AI Act et gouvernance de l’IA : ce que les dirigeants et juristes doivent anticiper

Le règlement (UE) 2024/1689 — officiellement appelé AI Act ou loi européenne sur l'intelligence artificielle — est entré en vigueur le 1er août 2024. Adopté par le Parlement européen et le Conseil le 13 juin 2024, publié au Journal officiel de l'Union européenne le 12 juillet 2024, ce texte constitue le premier cadre juridique horizontal au monde consacré à l'intelligence artificielle.

Il ne s'agit pas d'un règlement technique de plus. Ce que l'AI Act change fondamentalement, c'est la manière dont la gouvernance des organisations doit intégrer les systèmes d'IA : dans les décisions de recrutement, d'attribution de crédit, d'évaluation des performances, d'accès aux services publics. Partout où l'IA influence une décision qui compte pour une personne, ce texte impose des règles.

Pour les dirigeants et les juristes d'entreprise, la question n'est plus de savoir si l'AI Act les concerne. Elle est de comprendre comment anticiper ses exigences avant que l'exposition réglementaire ne devienne un risque opérationnel concret.

À noter : le calendrier initial de l'AI Act a été partiellement modifié par le Digital Omnibus, accord politique provisoire Conseil/Parlement du 7 mai 2026. Cet article intègre ces nouvelles échéances.

Points clés à retenir

• Le règlement UE 2024/1689 est en vigueur depuis le 1er août 2024.
• Il adopte une approche par les risques : quatre niveaux, des obligations proportionnelles.
• Certaines pratiques sont déjà interdites depuis le 2 février 2025.
• Les sanctions peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial.
• Le Digital Omnibus (mai 2026) reporte les obligations haut risque (Annexe III) au 2 décembre 2027.
• La gouvernance de l'IA est désormais un sujet de direction générale, pas seulement de DSI.

Qu'est-ce que l'AI Act et pourquoi ce règlement européen redéfinit la gouvernance des organisations

Contrairement à ce qu'une lecture rapide pourrait laisser croire, l'AI Act ne cherche pas à freiner l'innovation. L'ambition affichée par l'Union européenne est de créer le cadre d'une intelligence artificielle digne de confiance, dans laquelle innovation technologique et sécurité juridique progressent ensemble. Ce que le texte change en revanche, c'est qui est responsable — et de quoi.

Jusqu'à présent, les projets d'IA relevaient principalement des directions informatiques ou data. Avec l'entrée en application progressive du règlement européen sur l'intelligence artificielle, l'IA devient également un sujet de direction générale, de conseil d'administration, de conformité et de gestion des risques. Une décision algorithmique défaillante produit désormais simultanément un risque réglementaire, financier, réputationnel et opérationnel.

Pour les organisations, plusieurs questions stratégiques deviennent incontournables :

• Quels systèmes d'IA sont actuellement utilisés, et par qui ?
• Certains usages relèvent-ils du haut risque au sens du règlement ?
• Les fournisseurs respectent-ils les exigences de l'AI Act ?
• Les processus de contrôle humain sont-ils en place ?
• La gouvernance des données alimentant ces systèmes est-elle documentée ?

Mini-diagnostic dirigeant

Si vous répondez « je ne sais pas » à au moins deux de ces questions, votre organisation est probablement moins préparée que vous ne l'imaginez. Dans la plupart des entreprises, les usages de l'IA se développent plus vite que les mécanismes de gouvernance censés les encadrer.

L'approche par les risques : les quatre niveaux du règlement sur l'intelligence artificielle

La logique de l'AI Act repose sur un principe simple : plus un système d'IA est susceptible d'affecter la santé, la sécurité ou les droits fondamentaux des personnes, plus les exigences réglementaires sont élevées. À l'inverse, les usages peu risqués bénéficient d'un cadre minimal.

Risque inacceptable : les pratiques interdites

Certains usages sont incompatibles avec les valeurs fondamentales de l'Union européenne. Ils sont tout simplement interdits depuis le 2 février 2025. Parmi les exemples les plus significatifs :

• La notation sociale des personnes physiques par les autorités publiques (article 5(1)(c))
• Les systèmes de manipulation comportementale par des techniques subliminales
• L'exploitation délibérée des vulnérabilités liées à l'âge, au handicap ou à la fragilité économique
• Certains usages de reconnaissance biométrique en temps réel dans des espaces accessibles au public

Une organisation peut disposer d'une gouvernance exemplaire et rater ce premier niveau. La cartographie des usages existants — y compris les usages informels, ce que certains appellent le « shadow IA » — est la première étape incontournable de toute démarche de conformité.

