L’AI Act est désormais appliqué : pourquoi les tableurs ne suffisent plus

L’AI Act européen a cessé d’être un problème pour demain. Depuis le 2 août 2026, les obligations de transparence de l’article 50 s’appliquent, le régime de sanctions a une portée réelle et le Bureau de l’IA de la Commission européenne peut désormais faire appliquer directement les règles relatives aux modèles d’IA à usage général. Des autorités nationales de surveillance du marché sont en place dans les États membres.

De nombreuses organisations ont relâché leurs efforts lorsque le Digital Omnibus a repoussé les échéances relatives aux systèmes à haut risque. Ce n’était pas la bonne leçon à tirer. Le report a déplacé la date, mais il n’a pas changé le travail à accomplir — et ce travail est encore trop souvent réalisé dans des tableurs.

Ce qui a réellement changé, et ce qui n’a pas changé

L’Omnibus a donné davantage de temps aux organisations pour les systèmes à haut risque. Il ne leur a pas donné de dispense :

• 2 août 2026 : les obligations de transparence de l’article 50 s’appliquent. Les chatbots doivent informer les personnes qu’elles dialoguent avec une IA. Les contenus audio, visuels, vidéo et textuels synthétiques doivent être marqués de manière lisible par machine. Les hypertrucages doivent être signalés.
• 2 décembre 2026 : les fournisseurs de systèmes génératifs déjà présents sur le marché avant le mois d’août doivent avoir mis en place le marquage technique. La nouvelle interdiction de l’IA générant des images intimes non consenties s’applique également après sa période transitoire.
• 2 décembre 2027 : les obligations relatives aux systèmes autonomes à haut risque de l’annexe III s’appliquent. Elles couvrent notamment l’emploi, l’éducation, le crédit, les services publics essentiels, la migration et le maintien de l’ordre.
• 2 août 2028 : les obligations relatives à l’IA intégrée dans des produits réglementés relevant de l’annexe I s’appliquent.

Les violations de l’article 50 relèvent d’un niveau de sanctions pouvant atteindre 15 millions d’euros ou 3 % du chiffre d’affaires mondial. Les pratiques interdites sont exposées à des sanctions allant jusqu’à 35 millions d’euros ou 7 %. Il s’agit de plafonds, et non d’amendes automatiques, mais le message est clair : les régulateurs sont désormais censés agir.

Pour une autorité publique ou une grande entreprise, décembre 2027 est plus proche qu’il n’y paraît. Un cycle de passation, un changement de fournisseur et une refonte de système peuvent facilement prendre autant de temps.

Pourquoi le tableur atteint ses limites

La plupart des organisations ont commencé leur travail sur l’AI Act de la même manière. Quelqu’un a créé un inventaire dans Excel : nom du système, responsable, fournisseur, catégorie de risque et statut. C’était une première étape raisonnable, mais ce n’est pas un système de conformité.

L’AI Act repose sur des preuves qui restent à jour pendant toute la durée de vie d’un système. Un tableur capture un instant. Voici où il échoue.

• Il devient obsolète dès son enregistrement. Les modèles sont réentraînés, les instructions changent, les fournisseurs publient de nouvelles versions et les équipes adoptent discrètement de nouveaux outils. Le registre affirme une chose, la production en montre une autre.
• Il ne prouve rien. Lorsqu’une autorité demande ce qu’un système a fait à une date donnée, une cellule indiquant « conforme » ne constitue pas une preuve. Il faut des journaux, des versions, des résultats de tests et des décisions traçables que personne ne peut modifier discrètement a posteriori.
• Il ne gère aucun circuit de responsabilité. Les évaluations des risques, les contrôles de supervision humaine et les rapports d’incidents exigent des responsables nommés, des échéances et des validations. Les fils d’e-mails et les zones de commentaires ne fournissent pas de piste d’audit.
• Il ne voit pas vos fournisseurs. Une grande partie du risque lié à l’IA réside dans des produits tiers. Le règlement attend des déployeurs qu’ils utilisent les systèmes conformément aux instructions du fournisseur et qu’ils les surveillent. Un tableur n’est pas relié aux changements réellement effectués par ce fournisseur.
• Il ne passe pas à l’échelle. Dix systèmes peuvent être suivis manuellement. Deux cents ne le peuvent pas, et la plupart des organisations de taille moyenne utilisent déjà plus d’IA qu’elles ne le pensent si l’on compte les fonctions intégrées aux logiciels bureautiques, RH et CRM.

