AI Act : pendant que Bruxelles légifère, qui contrôle vraiment vos données d'entraînement ?

# AI Act : pendant que Bruxelles légifère, qui contrôle vraiment vos données d'entraînement ?

L'AI Act est là. Officiellement en vigueur, progressivement opposable, avec ses catégories de risques, ses obligations de transparence, ses exigences de documentation technique. Bruxelles a produit un texte. Les cabinets juridiques ont sorti leurs guides. Les éditeurs ont mis à jour leurs plaquettes commerciales. Et dans les DSI, on commence à cocher des cases.

Mais posons la question qui fâche : avec quels outils allons-nous démontrer notre conformité à ce règlement européen ?

Parce que si la réponse honnête est « avec les plateformes Azure AI, Google Vertex ou AWS SageMaker », alors nous avons un problème structurel que personne ne veut vraiment nommer. Nous allons utiliser des infrastructures soumises au Cloud Act américain pour prouver à des régulateurs européens que nos systèmes d'IA respectent des valeurs européennes. L'absurdité de la situation devrait nous sauter aux yeux. Elle ne saute à peu près aux yeux de personne.

La conformité comme nouveau marché captif

Voilà ce que j'observe depuis plusieurs mois dans les organisations que je suis : l'AI Act est en train de devenir, paradoxalement, un formidable accélérateur de dépendance aux acteurs américains. La logique est simple, presque mécanique. Les grandes entreprises technologiques US ont les équipes juridiques, les ressources marketing et la présence commerciale pour se positionner *en premiers* sur le créneau « conformité AI Act ». Elles arrivent avec des tableaux de bord, des rapports automatisés, des certifications maison. Elles parlent le langage des RSSI fatigués.

Et les DSI, sous pression, cherchent la voie de moindre résistance. Ils sont déjà dans l'écosystème de l'acteur américain pour leur messagerie, leur bureau, leur cloud de production. Ajouter une brique « conformité IA » dans le même portail, c'est tentant. C'est même rationnel à court terme.

Sauf que cette rationalité à court terme fabrique une dépendance à long terme sur un sujet absolument critique : la capacité à documenter, auditer et expliquer ce que font vos systèmes d'IA. Si cette capacité repose sur des outils dont vous ne contrôlez ni le code, ni les conditions d'accès, ni la localisation des logs d'audit — vous n'êtes pas conformes à l'esprit de l'AI Act. Vous en produisez l'apparence.

Ce que l'AI Act exige vraiment — et ce qu'on évite de regarder en face

Les obligations les plus substantielles du règlement — pour les systèmes à haut risque notamment — portent sur la traçabilité des données d'entraînement, la robustesse des systèmes de surveillance humaine, la documentation technique accessible aux autorités compétentes. Ce sont des obligations qui supposent que vous maîtrisez votre chaîne de traitement.

Or, si votre système d'IA tourne sur l'infrastructure d'un opérateur soumis à une juridiction étrangère, la question de l'accessibilité de cette documentation à un régulateur européen devient immédiatement politique autant que technique. Le Cloud Act, rappelons-le, autorise les autorités américaines à requérir l'accès à des données stockées par des entreprises américaines, y compris hors du territoire des États-Unis. Ce n'est pas une théorie complotiste. C'est du droit positif américain.

Alors quand votre outil de conformité AI Act stocke vos logs d'audit, vos jeux de données de test, votre documentation technique sur des serveurs opérés par une entité américaine — quel niveau de confidentialité pouvez-vous réellement garantir à votre régulateur ? La question n'est pas rhétorique. Elle devrait figurer dans vos analyses de risques.

NIS2, DORA, AI Act : l'empilement réglementaire européen mérite une réponse européenne

Nous sommes en 2026 et les organisations de taille intermédiaire jonglent simultanément avec NIS2, DORA pour celles qui touchent au secteur financier, et maintenant l'AI Act. Chaque texte ajoute des couches d'obligations : cartographie des actifs critiques, plans de continuité, gestion des incidents, documentation des systèmes automatisés.

Ce qui me frappe, c'est que l'empilement de ces textes crée une opportunité réelle pour des acteurs européens capables d'adresser cette complexité de manière intégrée. Des acteurs qui comprennent que la conformité RGPD, NIS2 et AI Act partagent une colonne vertébrale commune : la maîtrise des flux de données et la capacité d'audit souverain.

Il existe des éditeurs européens qui travaillent sérieusement sur ces sujets. Je ne vais pas en faire la liste — ce n'est pas le rôle de cette tribune et le marché évolue vite. Ce que je veux pointer, c'est la responsabilité des décideurs IT de poser la question en amont, avant que l'outil ne soit déployé : où sont stockés les artefacts de conformité ? Qui peut y accéder ? Sous quelle juridiction ?

Ces questions ne sont pas des lubies souverainistes. Ce sont des questions de conformité réglementaire au sens strict.

Le vrai angle mort : l'audit des modèles tiers

Il y a un angle mort que personne dans nos rédactions sectorielles ne semble vouloir traiter frontalement. La plupart des PME et ETI qui déploient de l'IA en 2026 n'entraînent pas leurs propres modèles. Elles consomment des modèles tiers via des API. Et l'AI Act leur demande de documenter ces systèmes, d'en évaluer les risques, de garantir leur conformité.

Sauf que documenter un modèle dont vous n'avez pas accès aux données d'entraînement ni à l'architecture interne, c'est un exercice kafkaïen. Les grands acteurs américains proposent des attestations, des fiches techniques, des certifications. Mais ce sont leurs propres attestations, sur leurs propres systèmes, selon leurs propres méthodologies.

C'est ici que l'écosystème européen a une carte à jouer — pas par nationalisme, mais par conception. Des modèles documentés, auditables, dont le cycle de vie complet est traçable et vérifiable par des tiers indépendants. C'est ce que devrait exiger toute organisation sérieuse dans sa politique d'achat IA. Pas parce que c'est bien dans l'absolu. Parce que c'est ce que le règlement, interprété sérieusement, devrait imposer.

Ce que j'attends des DSI en 2026

Je ne demande pas aux décideurs IT européens d'être des militants. Je leur demande d'être rigoureux.

Rigoureux sur la localisation réelle de leurs données de conformité. Rigoureux sur les conditions contractuelles des outils qu'ils déploient pour répondre à l'AI Act. Rigoureux sur la distinction entre *apparence de conformité* et *conformité substantielle*.

L'AI Act n'est pas qu'un texte de plus à cocher. C'est un moment — peut-être le dernier avant longtemps — où l'Europe essaie de définir des règles du jeu sur l'IA qui lui soient propres. Si les outils utilisés pour prouver le respect de ces règles appartiennent aux acteurs que le règlement cherche précisément à encadrer, nous aurons raté quelque chose d'essentiel.

La souveraineté numérique ne commence pas par les grands discours. Elle commence par les contrats qu'on signe — et les questions qu'on pose avant de les signer.