La question qui revient le plus souvent quand j'anime des ateliers conformité, ce n'est pas « que dit l'AI Act ? ». C'est : « combien ça va me coûter, et est-ce que je risque vraiment quelque chose ? » Question légitime. Et la réponse honnête, c'est que la facture dépend moins du texte de loi que de la façon dont vous avez construit vos outils.
Je travaille avec des PME et des ETI sur la mise en conformité depuis l'entrée en application du RGPD. J'ai vu des boîtes dépenser 400 000 euros en conseil pour un intranet RH, et d'autres s'en sortir avec 12 000 euros et trois semaines de travail interne. Le règlement n'était pas différent. Le point de départ l'était.
Ce que je constate depuis deux ans, c'est que les nouvelles régulations numériques ont un effet pervers rarement raconté : elles ne pénalisent pas les entreprises qui utilisent beaucoup l'IA. Elles pénalisent celles qui ne savent pas précisément comment elles l'utilisent.
Points clés à retenir
- Le coût réel de mise en conformité dépend surtout de votre cartographie interne, pas de la taille du règlement.
- Les obligations de transparence de l'AI Act s'appliquent bien avant les obligations sur les systèmes à haut risque.
- Le calendrier n'est pas uniforme : les règles sur les modèles d'IA à usage général (GPAI) sont arrivées en premier, les systèmes à haut risque suivent avec un délai plus long.
- Les micro-entreprises bénéficient d'assouplissements réels mais restent responsables de leurs sous-traitants.
- Les sanctions ne tombent pas d'abord sur les plus gros. Elles tombent sur ceux qui ne peuvent pas documenter ce qu'ils font.
- La vraie asymétrie n'est pas Europe contre États-Unis, c'est entreprise documentée contre entreprise qui improvise.
L'impact des nouvelles régulations numériques sur les entreprises : ce qui a réellement changé
Prenons un cas concret. Une société de logiciels santé que j'ai accompagnée en début d'année. Elle utilisait un modèle de langage pour trier des comptes rendus de consultation. Rien de fou : résumé automatique, extraction de mots-clés, pré-classement. Le modèle venait d'un fournisseur américain, accessible via une API classique.
Deux problèmes. Le premier est évident : des données de santé partent chez un tiers hors UE. Le second est plus vicieux. Personne dans l'entreprise ne savait dire quelle version du modèle était utilisée, ni quelles données avaient servi à l'entraîner.
Et c'est précisément là que les nouvelles régulations mordent.
La transparence avant la performance
Une obligation de transparence IA, ce n'est pas un formulaire à remplir une fois. C'est l'obligation de pouvoir expliquer, à tout moment, ce que fait votre système, sur quelles données, et avec quels garde-fous. Concrètement : un journal des versions, une trace des entrées et sorties, une personne identifiée comme responsable.
La plupart des entreprises que je vois n'ont rien de tout ça. Non par négligence. Parce que pendant trois ans, personne ne le leur a demandé.
Ce changement de régime est brutal pour une raison simple : il transforme une dette technique invisible en risque juridique visible. Votre intégration API bâclée n'est plus un raccourci d'ingénieur. C'est un point de contrôle.
Le calendrier n'est pas uniforme, et c'est tant mieux
Beaucoup de dirigeants que je rencontre imaginent une date butoir unique. Elle n'existe pas.
Les obligations visant les modèles d'IA à usage général sont entrées en application en premier. Elles concernent surtout les fournisseurs de modèles, pas vous. Puis viennent les systèmes dits à haut risque, avec un délai de mise en conformité plus long, justement parce qu'ils demandent une vraie ingénierie documentaire.
Résultat pratique : si vous utilisez un modèle généraliste pour rédiger des e-mails marketing, vous n'êtes pas dans le même régime que si vous l'utilisez pour présélectionner des candidatures ou scorer des dossiers de crédit.
Ma recommandation, que j'applique systématiquement : classez vos usages en trois colonnes. Usage interne sans effet sur les personnes / usage qui influence une décision / usage interdit. Cette classification prend une demi-journée. Elle vous évite de payer un cabinet pour vous dire ce que vous savez déjà.
Qui est vraiment concerné ? La réponse dépend de vos données, pas de votre taille
On m'objecte souvent : « on est 14 salariés, on n'est pas concernés ». Faux, et c'est une erreur qui coûte cher.
Les micro-entreprises bénéficient d'assouplissements réels sur certaines obligations administratives. C'est vrai, et c'est prévu par les textes. Mais ces assouplissements portent sur la forme de la documentation, pas sur le fond de la responsabilité.
Ce qui n'est jamais allégé : la responsabilité de ce que vous faites faire à un outil. Si votre chatbot donne une information erronée à un client et que celui-ci subit un préjudice, votre taille ne vous protège pas.
J'ai vu une TPE de conseil perdre un client important parce qu'elle ne pouvait pas expliquer comment un outil de tri automatique de candidatures avait écarté un profil. Pas de sanction administrative. Juste un client qui part. L'effet est le même.
Ce que « gouvernance IA » veut dire en pratique
Le terme fait peur. Il évoque des comités, des organigrammes, des process. En réalité, une gouvernance IA minimale tient sur une page :
- Qui décide qu'un nouvel outil IA peut être déployé.
- Où sont stockées les données envoyées à ce outil.