Haut risque : le vrai enjeu opérationnel pour les entreprises

C'est la catégorie qui concentre l'essentiel des obligations. Un système d'IA à haut risque n'est pas forcément dangereux au sens courant du terme — il intervient dans des domaines où une erreur peut avoir des conséquences durables sur une personne. L'Annexe III du règlement identifie notamment :

• L'emploi, le recrutement et la gestion des travailleurs
• L'accès à l'éducation et la formation
• L'octroi de crédit et l'accès aux services financiers
• Certaines applications biométriques
• Les décisions dans le domaine de la justice et de la migration
• Certaines infrastructures critiques

Un algorithme qui participe à la sélection de candidats, à l'évaluation des performances ou à l'attribution d'un score de crédit entre dans ce périmètre. Ces systèmes d'IA à haut risque sont soumis à des obligations renforcées de gestion des risques, de documentation technique, de supervision humaine et de cybersécurité. Les organisations concernées doivent démontrer qu'elles maîtrisent le système tout au long de son cycle de vie.

Micro-diagnostic stratégique

Votre organisation utilise-t-elle l'IA dans le recrutement, l'évaluation des performances, l'octroi d'avantages ou la prise de décision automatisée touchant des individus ? Si oui, certains de ces usages pourraient relever du haut risque. Attendre la dernière échéance pour le déterminer revient à subir des coûts de mise en conformité nettement plus élevés.

Risque limité : les obligations de transparence

Cette catégorie concerne les usages pour lesquels l'enjeu principal est l'information des utilisateurs. Lorsqu'une personne interagit avec un agent conversationnel, consulte un contenu généré automatiquement ou utilise un outil de synthèse alimenté par l'IA, elle doit pouvoir le savoir. Ce sont les obligations de transparence prévues notamment par l'article 50 du règlement.

Risque minimal : utilisation libre

La grande majorité des outils utilisés au quotidien dans les entreprises — filtres anti-spam, recommandations de contenu, assistants rédactionnels de base — appartient à cette catégorie. Aucune obligation spécifique de l'AI Act ne s'y applique, même si d'autres réglementations comme le RGPD restent en vigueur.

Fournisseurs, déployeurs, importateurs : qui porte quelles obligations sous l'AI Act

L'une des complexités du règlement européen sur l'intelligence artificielle tient à la répartition des responsabilités entre les acteurs de la chaîne de valeur. Deux organisations utilisant le même système d'IA peuvent être soumises à des obligations très différentes selon leur rôle.

Les fournisseurs

Le fournisseur est l'organisation qui développe ou fait développer un système d'IA en vue de sa commercialisation ou de sa mise en service sous son propre nom. C'est sur lui que pèse l'essentiel des obligations techniques : gestion des risques, documentation technique, évaluation de conformité, surveillance post-commercialisation, cybersécurité, contrôle qualité.

Les déployeurs

Le déployeur est l'organisation qui utilise un système d'IA dans le cadre de ses activités professionnelles. Et c'est ici que beaucoup d'entreprises se trompent : acheter une solution présentée comme conforme ne suffit pas. Les déployeurs doivent assurer la supervision humaine, conserver certaines informations, suivre le fonctionnement du système, signaler les incidents aux autorités nationales compétentes et coopérer avec elles.

Autrement dit, la conformité du fournisseur ne décharge pas le déployeur de ses propres responsabilités.

Les fournisseurs de modèles d'IA à usage général (GPAI)

Depuis le 2 août 2025, les fournisseurs de modèles d'IA à usage général — capables d'exécuter une grande variété de tâches et utilisables dans de nombreux contextes différents — sont soumis à des obligations spécifiques : documentation technique, transparence sur les capacités et les limites, respect du droit d'auteur, fourniture d'informations aux intégrateurs. Les modèles présentant un risque systémique (seuil fixé à 10²⁵ FLOPs d'entraînement) font l'objet d'exigences renforcées : évaluation approfondie, tests adversariaux, cybersécurité avancée, surveillance continue.