À quoi ressemble une bonne démarche

La conformité à l’AI Act n’est pas un rapport rédigé une seule fois. Ce sont des preuves maintenues à jour. En pratique, cela signifie quatre choses.

1. Un registre vivant de l’IA

Chaque système d’IA, y compris les fonctions intégrées aux logiciels achetés, est enregistré avec sa finalité, son responsable, son fournisseur, sa classification de risque et les obligations de l’article 50 ou du haut risque qui en découlent. Le registre doit être alimenté par les achats, la gestion des actifs informatiques et le contrôle des changements, et non tenu manuellement.

2. Une classification défendable

Chaque système exige une justification documentée de sa catégorie de risque : pourquoi il relève ou non du haut risque au titre de l’annexe III, et si une exception s’applique. C’est le premier raisonnement qu’un inspecteur demandera. Il doit être réexaminé chaque fois que le cas d’usage change.

3. Des preuves collectées au fil de l’eau

La documentation technique, les notes de gouvernance des données, les résultats de tests et de précision, les procédures de supervision humaine, les journaux et les rapports d’incidents doivent être produits par le processus de réalisation lui-même. Si les preuves ne sont rassemblées que lorsque quelqu’un les demande, elles seront incomplètes et tardives.

4. Des enregistrements dont l’intégrité est démontrable

Les régulateurs et les tribunaux doivent pouvoir être certains que les enregistrements n’ont pas été réécrits après coup. La gestion des versions, les validations signées et les journaux d’audit immuables constituent la réponse pratique. Pour les organismes publics et les secteurs réglementés, l’ancrage cryptographique des enregistrements clés mérite d’être envisagé. C’est un moyen simple de prouver ce qui était connu et décidé, et à quel moment.

Un plan pratique sur 90 jours

Il n’est pas nécessaire de tout résoudre en une fois. Un trimestre ciblé permet à la plupart des organisations d’adopter une position défendable.

• Jours 1 à 30 : tout recenser. Constituez un inventaire complet de l’IA, y compris l’IA non déclarée et les fonctions intégrées aux outils SaaS. Signalez tout ce qui dialogue avec le public ou génère du contenu, car l’article 50 s’y applique déjà.
• Jours 31 à 60 : classer et attribuer. Enregistrez une classification de risque et sa justification pour chaque système. Nommez un responsable. Identifiez les systèmes susceptibles de relever de l’annexe III et lancez l’analyse des écarts pour décembre 2027.
• Jours 61 à 90 : abandonner le tableur. Placez le registre, les circuits de travail et le magasin de preuves dans une plateforme gouvernée, qu’il s’agisse de vos outils GRC ou ITSM existants ou d’une solution dédiée. Connectez-la aux achats et à la gestion des changements pour qu’elle reste à jour sans efforts exceptionnels.

Parallèlement, actualisez les contrats fournisseurs. Demandez aux fournisseurs d’IA leur documentation technique, leur approche du marquage au titre de l’article 50 et l’engagement de vous informer de toute modification substantielle.

Le secteur public a le plus à perdre

De nombreuses catégories de l’annexe III décrivent précisément les activités des communes et des administrations régionales : accès aux services et prestations publics, éducation, emploi et, dans certains cas, sécurité et application de la loi. Ces organisations sont également soumises à l’examen du public et aux demandes d’accès à l’information, en plus des contrôles réglementaires.

La bonne nouvelle est que le secteur public sait déjà gérer des registres, des validations et des audits. Il s’agit d’appliquer cette discipline à l’IA, avec des outils conçus pour des systèmes qui changent chaque semaine.

Conclusion

L’AI Act est désormais appliqué, et le temps supplémentaire accordé pour les systèmes à haut risque est une fenêtre de préparation, pas un sursis. Les organisations qui l’utilisent pour construire un registre vivant et une piste de preuve fiable feront de la conformité une pratique courante. Celles qui continuent à dépendre d’un tableur découvriront ce qu’il ne peut pas prouver au pire moment possible.

Si vous souhaitez être accompagné dans l’évaluation de votre inventaire d’IA, la classification des systèmes ou la conception d’une plateforme de gouvernance qui reste à jour, contactez Rippon Consulting.

---

Service associé : besoin d’aide pour mettre cette démarche en pratique dans votre organisation ? Découvrez le conseil en gouvernance de l’IA pour la préparation à l’AI Act, au RGPD et à NIS2.