Le Digital Omnibus sur l'IA a relancé les discussions autour de l'AI Act. Certaines obligations applicables aux systèmes d'IA à haut risque voient leur calendrier évoluer, tandis que d'autres dispositions demeurent pleinement applicables.
Renaud Hoyoux
Cette évolution a donné à de nombreuses organisations le sentiment d'avoir gagné du temps. En réalité, beaucoup ignorent encore si elles sont concernées, non pas parce que le texte est particulièrement complexe, mais parce qu'elles ne savent plus précisément quelles intelligences artificielles composent leur patrimoine numérique.
La conformité commence rarement par la lecture d'un règlement européen. Elle débute par une question beaucoup plus simple : combien de systèmes d'intelligence artificielle votre organisation utilise-t-elle aujourd'hui ? Dans de nombreuses grandes entreprises, personne n'est capable d'y répondre avec certitude.
Le Shadow AI est devenu une réalité
Le Shadow IT existe depuis plus de vingt ans. Les collaborateurs installaient Dropbox, Slack ou Trello sans validation préalable de la DSI. L'intelligence artificielle reproduit aujourd'hui exactement le même phénomène, mais à une vitesse bien supérieure.
En quelques mois seulement, les usages se sont multipliés. Un développeur connecte Claude Code à son dépôt Git, une équipe marketing s'appuie sur ChatGPT pour produire des contenus, les ressources humaines expérimentent un assistant de rédaction, les commerciaux branchent un copilote sur leur CRM, tandis qu'une équipe métier développe un agent conversationnel reposant sur OpenAI, Anthropic, Gemini, Mistral ou un modèle open weights exécuté sur une infrastructure interne. Individuellement, ces initiatives sont souvent pertinentes. Collectivement, elles deviennent problématiques lorsqu'aucune vision globale n'existe.
Une IA n'est plus une simple application
Pendant des années, inventorier un système d'information consistait principalement à recenser des applications. Avec l'IA générative, cette logique ne suffit plus. Une même application peut désormais mobiliser plusieurs modèles de langage, différents fournisseurs cloud, plusieurs API, un moteur RAG connecté à une base documentaire, un orchestrateur d'agents, des outils tiers appelés automatiquement ainsi que différents jeux de données.
Cette architecture évolue en permanence. Changer simplement de modèle, passer de GPT à Claude ou de Gemini à Mistral, peut modifier les performances, les coûts, les mécanismes de sécurité, voire le niveau de risque réglementaire du système. L'inventaire ne consiste donc plus à identifier une application, mais à comprendre l'ensemble de la chaîne d'intelligence qui la fait fonctionner.
Charlotte Ryssen (Coumont)
La première question de l'AI Act n'est pas juridique
Lorsqu'on évoque l'AI Act, les débats se concentrent rapidement sur les obligations réglementaires. Pourtant, avant même de déterminer si un système relève d'une catégorie de risque particulière, encore faut-il savoir qu'il existe.
La première question n'est donc pas : « Sommes-nous conformes ? » Elle est beaucoup plus fondamentale : « Quels systèmes d'intelligence artificielle utilisons-nous réellement ? »
Sans cette réponse, il devient impossible de qualifier le rôle de l'organisation — fournisseur, déployeur, intégrateur ou distributeur —, d'identifier la catégorie de risque applicable, de cartographier les données traitées, les modèles mobilisés, les fournisseurs impliqués ou encore les responsabilités contractuelles. Autrement dit, il devient impossible de démontrer quoi que ce soit.
Les entreprises connaissent leurs serveurs. Beaucoup moins leurs modèles
Depuis des décennies, les DSI disposent d'outils capables de cartographier leurs serveurs, leurs applications, leurs bases de données et leurs infrastructures cloud. En revanche, peu d'entre elles possèdent aujourd'hui une vision comparable de leur patrimoine IA.
Combien de modèles GPT sont utilisés dans l'entreprise ? Où Claude est-il appelé ? Quels services reposent sur Gemini ou Mistral ? Quels agents exploitent le protocole MCP ? Quels modèles open weights sont exécutés sur Kubernetes ? Quels appels transitent par Azure AI Foundry, Vertex AI ou Amazon Bedrock ? Ces questions deviendront progressivement aussi essentielles que l'inventaire des serveurs l'était au moment de la généralisation du cloud.
La conformité devient un sujet d'observabilité
L'impact de l'AI Act dépasse largement la seule dimension réglementaire. Il transforme la manière dont les organisations doivent piloter leurs systèmes d'information. Les entreprises devront être capables d'observer leur patrimoine IA avec le même niveau de précision qu'elles observent aujourd'hui leurs infrastructures cloud.
Cette observabilité concerne les modèles réellement utilisés, leurs versions, les flux de données, les appels API, les coûts d'inférence, les décisions automatisées, les mécanismes de supervision humaine, les journaux techniques et les changements de configuration. Sans cette visibilité, la gouvernance reste largement théorique.
Le report du calendrier ne reporte pas le véritable chantier
Le Digital Omnibus modifie certaines échéances. Il ne modifie pas la nature du problème.
Les organisations qui mettront ce délai à profit pour cartographier leurs usages, qualifier leurs systèmes, documenter leurs flux et structurer leur gouvernance prendront une avance considérable. Les autres ne feront que repousser un chantier devenu inévitable. Lorsqu'un audit, un incident ou une demande des autorités surviendra, il faudra être capable de produire des preuves. Et une preuve ne s'improvise jamais : elle se construit bien avant le contrôle.
La prochaine grande cartographie des DSI
L'AI Act est souvent présenté comme une réglementation supplémentaire. Il marque en réalité le début d'une transformation beaucoup plus profonde. Après avoir cartographié les infrastructures, les applications, les données puis les services cloud, les entreprises devront désormais cartographier leur patrimoine IA.
Cette nouvelle cartographie ne servira pas uniquement à répondre aux exigences réglementaires. Elle deviendra un outil stratégique permettant de maîtriser les coûts, les performances, la sécurité, la souveraineté, les risques et la qualité des systèmes d'intelligence artificielle.
La véritable question n'est donc peut-être plus : « Sommes-nous prêts pour l'AI Act ? » Elle est beaucoup plus simple et beaucoup plus révélatrice : savons-nous seulement quelles intelligences artificielles fonctionnent aujourd'hui dans notre entreprise ?
