AI Act : pendant que Bruxelles légifère, qui capte vraiment la valeur de la conformité ?

# AI Act : pendant que Bruxelles légifère, qui capte vraiment la valeur de la conformité ?

*En 2026, l'AI Act est entré dans sa phase d'application effective. Les obligations de transparence s'imposent aux éditeurs, aux intégrateurs, aux entreprises utilisatrices. Sur le papier, c'est une victoire européenne. Dans les faits, la question mérite d'être posée autrement : à qui profite réellement ce cadre réglementaire, et qui en paie la facture ?*

Un règlement né pour protéger l'Europe, mais qui s'applique dans un marché dominé par des acteurs américains

L'AI Act, adopté formellement en 2024 et entré en application progressive jusqu'en 2026, est présenté comme la première grande législation mondiale sur l'intelligence artificielle. Le récit officiel est séduisant : l'Europe aurait, une fois de plus, réussi à imposer ses règles à l'échelle globale, reproduisant l'effet dit « Brussels Effect » qui avait fait la réputation du RGPD.

Mais il faut regarder le tableau de plus près. En 2026, qui sont les principaux fournisseurs de systèmes d'IA déployés dans les PME et ETI européennes ? Les réponses sont connues de tout DSI qui a ouvert sa messagerie au cours des dix-huit derniers mois. Ce sont des acteurs américains qui ont massivement investi les strates applicatives des entreprises européennes — dans la productivité, dans l'analytique, dans le CRM, dans la gestion documentaire — et qui ont depuis intégré des couches d'IA dans leurs offres existantes, souvent sans que leurs clients aient eu à signer un nouveau contrat, ni même à prendre une décision délibérée.

Le problème structurel est là : l'AI Act oblige à la transparence sur les systèmes d'IA utilisés. Mais pour exercer cette transparence, encore faut-il savoir ce qu'on utilise, comment ça fonctionne, et sur quelle infrastructure ça tourne. Or, l'opacité a été précisément le modèle de déploiement privilégié par les grands éditeurs américains : l'IA s'est glissée dans les workflows existants, dans les assistants intégrés, dans les moteurs de suggestion, sans déclaration d'intention particulière.

La conformité à l'AI Act devient donc, pour de nombreuses organisations, un exercice d'archéologie numérique autant qu'un chantier réglementaire.

Les obligations de transparence : un coût caché que personne ne voulait voir dans les budgets IT

Soyons directs sur l'impact économique, parce que c'est là que les décisions se prennent réellement.

Les obligations de transparence de l'AI Act ne sont pas gratuites. Elles supposent de documenter les systèmes d'IA en place, d'identifier leur niveau de risque selon la classification du règlement, de mettre en place des mécanismes de surveillance humaine pour les systèmes dits à « haut risque », et de tenir des registres opposables. Pour une PME ou une ETI dont la DSI fonctionne avec des équipes réduites, cela représente un investissement en temps, en conseil juridique, en audit technique — et parfois en refonte des processus d'achat de solutions logicielles.

Ce coût de conformité était prévisible. Il a pourtant été largement sous-estimé dans les budgets IT 2025-2026 de beaucoup d'organisations. Les directions générales avaient entendu parler du RGPD et de la charge qu'il avait représentée. Mais l'IA, présentée comme une évolution naturelle des outils déjà en place, n'avait pas déclenché le même réflexe d'anticipation budgétaire.

Résultat : la conformité AI Act arrive en 2026 comme une ligne budgétaire imprévue, dans un contexte où les grands éditeurs américains n'ont pas attendu pour monétiser leurs propres outils de conformité. C'est là que le mécanisme devient particulièrement intéressant à analyser du point de vue souverainiste.

L'acteur américain dominant dans la suite bureautique et la productivité d'entreprise propose désormais des modules de gouvernance et de documentation IA intégrés à ses offres — accessibles, bien entendu, dans les niveaux de licence les plus élevés. La conformité réglementaire européenne devient ainsi un argument commercial pour pousser les clients vers des paliers tarifaires supérieurs. Bruxelles légifère, et la valeur économique de cette législation est capturée à Seattle ou à San Francisco.

Ce n'est pas un complot. C'est simplement la logique d'un marché où les acteurs les mieux positionnés transforment chaque contrainte réglementaire en opportunité de revenus supplémentaires. La question pour les DSI européens est de savoir s'ils veulent continuer à financer ce mécanisme.

Les éditeurs européens face au règlement : entre opportunité réelle et injonction paradoxale

Pour les éditeurs de logiciels européens, l'AI Act représente objectivement une fenêtre d'opportunité. La conformité by design — c'est-à-dire la capacité à proposer des solutions nativement conformes, avec une traçabilité des modèles utilisés, une localisation des données garantie, et une documentation accessible — est un argument différenciant que les acteurs américains ne peuvent pas revendiquer avec la même crédibilité.

Prenons le cas des éditeurs de solutions de gestion documentaire ou de traitement automatisé de contenus — un secteur où l'IA générative s'est invitée massivement en 2024-2025. Des acteurs comme Nuxeo, désormais sous pavillon Hyland mais historiquement ancré dans l'écosystème européen, ou des plateformes plus récentes spécialisées dans la gestion de contenus avec IA, commencent à structurer leur discours autour de la conformité AI Act comme avantage concurrentiel natif.

