 % un an plus tôt. La proportion atteignait 55 % parmi les grandes entreprises et 19 % parmi les PME. Ces chiffres ne capturent pas nécessairement l’ensemble des usages informels d’outils génératifs, mais ils donnent la mesure d’un basculement : l’IA n’est plus une hypothèse réservée aux organisations les plus avancées.

Le texte européen apporte donc une grille juridique indispensable, sans fournir à lui seul le modèle d’organisation qui permettra de gouverner l’IA au quotidien. C’est dans cet écart, entre les obligations du règlement et la réalité des pratiques, que se situe le travail des dirigeants.

Une transformation qui a commencé avant la stratégie

Les grandes vagues de transformation numérique ont longtemps suivi une séquence relativement stable. Une entreprise identifiait un besoin, sélectionnait une solution, construisait un business case, organisait un programme, puis accompagnait les équipes dans l’adoption. Les ERP, les CRM, les plateformes collaboratives ou le cloud ont connu des trajectoires différentes, mais la décision institutionnelle précédait généralement la diffusion des usages.

L’IA générative a inversé cette chronologie. Dans de nombreuses organisations, aucun comité exécutif n’a décidé que des centaines de collaborateurs utiliseraient un assistant conversationnel pour préparer un document, structurer une analyse ou accélérer une tâche. L’adoption s’est faite par capillarité. Un salarié a testé un outil, puis l’a partagé avec son équipe ; un manager a intégré une nouvelle pratique à son quotidien ; un métier a souscrit à une solution spécialisée avant que l’entreprise ne dispose d’une politique commune.

Chaque initiative, prise isolément, paraît modeste. Leur accumulation modifie pourtant la manière dont l’information est produite, dont les problèmes sont formulés et dont les décisions sont préparées. Une partie de la transformation se déroule ainsi en dehors des programmes officiels, dans une zone intermédiaire entre l’expérimentation légitime et l’usage non maîtrisé. L’enjeu n’est pas de condamner cette dynamique : elle est précisément ce qui rend l’IA féconde. Il est de reconnaître que l’organisation ne peut gouverner ce qu’elle ne voit pas et ne peut apprendre de ce qu’elle ne met jamais en commun.

Cette diffusion ascendante change la nature du pilotage. La direction n’a plus seulement à décider quels outils déployer. Elle doit établir les conditions dans lesquelles des milliers de microdécisions pourront être prises de manière cohérente : quelles informations peuvent être transmises à un système, quels résultats exigent une vérification, quels usages doivent être déclarés, à partir de quel niveau d’impact un arbitrage devient nécessaire.

La réglementation n’arrive pas au début de la transformation. Elle oblige l’entreprise à reprendre la maîtrise d’un mouvement qui est déjà engagé.

Le piège du projet de conformité

Face à cette situation, la réponse la plus immédiate consiste souvent à créer un chantier de conformité. L’entreprise recense les outils, rédige une charte, définit une liste de solutions autorisées, organise une sensibilisation et met en place un comité de validation. Ces mesures sont utiles. Certaines seront indispensables. Leur faiblesse apparaît lorsqu’elles sont conçues comme l’aboutissement du travail plutôt que comme son point de départ.

Une politique interne peut préciser qu’un collaborateur ne doit pas transmettre de données sensibles à un service public d’IA générative. Elle ne dit pas nécessairement comment une équipe doit évaluer un cas d’usage, comment un manager arbitre entre un gain de productivité et un risque de qualité, ou à quel moment une expérimentation locale mérite d’être industrialisée. Une liste d’outils approuvés réduit l’exposition technique, mais ne garantit ni la pertinence de l’usage ni la fiabilité de la décision qui en découle.

Le risque est alors double. D’un côté, une gouvernance trop défensive peut pousser les usages dans l’ombre : lorsque le cadre est perçu comme impraticable, les équipes contournent les processus ou renoncent à partager leurs expérimentations. De l’autre, un dispositif essentiellement documentaire peut donner à la direction un sentiment de maîtrise alors que les questions les plus importantes restent ouvertes. La conformité devient un écran entre l’organisation et sa propre transformation.

