AI Act + RGPD : le guide de survie budgétaire pour les CTO qui refusent de dépendre des hyperscalers américains

# AI Act + RGPD : le guide de survie budgétaire pour les CTO qui refusent de dépendre des hyperscalers américains

Depuis l'entrée en vigueur progressive de l'AI Act, la question n'est plus théorique. Si vous utilisez des modèles d'IA hébergés chez un acteur américain pour des cas d'usage à risque élevé, vous êtes potentiellement en infraction — et votre budget IT porte un risque juridique que votre CFO n'a probablement pas encore chiffré.

Voici ce que vous devez faire, dans quel ordre, et pourquoi chaque étape a une traduction directe sur vos coûts et votre autonomie.

Étape 1 — Cartographier vos usages IA selon la grille de risque AI Act (avant toute autre chose)

L'AI Act classe les systèmes d'IA en quatre niveaux : risque inacceptable, risque élevé, risque limité, risque minimal. Ce classement détermine vos obligations — et donc vos coûts de mise en conformité.

Ce que vous devez faire concrètement :

• Lister tous les cas d'usage IA actifs dans votre SI : scoring RH, détection de fraude, analyse de crédit, tri de candidatures, outils de décision client, chatbots métier.
• Pour chaque usage, identifier si vous êtes déployeur (vous utilisez un modèle tiers) ou fournisseur (vous développez le système). La charge réglementaire n'est pas la même.
• Croiser cette liste avec les annexes III de l'AI Act pour localiser vos usages à risque élevé.

L'angle budgétaire que personne ne vous dit : si vos usages à risque élevé tournent sur des modèles hébergés par un acteur américain, vous devez obtenir de ce fournisseur une documentation technique conforme à l'AI Act (logs, explicabilité, registre de conformité). Ces garanties contractuelles ont un coût — et les acteurs américains les monnaient désormais sous forme de tiers ou d'add-ons premium. Ce n'est pas de la spéculation : c'est la logique commerciale déjà observable sur les modules de conformité RGPD. Anticipez cette ligne budgétaire.

Étape 2 — Auditer vos flux de données IA sous RGPD : l'angle transfert hors UE

RGPD et AI Act se superposent, ils ne se substituent pas. Un système IA conforme à l'AI Act peut très bien violer le RGPD si les données d'entraînement ou d'inférence transitent hors UE sans base légale robuste.

Ce que vous devez faire concrètement :

• Identifier, pour chaque outil IA en production, où les données sont traitées physiquement. Pas où le contrat dit qu'elles sont traitées — où elles le sont réellement, y compris pour les sous-traitants de vos fournisseurs.
• Vérifier la validité de vos bases de transfert : les Clauses Contractuelles Types (CCT) post-Schrems II restent la principale béquille, mais elles n'exemptent pas d'une analyse d'impact sur les transferts (TIA). Cette analyse doit être documentée et tenue à jour.
• Pour les données RH, médicales ou financières traitées par IA : une DPIA (Data Protection Impact Assessment) est obligatoire. Si elle n'existe pas, vous êtes exposé — indépendamment de votre fournisseur.

L'angle budgétaire : une DPIA externalisée à un cabinet spécialisé représente un coût non négligeable, mais c'est un coût maîtrisé et ponctuel. Une amende RGPD sur un traitement IA non documenté peut atteindre 4 % du chiffre d'affaires mondial. Arbitrez en conséquence. Et si votre fournisseur américain change unilatéralement ses conditions de sous-traitance (ce qui est arrivé plusieurs fois ces dernières années), votre TIA est à refaire. C'est un coût récurrent caché que votre contrat actuel n'intègre probablement pas.

Étape 3 — Identifier vos points de dépendance critique et leur coût de sortie réel

La conformité AI Act/RGPD est aussi une opportunité de faire un bilan de dépendance honnête. Pas pour changer de fournisseur du jour au lendemain — pour savoir ce que vous risquez réellement si les conditions changent.

Ce que vous devez faire concrètement :

• Pour chaque fournisseur IA critique, estimer le coût de migration réel : temps de re-paramétrage, requalification des équipes, perte de performance temporaire sur les modèles, renégociation des SLA. Ce chiffre doit exister dans vos tableurs.
• Identifier les fonctionnalités pour lesquelles vous n'avez aucune alternative crédible à ce jour. C'est votre zone de risque maximale.
• Identifier les fonctionnalités pour lesquelles des alternatives européennes existent et sont matures. C'est votre zone d'action prioritaire pour réduire l'exposition.