- Qui est l'interlocuteur en cas de réclamation d'un client ou d'un salarié.
- Comment on retire l'outil si le fournisseur change ses conditions.
J'ai rédigé cette page pour une PME industrielle en une matinée. Elle l'a affichée dans son espace qualité. Le contrôle URSSAF de passage n'a rien demandé dessus. Mais l'auditeur d'un gros donneur d'ordres, si. Et c'est ça qui a débloqué un contrat.
Comparaison des principales obligations selon votre profil
Le tableau ci-dessous synthétise ce que je constate sur le terrain. Il ne remplace pas une analyse juridique, mais il aide à savoir où vous mettre l'effort en premier.
| Votre situation | Obligation principale | Effort réel constaté |
|---|---|---|
| Vous utilisez une API IA généraliste pour du contenu marketing | Transparence sur l'usage de l'IA | Faible : mention dans vos CGV, ligne dans votre registre |
| Vous intégrez un modèle dans votre produit vendu | Transparence + documentation technique | Moyen : 5 à 15 jours de travail technique |
| Vous triez, scorez ou présélectionnez des personnes | Système à haut risque : supervision humaine, journalisation, évaluation | Élevé : audit externe quasi systématique |
| Vous traitez des données de santé | Cumul RGPD + haut risque | Très élevé : analyse d'impact obligatoire |
| Vous êtes fournisseur d'un modèle à usage général | Obligations propres aux GPAI | Élevé, et déjà applicable |
Une remarque sur la dernière ligne : c'est celle où les entreprises françaises sont le moins nombreuses, et c'est aussi celle où la pression réglementaire est la plus forte. Logique. Ce sont ces acteurs qui irriguent tous les autres.
Les trois erreurs que je vois se répéter
Erreur n°1 : attendre la première mise en demeure
Je comprends la logique. Personne ne vous a rien demandé pendant cinq ans. Pourquoi bouger maintenant ?
Parce que le déclencheur n'est presque jamais un régulateur. C'est un appel d'offres avec un questionnaire de conformité. C'est un client grand compte qui exige une attestation. C'est une levée de fonds où l'investisseur pose la question.
Dans ces trois cas, vous avez deux semaines. Pas six mois.
Erreur n°2 : traiter la conformité comme un projet informatique
J'ai fait cette erreur moi-même sur un premier dossier. J'ai monté un groupe de travail avec deux développeurs et un DPO. On a produit une documentation technique impeccable. Elle était illisible pour le comité de direction, qui n'a rien validé pendant quatre mois.
La conformité IA, ce n'est pas un sujet technique. C'est un sujet de direction qui a une composante technique. Si votre DG n'est pas dans la boucle dès le début, vous produirez des documents que personne ne signera.
Erreur n°3 : croire que le fournisseur s'occupe de tout
Les conditions générales des grands fournisseurs de modèles sont claires : elles vous transfèrent la responsabilité de l'usage. Vous êtes le responsable de traitement. Point.
Un réflexe utile : demandez à votre fournisseur, par écrit, la liste des sous-traitants ultérieurs et la localisation des traitements. S'il refuse de répondre ou botte en touche, vous avez votre réponse. Et vous savez ce qu'il vous reste à documenter vous-même.
L'asymétrie avec les acteurs hors UE : mythe et réalité
On entend souvent que les entreprises américaines sont moins contraintes. C'est partiellement vrai, et largement exagéré.
Ce qui est vrai : si vous vendez uniquement aux États-Unis, vous échappez à une bonne partie du cadre européen. Ce qui est faux : dès que vous ciblez un utilisateur européen, le règlement s'applique à vous, où que vous soyez hébergé.
La vraie asymétrie que je constate est ailleurs, et elle est interne à l'Europe. Entre une entreprise qui peut sortir en deux heures la liste de ses outils IA et de leurs finalités, et une autre qui met deux semaines à reconstituer l'information. La première négocie ses contrats avec ses clients. La seconde subit leurs exigences.
La conformité est devenue un argument commercial. Je ne l'aurais pas cru il y a cinq ans. Je le constate aujourd'hui sur des appels d'offres publics où le questionnaire conformité pèse autant que le prix.
Par où commencer concrètement
Si vous ne deviez faire qu'une chose ce trimestre, ce serait celle-ci : lister tous les outils qui, chez vous, touchent de près ou de loin à une décision concernant une personne. Recrutement, crédit, assurance, évaluation, modération de contenu.
Cette liste, c'est 80 % du travail. Le reste, c'est de la documentation.
Ensuite, pour chaque outil, trois questions. Où vont les données ? Qui peut expliquer une décision prise par l'outil ? Que se passe-t-il si le fournisseur disparaît demain ? Si vous n'avez pas de réponse à la troisième, vous avez un problème de continuité, pas seulement de conformité.
Et n'attendez pas d'avoir tout compris avant de commencer. J'ai vu trop de projets bloqués six mois sur une analyse juridique parfaite pendant que l'usage, lui, continuait sans cadre.
Le cadre réglementaire évolue encore. Des lignes directrices sont publiées, précisées, parfois corrigées. Ce que je sais, c'est que les entreprises qui s'en sortent le mieux ne sont pas celles qui ont tout anticipé. Ce sont celles qui ont construit l'habitude de savoir ce qu'elles font. Cette habitude, elle, ne se périme pas.