Mais l'injonction paradoxale est réelle : pour rivaliser en matière de performance de modèles, nombre d'éditeurs européens continuent de s'appuyer sur des infrastructures cloud américaines ou sur des modèles fondamentaux développés outre-Atlantique. La conformité réglementaire est européenne ; la dépendance technologique sous-jacente ne l'est pas toujours.

C'est ici que le discours souverainiste doit éviter l'écueil du slogan vide. Afficher le label « conforme AI Act » ne suffit pas à qualifier une solution de souveraine si les modèles d'IA qu'elle embarque sont entraînés sur des données dont on ne connaît pas la provenance, ou si l'inférence tourne sur des serveurs soumis au Cloud Act américain.

Les DSI qui veulent aller au fond du sujet doivent poser les bonnes questions à leurs prestataires : où tourne le modèle ? Sur quelle infrastructure ? Qui en est l'opérateur juridique ? La conformité AI Act est une condition nécessaire. Elle n'est pas une condition suffisante de souveraineté numérique.

Le risque tarifaire des hyperscalers : la conformité comme nouveau levier de lock-in

Il faut nommer clairement le risque économique qui se profile pour les organisations européennes ayant externalisé leur infrastructure IA chez les grands hyperscalers américains.

La conformité AI Act génère de nouvelles obligations d'auditabilité et de documentation qui, dans une architecture cloud standard, supposent l'accès à des journaux d'événements détaillés, à des métadonnées sur les modèles utilisés, à des certifications de conformité opposables. Ces fonctionnalités ne sont pas systématiquement incluses dans les offres de base. Elles apparaissent dans les catalogues comme des options premium, des niveaux de support avancés, ou des add-ons de gouvernance.

Le mécanisme est structurellement identique à ce qu'on a vu avec la conformité RGPD : les outils de gestion des consentements, les registres de traitement, les fonctionnalités d'anonymisation — tout cela a été monétisé, souvent par les mêmes acteurs qui avaient contribué à créer la complexité technique que ces outils étaient censés résoudre.

Pour un RSSI ou un CTO qui pilote son budget en 2026, la question n'est pas abstraite. Combien coûte réellement la conformité AI Act si on l'additionne aux surcoûts de licence liés aux modules de gouvernance, aux prestations de conseil pour cartographier les systèmes en place, et aux éventuels audits tiers requis pour les systèmes à haut risque ? Et dans cette équation, quelle part de la dépense reste captive d'un acteur unique, sans alternative crédible identifiée ?

C'est précisément ce calcul que les directions IT européennes doivent faire — et que trop peu ont encore formalisé. Le lock-in ne se mesure plus seulement en coûts de migration technique. Il se mesure aussi en coûts de conformité réglementaire rendus dépendants d'un fournisseur spécifique.

Ce que les DSI européens peuvent faire maintenant : reprendre la main sur la cartographie de leurs systèmes IA

Face à ce tableau, il serait trop simple de conclure à l'impuissance. Il existe des leviers concrets, et l'AI Act — aussi imparfait soit-il dans sa mise en œuvre — offre aux organisations européennes une occasion rare de reprendre la main sur un périmètre qui leur avait partiellement échappé.

Le premier levier est la cartographie. L'obligation de transparence crée une contrainte légale de recensement de tous les systèmes d'IA en usage dans l'organisation. C'est une tâche ingrate, mais elle est structurante. Une organisation qui sait précisément quels systèmes d'IA elle utilise, à quel niveau de risque ils correspondent, et sur quelle infrastructure ils opèrent, est une organisation qui a repris la main sur son architecture de décision. Cette cartographie, faite sérieusement, révèle souvent des dépendances invisibles — et ouvre la porte à des arbitrages.

Le deuxième levier est la contractualisation. L'AI Act impose de nouvelles obligations aux fournisseurs de systèmes d'IA à haut risque. Ces obligations doivent se traduire contractuellement. Les DSI et leurs équipes juridiques ont aujourd'hui un argument réglementaire solide pour renégocier les clauses de leurs contrats avec leurs fournisseurs technologiques — sur la transparence des modèles, sur la localisation des données, sur les garanties d'auditabilité.

Le troisième levier est la sélection. À périmètre fonctionnel comparable, la conformité AI Act native d'un éditeur européen représente un avantage réel qui doit désormais peser dans les appels d'offres. Pas comme argument symbolique, mais comme critère d'évaluation du coût total de possession — en intégrant le coût de la conformité dans le calcul, et pas seulement le coût de la licence.

L'AI Act n'est pas une solution à la dépendance numérique européenne. C'est un instrument qui peut, si les organisations savent s'en saisir, redonner de la lisibilité et du pouvoir de négociation aux acheteurs de technologie. La différence entre une contrainte subie et un levier actionné tient souvent à la qualité de la décision prise dans les prochains mois budgétaires.

La fenêtre est ouverte. Elle ne le restera pas indéfiniment.

*Cet article fait partie de la série RiffLab Media « Souveraineté numérique en actes » — analyses économiques et stratégiques pour les décideurs IT européens.*