L'angle budgétaire : les acteurs américains ont une capacité documentée à modifier leurs conditions tarifaires, leurs politiques d'usage et leurs niveaux de service avec des préavis contractuels courts. Chaque point de dépendance non cartographié est un risque budgétaire latent. À l'inverse, migrer vers un acteur soumis au droit européen — avec des datacenters localisés en UE et des garanties contractuelles relevant d'une juridiction européenne — réduit ce risque, même si le coût de migration initiale est réel. Intégrez cette analyse dans votre plan triennal IT.

Étape 4 — Construire votre registre de conformité IA : le document qui vous protège (et qui coûte moins cher que vous ne le pensez)

L'AI Act impose aux déployeurs de systèmes à risque élevé de tenir un registre des usages, de documenter les tests, les biais détectés, les mesures correctives. Ce registre est aussi votre bouclier en cas de contrôle CNIL ou d'audit client.

Ce que vous devez faire concrètement :

• Créer une fiche par système IA à risque élevé : nom du fournisseur, version du modèle, cas d'usage précis, population concernée, données utilisées, mécanisme de supervision humaine en place.
• Documenter les tests de non-discrimination effectués sur vos modèles. Si vous n'en avez pas fait, c'est votre premier chantier.
• Désigner un référent IA interne (pas forcément un poste à temps plein : ça peut être une mission confiée à votre RSSI ou à un DSI adjoint) qui centralise ces documents et assure la mise à jour.
• Articuler ce registre IA avec votre registre de traitements RGPD existant. Ce n'est pas un document séparé : c'est une extension.

L'angle budgétaire : ce registre peut être construit en interne avec des outils que vous possédez déjà. Il n'exige pas de plateforme dédiée à cinq chiffres par an. Ce qui coûte cher, c'est de le faire faire en urgence après un incident ou un contrôle. Planifiez-le sur un sprint de quatre à six semaines, maintenant.

Étape 5 — Intégrer la gouvernance IA dans vos cycles budgétaires : sortir de la réactivité

Le vrai problème de la plupart des DSI européens en 2026 n'est pas technique. C'est organisationnel : la gouvernance IA est gérée en mode pompier, projet par projet, sans ligne budgétaire dédiée et sans portage au CODIR.

Ce que vous devez faire concrètement :

• Créer une ligne budgétaire explicite "Conformité IA/Souveraineté numérique" dans votre budget IT annuel. Même modeste au départ, cette ligne rend visible un enjeu qui sinon reste invisible — et donc non financé.
• Intégrer un critère de conformité AI Act/RGPD dans votre processus d'évaluation fournisseur. Toute solution IA qui ne peut pas fournir de documentation sur la localisation des données et l'explicabilité du modèle est disqualifiée d'emblée.
• Prévoir un budget de veille réglementaire : l'AI Act sera amendé, les guidelines de l'AI Office européen évoluent, les décisions CNIL et des autorités homologues créent de la jurisprudence. Ce n'est pas une option — c'est une charge opérationnelle permanente.
• Présenter annuellement au CODIR une cartographie des risques IA/données avec impact budgétaire chiffré. Ce document transforme la gouvernance numérique en sujet de direction générale, pas en sujet technique.

Ce que ce guide ne vous dit pas (et pourquoi c'est volontaire)

Il n'existe pas de stack magique qui règle tous ces problèmes d'un coup. Il n'existe pas non plus de prestataire européen qui couvre l'ensemble du spectre IA avec le même niveau de maturité que les acteurs américains sur tous les segments — et prétendre le contraire serait vous mentir.

Ce qui existe, c'est une trajectoire : cartographier, documenter, réduire les dépendances là où c'est faisable aujourd'hui, et préparer les migrations là où ça ne l'est pas encore. Chaque étape de ce guide réduit votre surface de risque réglementaire et votre exposition aux décisions unilatérales d'acteurs qui ne relèvent pas du droit européen.

En 2026, la conformité AI Act n'est plus un sujet juridique. C'est un sujet de compétitivité et de résilience budgétaire. Les CTO qui l'ont compris ont une longueur d'avance. Les autres paieront — au sens propre — pour rattraper leur retard.