Le décret italien sur l’IA : ce qui s’applique déjà

Le décret italien sur l’IA est en vigueur depuis le 23 octobre, et la partie qui s’applique déjà est celle qui reçoit le moins d’attention.

L’échéance qui a été déplacée, et celle qui ne l’a pas été

Les échéances de l’AI Act européen relatives aux systèmes à haut risque ont été déplacées à décembre 2027 et août 2028. Il serait donc tentant de renvoyer l’ensemble du sujet à l’année prochaine. Ce serait une erreur. Le décret législatif 179/2026 n’attend pas. Certaines de ses obligations sont déjà applicables, dans l’un des domaines les plus sensibles qu’une organisation ait à gérer : les décisions concernant l’emploi des personnes.

Ce qui s’applique déjà : une personne doit décider

La règle centrale est simple à énoncer, mais plus difficile à mettre en pratique :

• Un licenciement ou une autre décision définitive en matière d’emploi ne peut plus reposer uniquement sur un traitement automatisé.
• Une personne disposant d’une autorité réelle et autonome doit prendre la décision. Un responsable qui se contente de cliquer sur « approuver » après la recommandation d’un système ne satisfait pas cette exigence.
• Le consentement du salarié ne modifie pas cette règle. Il n’est pas possible de l’écarter contractuellement.
• Une décision qui enfreint cette règle est nulle.
• Le tri automatisé des CV constitue l’unique exception.

La conséquence pratique est que la « présence humaine dans la boucle » cesse d’être une ambition de conception pour devenir un élément que vous pouvez devoir démontrer a posteriori. Si une décision est contestée, la question ne sera pas de savoir si une personne était formellement impliquée, mais si elle disposait réellement de l’autorité, des informations et de l’indépendance nécessaires pour décider autrement.

Qui exerce la surveillance

Le décret répond également à une question que de nombreuses organisations attendaient : qui est responsable ?

• L’ACN, l’agence nationale de cybersécurité, pour la surveillance du marché.
• L’AgID, en qualité d’autorité de notification.
• Banca d’Italia, Consob et IVASS, pour leurs secteurs respectifs.

Pour les entreprises réglementées, cela signifie que la gouvernance de l’IA sera examinée dans le prolongement des relations de supervision existantes, et non dans un silo séparé.

Mon conseil pratique : commencer par un inventaire

Ce travail n’est pas spectaculaire, mais il est efficace. Recensez tous les systèmes d’IA que vous utilisez, y compris les fonctions discrètement intégrées à vos plateformes de ressources humaines, de gestion de la relation client et de productivité. Beaucoup d’organisations découvrent la quantité de notations, de classements ou de recommandations automatisés déjà présents dans des outils achetés pour d’autres raisons.

Posez ensuite une question pour chaque système :

Où une personne décide-t-elle réellement, et pourrions-nous le prouver ?

Cette preuve repose généralement sur quelques éléments concrets :

• Une fonction nommée, disposant de l’autorité nécessaire pour écarter la recommandation du système.
• Une trace de ce que le système a proposé et de ce que la personne a décidé.
• Des informations suffisantes pour permettre à cette personne de comprendre la recommandation, et pas seulement de l’accepter.
• Un processus documenté, connu et effectivement suivi.

Le véritable risque réside dans le processus

D’après mon expérience, l’outil est rarement ce qui crée le problème. C’est le processus non documenté qui l’entoure. Un inventaire, des points de décision clairs et une piste de preuve simple vous placent dans une position nettement plus solide, tant pour ce décret aujourd’hui que pour les obligations futures de l’AI Act. Ce même socle facilite également une démarche de système de management telle que l’ISO/IEC 42001.

Votre organisation a-t-elle déjà cartographié les points où l’IA touche aux décisions d’emploi ? Si vous souhaitez être accompagné dans la constitution de cet inventaire, découvrez mon service de conseil en gouvernance de l’IA ou contactez-moi.

Sources : noze (décret 179/2026) ; regulations.ai (résumé du décret, article 41, etc.) ; Informazione Fiscale, 23 octobre ; IAPP, 27 octobre ; Cyber Security 360, 23 octobre ; White & Case (calendrier de l’AI Omnibus). Cet article fournit des informations générales et ne constitue pas un conseil juridique.