Pour les directions générales, cela modifie la manière de sélectionner les fournisseurs d'IA. La performance technique reste un critère, mais la transparence, la documentation et la gouvernance du modèle en deviennent d'autres à part entière.

Autorités nationales compétentes, surveillance du marché et sanctions : ce que les dirigeants doivent connaître

L'AI Act ne crée pas seulement des obligations. Il organise aussi leur contrôle et définit les conséquences d'un manquement.

L'architecture de supervision

Chaque État membre devait désigner ses autorités nationales compétentes au plus tard au 2 août 2025. En France, la CNIL a été confirmée dans ce rôle pour les aspects liés à la protection des données personnelles, en coordination avec d'autres autorités sectorielles. Au niveau européen, le Bureau européen de l'IA (AI Office), rattaché à la Commission européenne, assure la supervision des fournisseurs de modèles à usage général et la coordination entre les États membres. Le Comité européen de l'IA, composé des représentants des autorités nationales, joue quant à lui un rôle de cohérence et d'harmonisation des pratiques de gouvernance.

Les autorités de surveillance du marché pourront exercer leurs pouvoirs de contrôle dès que les obligations correspondantes seront applicables. Pour les pratiques interdites, les contrôles sont possibles depuis le 2 février 2025. Pour les systèmes à haut risque, ils interviendront à compter des nouvelles échéances issues du Digital Omnibus.

Les sanctions prévues par le règlement

Les amendes prévues par l'article 99 du règlement sont significatives et calculées selon le principe du montant le plus élevé entre un plafond absolu et un pourcentage du chiffre d'affaires mondial :

• 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les violations relatives aux pratiques d'IA interdites (article 5)
• 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial pour les autres violations du règlement
• 7,5 millions d'euros ou 1,5 % du chiffre d'affaires annuel mondial pour la fourniture d'informations inexactes aux autorités

Des dispositions spécifiques s'appliquent aux PME et, depuis le Digital Omnibus, aux entreprises de moins de 750 salariés — notamment en matière de facilités documentaires et d'accès aux bacs à sable réglementaires. Ces bacs à sable sont des environnements contrôlés dans lesquels les entreprises peuvent tester leurs systèmes d'IA sous la supervision d'un régulateur, avec une souplesse temporaire des règles. Une mise en place est prévue au niveau national dans chaque État membre.

Dans la pratique, les autorités privilégient d'abord l'accompagnement avant les sanctions — mais cette approche n'est pas garantie dans la durée.

Calendrier de l'AI Act : les dates que les décideurs doivent retenir après le Digital Omnibus

Le calendrier initial de l'AI Act a été partiellement modifié par l'accord politique provisoire du 7 mai 2026, dit Digital Omnibus, dont la publication officielle au Journal officiel de l'UE est attendue. Les dates ci-dessous reflètent ce nouveau calendrier.

Le report du Digital Omnibus ne signifie pas qu'il faille attendre décembre 2027 pour agir. Les organisations qui réalisent leur inventaire et leur cartographie dès maintenant disposent d'un avantage considérable : moins de pression temporelle, moins de coûts de mise en conformité tardive, et la possibilité d'utiliser les bacs à sable réglementaires à leur avantage.

Par ailleurs, les systèmes à haut risque déjà en service avant les nouvelles échéances ne sont soumis aux nouvelles obligations que s'ils font l'objet de modifications significatives après ces dates. Ce point mérite une analyse juridique précise pour chaque système existant.

L'AI Act dans un écosystème réglementaire dense

La gouvernance de l'IA en entreprise ne se limite pas à l'AI Act. Les organisations doivent coordonner leur mise en conformité avec le RGPD (données personnelles), NIS 2 (cybersécurité), DORA (secteur financier, applicable depuis janvier 2025), le Cyber Resilience Act (applicable progressivement à partir de 2026-2027) et le Data Act (applicable depuis septembre 2025). Ces textes se recoupent : un système d'IA traitant des données personnelles en contexte RH relève simultanément de l'AI Act, du RGPD et potentiellement de NIS 2. La gouvernance des données doit intégrer cette dimension multi-réglementaire.

De la conformité à la gouvernance de l'IA : transformer l'AI Act en avantage stratégique

Une contrainte réglementaire reste une contrainte — à moins qu'on la traite comme une méthode de pilotage. C'est précisément la proposition de valeur de l'AI Act pour les organisations qui anticipent : les obligations de documentation, de traçabilité et de supervision humaine sont aussi les fondements d'une gouvernance de l'IA robuste et pérenne.