La distinction décisive tient dans la nature des questions posées. La conformité demande si un système peut être utilisé dans un cadre donné et quelles obligations doivent être respectées. La transformation demande pourquoi l’utiliser, quelle décision il améliore, quel processus doit évoluer, quel contrôle humain demeure nécessaire et comment la valeur créée sera mesurée. Les deux lectures sont complémentaires. Les confondre revient à demander au droit de produire à lui seul une stratégie d’entreprise.

L’intelligence artificielle redistribue le pouvoir de décision

La portée organisationnelle de l’IA tient moins à sa capacité à automatiser des tâches qu’à sa capacité à intervenir dans la formation du jugement. Un système ne se contente plus d’exécuter une règle préalablement définie. Il peut proposer une formulation, hiérarchiser des informations, identifier une anomalie, recommander une action ou produire une synthèse qui orientera la suite du raisonnement. Même lorsque la décision finale reste humaine, la manière dont elle est préparée change.

Ce déplacement touche directement la répartition du pouvoir dans l’entreprise. Pendant longtemps, les choix technologiques étaient concentrés dans des projets identifiables, portés par la direction des systèmes d’information et encadrés par des processus d’investissement. L’accès à l’IA générative place désormais des capacités avancées entre les mains de chaque métier. Un recruteur peut reformuler une annonce, un commercial préparer une proposition, un juriste synthétiser une documentation, un responsable marketing produire des variantes, un contrôleur de gestion interroger un jeu de données. La technologie se rapproche du lieu où la décision est prise.

Cette démocratisation est une opportunité, car elle réduit la distance entre un problème et la capacité à l’explorer. Elle crée aussi une responsabilité nouvelle : l’entreprise doit décider ce qu’elle accepte de déléguer, à quel niveau de fiabilité et sous quelle supervision. La question ne porte donc pas uniquement sur les systèmes. Elle porte sur l’autonomie accordée à leurs utilisateurs et sur les conséquences que l’organisation est prête à assumer.

Deux collaborateurs peuvent utiliser le même modèle avec des niveaux de risque radicalement différents. Le premier lui demande de reformuler un message interne, puis relit le résultat. Le second s’en sert pour évaluer des candidatures ou préparer une réponse engageant l’entreprise, sans contrôle suffisant. L’outil est identique ; la finalité, les personnes affectées, la criticité de l’erreur et le niveau de supervision ne le sont pas. Gouverner l’IA à partir du seul catalogue technologique revient donc à observer le mauvais objet.

Une entreprise ne gouverne pas réellement un outil. Elle gouverne les décisions prises avec cet outil, les responsabilités qui les entourent et les conséquences qu’elles produisent.

Gouverner les usages plutôt que les outils

Partir des décisions et de leurs effets

La première étape d’une gouvernance utile n’est pas d’établir l’inventaire le plus exhaustif possible des solutions disponibles. Elle consiste à comprendre où l’IA intervient dans la chaîne de valeur, quelles décisions elle prépare ou automatise, quelles données elle mobilise et qui peut être affecté par son résultat. Cette cartographie par les usages permet de distinguer une aide à la rédaction à faible enjeu d’un système influençant le recrutement, l’octroi d’un avantage, la sécurité d’une installation ou la relation avec un client vulnérable.

Ce changement de focale simplifie paradoxalement le pilotage. Il devient possible d’appliquer un principe de proportionnalité : plus un usage est réversible, transparent et faiblement impactant, plus l’expérimentation peut être légère ; plus il touche aux droits, à la sécurité, à la réputation ou à une décision difficilement réversible, plus les exigences de validation, de documentation et de contrôle doivent être élevées. La gouvernance cesse alors d’être uniforme. Elle devient adaptée au risque réel.

Clarifier ce qui peut être délégué — et ce qui ne peut pas l’être

La supervision humaine ne peut pas se réduire à la présence formelle d’une personne à la fin d’un processus. Pour être effective, elle suppose que cette personne comprenne le rôle du système, connaisse ses limites, dispose du temps nécessaire pour contester son résultat et puisse réellement interrompre ou corriger la décision. Une validation mécanique n’est pas un contrôle ; c’est une délégation dont l’entreprise refuse de prononcer le nom.

Chaque cas d’usage structurant devrait donc expliciter la répartition des responsabilités : qui porte la finalité métier, qui évalue les risques, qui vérifie la qualité des données, qui décide du passage à l’échelle et qui répond du résultat. Cette clarification évite que l’IA ne crée une zone de dilution, dans laquelle le métier se déclare dépendant de l’outil tandis que la technologie rappelle qu’elle n’est pas propriétaire de la décision.

