AI Act : « Nous ne pouvons plus acheter de l'IA comme on achetait du SaaS »

# AI Act : « Nous ne pouvons plus acheter de l'IA comme on achetait du SaaS »

*Depuis l'entrée en vigueur des premières obligations de l'AI Act en 2025, les entreprises européennes naviguent dans un nouveau régime de conformité qui transforme en profondeur leurs décisions d'achat et de déploiement de modèles IA. Nous avons interrogé un DSI d'une ETI industrielle franco-allemande de taille intermédiaire, en charge d'un parc de près de 2 000 utilisateurs et d'une migration IA entamée depuis dix-huit mois. Il témoigne à titre personnel.*

RiffLab : Un an après les premières échéances de l'AI Act, qu'est-ce qui a réellement changé dans la façon dont vous évaluez un modèle IA avant de le déployer ?

Tout a changé dans la séquence de décision. Avant, on évaluait un modèle à peu près comme un logiciel : performance, coût de licence, facilité d'intégration. Aujourd'hui, la première question est : où ce modèle est-il entraîné, sur quelles données, avec quelles garanties de traçabilité ? Ce n'est pas une posture idéologique. C'est une contrainte réglementaire concrète. Dès lors qu'on classe un cas d'usage en risque élevé — et nous en avons plusieurs, notamment sur la maintenance prédictive et l'assistance à la décision RH — nous devons être en mesure de produire une documentation technique complète du modèle, de justifier son évaluation pré-déploiement et d'assurer une supervision humaine continue. Ce n'est plus une case à cocher en fin de projet. C'est une condition d'entrée.

RiffLab : Concrètement, cela se traduit comment sur votre budget IT ?

Par une ligne budgétaire nouvelle que j'appelle le « coût de la conformité IA ». Elle recouvre plusieurs réalités : les heures internes et externes passées à documenter les systèmes, les audits tiers que nous anticipons pour nos cas d'usage à risque élevé, la mise en place de registres d'incidents et de mécanismes de monitoring en production. Ce n'est pas anodin. Sur notre exercice en cours, cette ligne représente une charge que nous n'avions pas provisionnée il y a deux ans. Et je ne parle pas encore des coûts indirects : les projets ralentis parce qu'on a dû requalifier un cas d'usage, ou les modèles qu'on a dû écarter faute de documentation suffisante côté fournisseur.

Le problème, c'est que ce coût n'est pas uniforme selon les fournisseurs. Certains acteurs américains livrent des modèles en mode boîte noire, avec des conditions contractuelles qui rendent très difficile l'accès à la documentation technique exigée par l'AI Act. Vous vous retrouvez à payer la conformité vous-même, alors que le fournisseur encaisse la marge.

RiffLab : Vous pointez les acteurs américains. Est-ce que l'AI Act crée objectivement un avantage compétitif pour les fournisseurs européens ?

C'est plus nuancé que ça, mais la direction est là, oui. Un fournisseur européen qui a construit son offre en anticipant l'AI Act — avec une documentation native, une gouvernance des données lisible, un hébergement en Europe — part avec un avantage structurel sur les appels d'offres où la conformité est un critère éliminatoire. Et ces appels d'offres vont se multiplier, notamment dans les secteurs régulés : industrie, santé, finance.

Ce que je constate sur le marché, c'est que des acteurs comme Aleph Alpha, qui ont fait de la transparence sur les modèles un argument commercial, sont soudainement beaucoup plus audibles en comité d'achat qu'ils ne l'étaient il y a deux ans. Ce n'est pas de la charité. C'est du risque management. Si mon fournisseur IA ne peut pas me fournir la documentation que l'AI Act m'impose de détenir, c'est moi qui suis exposé à la sanction, pas lui.

RiffLab : Et du côté de l'offre dominante américaine — les grands modèles accessibles via API — comment gérez-vous la tension entre performance perçue et conformité réelle ?

C'est le nœud du problème. Ces modèles ont des capacités qui restent attractives pour certains cas d'usage. Mais leur modèle de distribution — accès via API, données potentiellement traitées hors UE, conditions contractuelles qui évoluent unilatéralement — génère un risque systémique que beaucoup de DSI sous-estiment encore.

J'ai vu des confrères signer des engagements pluriannuels sur des API IA au moment même où l'acteur américain concerné modifiait ses tarifs de manière significative. Quand vous avez intégré ces appels API dans vingt workflows métier, votre capacité de négociation est proche de zéro. Vous êtes captif. L'AI Act ne résout pas la dépendance tarifaire, mais il oblige à une diligence qui, si elle est faite sérieusement, révèle souvent la fragilité de ces architectures d'un point de vue souveraineté.

Ma règle interne est simple : tout cas d'usage classé risque élevé doit reposer sur un modèle dont je contrôle l'hébergement et pour lequel j'ai accès à la documentation complète. Ça exclut de facto les API publiques des grands acteurs américains pour ces usages.

RiffLab : La mise en conformité AI Act représente donc aussi un levier pour rééquilibrer les relations avec les fournisseurs ?

Absolument, et c'est l'angle que beaucoup de DSI n'ont pas encore exploité. L'AI Act donne un fondement juridique à des exigences que vous étiez auparavant en position de faiblesse pour formuler. Demander à un fournisseur la documentation technique complète de son modèle, l'accès aux logs d'entraînement, une clause de portabilité des données — avant, vous sembliez paranoïaque ou difficile. Aujourd'hui, vous citez un article du règlement. Ça change la dynamique.

Certaines ETI de mon réseau commencent à mutualiser leurs audits fournisseurs sur l'IA, exactement comme on l'a fait il y a dix ans sur la sécurité cloud. C'est une opportunité pour des cabinets d'audit européens spécialisés, et pour des fournisseurs qui jouent la transparence comme différenciant. Le marché s'organise, lentement, mais il s'organise.

RiffLab : Dernière question : dans deux ans, quelle sera selon vous la principale ligne de fracture entre les entreprises européennes qui auront su tirer parti de l'AI Act et celles qui auront subi ?

La capacité à avoir traité la conformité comme un actif stratégique plutôt que comme un coût de gestion. Les entreprises qui auront investi dans la documentation de leurs systèmes IA, dans la traçabilité des données d'entraînement, dans la gouvernance des modèles — ces entreprises auront en réalité construit une infrastructure de confiance qui vaut bien au-delà de la conformité réglementaire. Elles pourront travailler avec des partenaires publics, accéder à des marchés régulés, et surtout ne pas se retrouver otages d'un acteur dont les conditions contractuelles changent au gré de sa stratégie commerciale.

Celles qui auront attendu, ou qui auront fait du minimum syndical, se retrouveront à devoir tout reconstruire sous la pression — avec des coûts bien supérieurs et des systèmes déjà entrelacés avec des offres qui ne satisfont pas les exigences. L'AI Act n'est pas une contrainte européenne supplémentaire. C'est, si on le lit correctement, une incitation à construire une infrastructure IA qu'on contrôle vraiment.

*Propos recueillis par la rédaction de RiffLab Media. L'interlocuteur s'exprime à titre personnel et non au nom de son organisation.*