Étape 1 — Cartographier les usages d'IA dans l'organisation

Sans inventaire, rien d'autre n'est possible. Dans la plupart des entreprises aujourd'hui, des collaborateurs utilisent des assistants conversationnels, des outils de génération de contenu, des plateformes d'analyse automatisée, des solutions RH enrichies par l'IA ou des outils d'aide à la décision — souvent sans que la direction générale en ait une vue complète. L'inventaire doit aussi couvrir le « shadow IA », c'est-à-dire les usages non officiels. Le règlement ne fait pas la distinction.

Étape 2 — Structurer une gouvernance de l'IA

Les organisations les plus avancées mettent progressivement en place une politique d'utilisation de l'IA, des mécanismes de validation des projets, des procédures de contrôle des fournisseurs, des règles de gouvernance des données et d'entraînement des modèles, des dispositifs de supervision humaine et des plans de surveillance post-déploiement. Cette gouvernance de l'intelligence artificielle permet de sécuriser les projets tout en accélérant l'adoption des usages à forte valeur ajoutée.

Étape 3 — Former les équipes : la littératie IA comme obligation légale

L'article 4 de l'AI Act impose aux fournisseurs et aux déployeurs de s'assurer que leur personnel dispose d'un niveau suffisant de compréhension de l'IA — ce que le règlement nomme la « littératie IA ». Cette obligation est entrée en application le 2 février 2025. Elle couvre la compréhension des capacités des systèmes, de leurs limites, de leurs biais potentiels, des droits fondamentaux en jeu et des responsabilités réglementaires associées.

Les organisations qui développent cette culture de l'IA prennent une longueur d'avance sur leurs concurrents, et sur les autorités de contrôle.

Étape 4 — Intégrer l'AI Act dans la stratégie de sélection des fournisseurs

Tout fournisseur d'un système d'IA utilisé dans l'UE est potentiellement soumis à l'AI Act, indépendamment de son lieu d'établissement. Les directions achats et juridiques doivent intégrer des critères de conformité AI Act dans leurs appels d'offres et contrats : documentation technique disponible, politique de gestion des risques, traçabilité des données d'entraînement, mécanismes de supervision. Ce sujet relève désormais des bonnes pratiques de gouvernance des données au même titre que le RGPD.

Réglementations comparées du numérique et de l'IA

Ces questions — cartographier les responsabilités, arbitrer entre innovation et conformité, structurer une gouvernance de l'IA à l'échelle internationale — sont précisément au cœur de l'Executive DBA d'ISD Executive. Le programme aborde les réglementations comparées du numérique et de l'IA dans une perspective décisionnelle et managériale, conçue pour les dirigeants et juristes d'entreprise confrontés à ces arbitrages dans leur pratique quotidienne.

Les professionnels souhaitant structurer leur expertise en conformité réglementaire trouveront également des approches complémentaires dans l'Executive MBA Compliance, éthique des affaires et gouvernance des risques d'ISD Executive.

Autorités nationales compétentes, bacs à sable réglementaires et coordination européenne

L'application de l'AI Act repose sur une architecture à deux niveaux. Au niveau national, les autorités nationales compétentes désignées par chaque État membre assurent la surveillance du marché, instruisent les plaintes, conduisent les contrôles et, le cas échéant, prononcent les sanctions. Au niveau européen, le Bureau européen de l'IA coordonne les autorités nationales, supervise directement les fournisseurs de modèles GPAI et publie des orientations.

Les bacs à sable réglementaires constituent l'un des dispositifs les plus concrets pour les entreprises innovantes. Ces environnements contrôlés permettent de tester des systèmes d'IA en conditions réelles, sous la supervision d'un régulateur et avec une souplesse temporaire des règles. Ils sont particulièrement pertinents pour les PME et les entreprises de moins de 750 salariés, qui bénéficient depuis le Digital Omnibus d'un accompagnement national renforcé.

Du côté des entreprises, cette architecture impose d'identifier clairement l'autorité compétente pour chaque système d'IA déployé — ce qui n'est pas trivial dans des groupes multi-pays ou des écosystèmes impliquant des fournisseurs étrangers.