Faire de la littératie IA une compétence de décision

L’article 4 de l’IA Act impose aux fournisseurs et aux déployeurs de prendre des mesures pour assurer un niveau suffisant de littératie en matière d’IA chez les personnes qui utilisent ces systèmes pour leur compte, en tenant compte de leurs connaissances, de leur expérience et du contexte d’utilisation. Cette obligation est parfois traduite trop rapidement par la mise à disposition d’un module générique de sensibilisation. Or, savoir définir l’intelligence artificielle ne suffit pas à l’utiliser avec discernement.

La compétence attendue n’est pas la même pour un membre du comité exécutif, un acheteur, un développeur, un chargé de clientèle ou un responsable RH. Chacun doit comprendre les risques et les possibilités propres aux décisions qu’il prend. Une stratégie de littératie crédible est donc contextualisée : elle associe des principes communs à des apprentissages par métier, des exemples concrets, des espaces de discussion et la capacité à signaler un doute sans bloquer le travail.

Cette approche transforme la formation en infrastructure de gouvernance. Elle ne cherche pas seulement à prévenir les erreurs ; elle améliore la qualité des usages, facilite la remontée des signaux faibles et permet aux équipes de mieux formuler les cas d’usage qui méritent un investissement.

Organiser l’apprentissage collectif

La plupart des organisations ne manquent déjà plus d’idées. Elles manquent de mécanismes pour distinguer une démonstration séduisante d’un usage réellement créateur de valeur. Sans portefeuille commun, les expérimentations se multiplient, les mêmes problèmes sont résolus plusieurs fois et les retours d’expérience restent enfermés dans les équipes qui les ont produits.

Gouverner l’IA implique alors de traiter les cas d’usage comme un portefeuille : les documenter à un niveau proportionné, les prioriser selon leur valeur et leur risque, mesurer ce qu’ils changent réellement, puis décider lesquels doivent être abandonnés, améliorés ou industrialisés. Cette discipline est moins spectaculaire que le lancement d’un nouvel outil, mais elle conditionne la capacité à passer de gains individuels ponctuels à une amélioration durable de la performance collective.

Une gouvernance conçue pour accélérer

Le mot gouvernance évoque souvent une couche supplémentaire de procédures. Cette association n’est pas inévitable. Dans un environnement incertain, la vitesse ne vient pas de l’absence de règles ; elle vient de règles suffisamment claires pour éviter de renégocier chaque décision depuis le début.

Une gouvernance mature peut ainsi ouvrir des espaces d’expérimentation pour les usages à faible risque, mettre à disposition des outils approuvés, proposer des modèles de documentation simples et rendre visibles les interlocuteurs capables d’aider une équipe. À l’inverse, elle concentre l’attention des experts sur les situations qui le justifient réellement : décisions à fort impact, données sensibles, automatisation substantielle, exposition réglementaire ou effets sur des personnes.

Cette différenciation protège l’innovation contre deux excès symétriques. Le premier consiste à laisser chaque équipe improviser, au prix d’une fragmentation croissante. Le second consiste à appliquer le niveau de contrôle le plus élevé à toute expérimentation, jusqu’à rendre le cadre inutilisable. Entre les deux, une gouvernance fondée sur des principes, des seuils et des voies d’escalade permet aux métiers de savoir ce qu’ils peuvent faire seuls, ce qu’ils doivent documenter et quand ils ont besoin d’un arbitrage.

La confiance acquise devient alors un accélérateur. Les collaborateurs expérimentent davantage lorsqu’ils connaissent les limites. Les responsables investissent plus volontiers lorsqu’ils comprennent les mécanismes de contrôle. Les cas d’usage utiles circulent plus vite lorsque leur qualité et leurs conditions d’emploi sont explicites. Le cadre n’est plus l’adversaire de l’innovation ; il est ce qui lui permet de changer d’échelle.

De la conformité à l’avantage concurrentiel

À court terme, la gouvernance de l’IA sera souvent déclenchée par la réglementation. À moyen terme, elle pourrait devenir une capacité différenciante. À mesure que les modèles, les assistants et les fonctionnalités d’IA deviennent accessibles à un nombre croissant d’entreprises, l’avantage se déplace. Il réside moins dans la possession d’un outil que dans la capacité à l’intégrer dans un processus, à faire évoluer les rôles, à mesurer la valeur produite et à diffuser les apprentissages.

