AI Act : les entreprises européennes face à la conformité, pendant que les acteurs US s'organisent en coulisses

# AI Act : les entreprises européennes face à la conformité, pendant que les acteurs US s'organisent en coulisses

L'AI Act est désormais pleinement applicable. Pour les DSI et RSSI de PME et ETI européennes, la question n'est plus théorique : il faut documenter, classifier, auditer. Et choisir avec qui on le fait.

Ce que la conformité exige vraiment — et ce que personne ne dit clairement

La conformité à l'AI Act ne se résume pas à cocher des cases. Elle impose une traçabilité des données d'entraînement, une documentation des risques, des mécanismes de supervision humaine et, pour les systèmes à haut risque, un enregistrement dans la base européenne dédiée. Autant d'exigences qui supposent une maîtrise réelle de la chaîne technique — maîtrise que les offres packagées des acteurs américains ne garantissent tout simplement pas.

C'est ici que la question souverainiste devient concrète, presque comptable. Si votre système d'IA s'appuie sur une infrastructure dont vous ne contrôlez ni la localisation des données, ni les conditions d'accès des autorités étrangères, ni les mises à jour unilatérales du modèle sous-jacent, vous exposez votre organisation à un risque de non-conformité structurel — indépendamment de votre bonne volonté.

Les acteurs américains ne sont pas restés passifs. Plusieurs d'entre eux ont lancé des programmes de certification accélérée, des frameworks de documentation clés en main et des discours de conformité bien rodés. Le marketing est là. Mais la question que tout DSI devrait poser est simple : qui détient in fine les logs, les modèles, les données ? Et sous quelle juridiction ?

Qui s'en sort, qui décroche, qui peut émerger côté européen

L'AI Act est, paradoxalement, une opportunité structurelle pour l'écosystème européen — à condition que cet écosystème soit en mesure de délivrer. Quelques acteurs commencent à se positionner sérieusement sur ce créneau. Aleph Alpha, côté allemand, a construit une partie de son discours commercial précisément sur la conformité réglementaire européenne et la localisation des modèles. C'est insuffisant pour parler de marché consolidé, mais c'est un signal.

Le vrai décrochage, en revanche, touche les PME qui ont internalisé les outils de l'acteur américain dominant comme des standards neutres. Elles découvrent aujourd'hui que la conformité AI Act implique des audits que leur prestataire principal n'est pas en mesure — ou pas disposé — à faciliter pleinement. La dépendance n'est pas abstraite : elle se mesure en semaines de travail et en coûts d'audit imprévus.

La checklist de conformité minimale que tout DSI devrait avoir sur son bureau en 2026 couvre quatre axes : classification du risque du système IA utilisé, documentation de la gouvernance des données, identification des tiers dans la chaîne de traitement, et vérification de la résidence juridique des données. Sur chacun de ces axes, la question à poser à son prestataire est directe et non négociable : pouvez-vous me fournir cette information par écrit, sous droit européen ?

L'AI Act ne protège pas automatiquement la souveraineté numérique européenne. Il crée les conditions pour qu'elle soit exigée. Reste à savoir si les acheteurs européens saisiront cette ouverture — ou s'ils se contenteront du premier certificat de conformité fourni avec le contrat.