Pour les organisations souhaitant développer en interne une expertise opérationnelle sur ces sujets, le certificat Expert en pilotage de projets IA responsables d'ISD Executive offre une approche appliquée, directement mobilisable dans les processus de gouvernance et de mise en conformité. De même, le certificat Sécurité et conformité des données couvre les dimensions RGPD et gouvernance des données qui s'articulent directement avec les exigences de l'AI Act.

L'angle comparé : l'AI Act face aux autres approches réglementaires mondiales

L'AI Act n'est pas isolé. D'autres puissances économiques ont adopté des approches radicalement différentes. Les États-Unis ont privilégié jusqu'ici une régulation sectorielle et volontaire, avec des executive orders qui n'ont pas la portée contraignante du règlement européen. La Chine a opté pour une régulation plus ciblée, axée sur les algorithmes de recommandation et les IA génératives. Le Royaume-Uni a annoncé une approche non législative, fondée sur des principes et des régulateurs sectoriels existants.

Pour les dirigeants d'organisations opérant à l'international, cette fragmentation réglementaire crée une complexité supplémentaire. Un système d'IA déployé simultanément en Europe, aux États-Unis et en Asie peut être soumis à trois cadres distincts, parfois contradictoires. La capacité à arbitrer entre ces exigences, à concevoir des systèmes d'IA conformes par défaut et à naviguer dans cet environnement réglementaire comparé devient une compétence stratégique rare.

C'est précisément l'objet du séminaire "Réglementations comparées du numérique et de l'IA" intégré à l'Executive DBA d'ISD Executive — comprendre non seulement l'AI Act, mais les logiques réglementaires qui s'affrontent à l'échelle mondiale et leurs implications pour la décision des dirigeants.

Par où commencer : les premières étapes concrètes pour les organisations

L'inventaire des systèmes d'IA est la première étape. Dans la pratique, les organisations qui réalisent cet exercice avec honnêteté découvrent souvent qu'elles opèrent davantage de systèmes qu'elles ne le pensaient, et que la question de la propriété fonctionnelle de ces systèmes est floue. C'est le premier problème à résoudre.

Ensuite vient la qualification : pour chaque système identifié, quel niveau de risque au sens de l'AI Act ? La réponse détermine les obligations applicables et les délais. Ce travail de qualification relève à la fois du juridique, du technique et du métier — il ne peut pas être fait en silo.

Puis viennent les obligations de documentation, de gestion des risques et de supervision humaine pour les systèmes à haut risque. La norme ISO/IEC 42001, bien que volontaire, offre un cadre opérationnel qui facilite cette mise en conformité et peut servir de base pour démontrer des pratiques de gouvernance solides aux autorités de contrôle.

Enfin, les dirigeants qui gèrent des risques stratégiques technologiques et cyber dans leurs décisions trouveront des approches complémentaires dans le certificat Manager les risques stratégiques, technologiques et cyber dans la décision d'ISD Executive — un programme conçu précisément pour ces arbitrages de gouvernance.

Questions fréquentes sur l'AI Act

Conclusion : l'AI Act comme levier de gouvernance, pas seulement de conformité

La tentation est grande de traiter l'AI Act comme un projet de mise en conformité parmi d'autres — à déléguer aux équipes juridiques ou data, à gérer avant les échéances et à oublier ensuite. Cette approche est non seulement insuffisante, elle est contre-productive.

Ce que le règlement européen sur l'intelligence artificielle construit, c'est une nouvelle logique de gouvernance de l'IA : transparence sur les systèmes utilisés, responsabilisation des acteurs à chaque niveau de la chaîne, documentation des décisions algorithmiques, protection des droits fondamentaux par conception. Les organisations qui intègrent cette logique dans leur pilotage stratégique — et pas seulement dans leur service juridique — en sortiront renforcées.

La question pour les dirigeants n'est donc pas : « Sommes-nous conformes ? » Elle est : « Notre gouvernance de l'IA est-elle à la hauteur des risques et des opportunités que ces technologies représentent pour notre organisation ? »

Pour les dirigeants et juristes souhaitant approfondir ces sujets dans une perspective décisionnelle et internationale, l'Executive DBA d'ISD Executive offre un cadre d'analyse rigoureux, ancré dans la pratique des organisations et ouvert sur les réglementations comparées du numérique et de l'IA à l'échelle mondiale.