Une organisation peut multiplier les licences, les pilotes et les annonces sans transformer son fonctionnement. Une autre peut concentrer ses efforts sur quelques décisions structurantes, associer les équipes concernées, définir une supervision crédible, améliorer les processus et capitaliser sur les résultats. La seconde utilisera peut-être moins d’outils. Elle produira davantage de valeur.

La gouvernance devient ainsi une composante de la performance. Elle réduit le coût des initiatives redondantes, limite les risques d’usages non maîtrisés, accélère la sélection des projets pertinents et construit la confiance nécessaire à leur adoption. Surtout, elle développe une aptitude que les concurrents reproduisent difficilement : la capacité d’apprendre collectivement à travailler avec l’IA.

C’est probablement là que se jouera une partie de l’écart entre les entreprises au cours des prochaines années. Non entre celles qui utilisent l’intelligence artificielle et celles qui ne l’utilisent pas, mais entre celles qui accumulent des usages et celles qui savent les transformer en un modèle opératoire cohérent.

Ce que l’IA Act révèle réellement

Le règlement européen oblige les entreprises à regarder plus attentivement les systèmes qu’elles développent ou déploient. Sa portée la plus durable pourrait toutefois se mesurer ailleurs : dans la clarification des responsabilités, dans la qualité des arbitrages et dans la manière dont les organisations accepteront de partager — ou non — une partie de leur pouvoir de décision avec des systèmes d’intelligence artificielle.

La conformité restera indispensable. Elle fournira des obligations, des échéances et des mécanismes de preuve. Mais elle ne répondra pas seule aux questions que la technologie pose au fonctionnement de l’entreprise. Quel degré d’autonomie voulons-nous accorder à un système ? Quelles décisions doivent demeurer pleinement humaines ? Comment un collaborateur peut-il contester un résultat ? Qui est responsable lorsqu’une recommandation automatisée influence une action ? Comment mesurer la valeur sans réduire la performance au temps économisé ?

Ces questions ne relèvent ni exclusivement du juridique, ni exclusivement de la DSI, ni exclusivement des métiers. Elles appellent une gouvernance transversale, capable d’articuler stratégie, risques, technologie, données, compétences et transformation des processus. Elles appellent aussi une implication claire de la direction générale, parce qu’elles touchent à la manière dont l’entreprise entend exercer son jugement.

L’IA Act peut être traité comme une nouvelle obligation à absorber. Il peut aussi servir de point de départ à une réflexion plus ambitieuse : définir les conditions dans lesquelles l’intelligence artificielle contribuera réellement à la performance sans affaiblir la responsabilité, la confiance et la capacité de décision de l’organisation.

La question décisive n’est donc plus seulement : « Sommes-nous conformes ? » Elle devient : « Quelle entreprise voulons-nous devenir lorsque l’intelligence artificielle intervient dans une part croissante de nos décisions ? »

LE REGARD DE DIGITALIE

digitalie accompagne les directions qui souhaitent passer d’initiatives dispersées à une démarche structurée : cartographie des usages, priorisation des cas d’usage, définition d’un cadre de gouvernance, feuille de route et accompagnement de l’adoption.

L’objectif n’est pas d’ajouter une couche de contrôle, mais de construire un modèle opératoire qui permette d’expérimenter, d’arbitrer et de déployer l’IA avec davantage de clarté.

Un échange de 30 minutes peut permettre de situer la maturité de votre organisation et d’identifier les premières décisions à prendre.

Sources et précisions

1. Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 (AI Act), EUR-Lex.

2. Commission européenne, « Législation sur l’IA » et calendrier d’application, consultés en juillet 2026.

3. Eurostat, Digitalisation in Europe – 2026 edition : adoption de l’IA par les entreprises en 2025.

4. Commission européenne, « AI Literacy – Questions & Answers », article 4 de l’AI Act.

Précision juridique. Cette note propose une lecture stratégique et organisationnelle de l’IA Act. Elle ne constitue pas un avis juridique. Les obligations applicables dépendent du rôle de l’organisation, du système concerné, de sa finalité et de son secteur ; elles doivent être vérifiées au cas par cas, en particulier dans un contexte d’évolution du calendrier de certaines dispositions.