Gouvernance IA à l'ONU : ne laissons pas d'autres écrire nos règles du jeu

# Gouvernance IA à l'ONU : ne laissons pas d'autres écrire nos règles du jeu

Il y a quelque chose d'inconfortable dans la séquence que nous vivons en ce début 2026. L'ONU se saisit de la régulation de l'IA à l'échelle mondiale. Les négociations avancent. Et pendant ce temps, une large partie des DSI et RSSI de PME/ETI européennes regardent ça de loin, comme si cela ne les concernait pas directement. Comme si c'était un débat de diplomates.

C'est une erreur. Et je vais vous dire pourquoi c'est une erreur que vous ne pouvez plus vous permettre.

Ce qui se joue réellement à New York

Le cadre onusien en cours de construction n'est pas neutre. Il est le produit d'un rapport de force. D'un côté, des États-Unis qui poussent pour une gouvernance IA légère, favorable à leurs champions technologiques. De l'autre, des puissances qui veulent encadrer plus strictement. L'Europe, elle, arrive avec l'AI Act dans les mains — un texte sérieux, ambitieux, mais qui risque de se retrouver en porte-à-faux si le cadre onusien va dans une autre direction.

Pour votre organisation, concrètement, cela signifie une chose : les règles du jeu ne sont pas encore fixées, et les acteurs qui pèsent dans ces négociations sont très majoritairement américains. Les grandes plateformes d'IA que vos équipes utilisent aujourd'hui — ou envisagent d'utiliser demain — sont soumises au droit américain. Cloud Act, FISA, executive orders : aucun cadre onusien ne viendra effacer ces réalités d'extraterritorialité.

Donc non, ce n'est pas un débat de diplomates. C'est votre problème de conformité du trimestre prochain.

La fenêtre de tir pour reconstruire votre gouvernance IA

Je refuse le catastrophisme. Cette période d'instabilité réglementaire est aussi une opportunité rare : celle de poser les bases d'une gouvernance IA qui ne soit pas construite par défaut autour des conditions générales d'utilisation d'un acteur américain dominant.

Voici ce que j'observe dans les organisations les mieux positionnées en ce moment : elles ne se posent pas la question « quel outil IA vais-je adopter ? » en premier. Elles se posent d'abord la question « qui contrôle les données qui alimentent mes systèmes IA, et sous quelle juridiction ? »

C'est le bon ordre. Et c'est là que NIS2, DORA et le RGPD entrent en jeu — pas comme des contraintes supplémentaires, mais comme un cadre de lecture qui vous protège.

NIS2 vous impose de cartographier vos dépendances critiques. Si un modèle IA tiers traite des données opérationnelles sensibles — flux logistiques, données RH, processus financiers — cette dépendance doit apparaître dans votre analyse de risque. DORA, pour celles d'entre vous qui opèrent dans le secteur financier ou en proximité, va encore plus loin : la résilience opérationnelle inclut désormais explicitement les systèmes d'IA tiers. Ce n'est pas une option.

Quant au RGPD, il n'a pas attendu l'ONU pour vous donner des outils. Le principe de minimisation des données, les analyses d'impact (AIPD), l'encadrement des transferts hors UE — tout cela s'applique déjà à vos usages IA. Si votre DPO n'est pas associé à vos décisions d'adoption IA, vous avez un problème structurel.

L'extraterritorialité américaine : arrêtez de faire semblant que ça ne vous concerne pas

Je veux m'arrêter sur un point que beaucoup de DSI de PME/ETI balaient encore d'un revers de main : le Cloud Act. L'argument que j'entends souvent, c'est « nous ne sommes pas assez gros pour être ciblés ». C'est un raisonnement dangereux.

Le Cloud Act ne cible pas des entreprises. Il crée une obligation pour les prestataires américains — quelle que soit la localisation physique des serveurs — de transmettre des données à la justice américaine sur demande. Vous n'avez pas à être la cible pour être exposé. Il suffit que vous soyez un maillon dans une chaîne qui l'est.

En 2026, avec des systèmes IA qui agrègent, croisent et déduisent des informations à une vitesse et une profondeur inédites, cette exposition change de nature. Un modèle IA nourri de vos données métier ne stocke pas seulement des données : il en produit de nouvelles, sous forme d'inférences, de patterns, de prédictions. La question n'est plus seulement « où sont mes données ? » mais « que peut-on déduire de mes données, et par qui ? »

C'est un angle que peu d'analyses de risque intègrent encore correctement. C'est pourtant là que se situe la prochaine ligne de front.

Ce que je recommande concrètement

Pas de liste à rallonge. Trois priorités nettes, dans l'ordre.

Première priorité : auditez vos usages IA existants sous l'angle juridictionnel. Pas technologique — juridictionnel. Pour chaque brique IA en production ou en pilote dans votre SI, posez la question : sous quelle loi nationale ce prestataire opère-t-il ? Quelles obligations de coopération avec des autorités étrangères a-t-il ? Si vous ne pouvez pas répondre en moins de dix minutes, vous avez un angle mort.

Deuxième priorité : intégrez un critère de souveraineté dans vos appels d'offres IA. Des acteurs européens — je pense notamment à des éditeurs comme Aleph Alpha côté modèles, ou à des intégrateurs certifiés SecNumCloud — proposent des alternatives crédibles pour un nombre croissant de cas d'usage. Ce n'est pas un choix idéologique. C'est un choix de gestion du risque réglementaire et d'extraterritorialité.

Troisième priorité : formalisez votre politique de gouvernance IA avant que le cadre onusien ne se stabilise. Parce que si vous attendez que les règles soient définitives pour agir, vous serez en retard. Les organisations qui s'en sortiront le mieux sont celles qui auront construit une gouvernance flexible, fondée sur des principes clairs — traçabilité, minimisation, juridiction contrôlée — et non sur la conformité réactive à un texte précis.

Le vrai enjeu : qui définit les standards par défaut ?

Je terminerai par cette observation. Dans toutes les grandes transitions technologiques, il y a un moment où les standards se fixent. Souvent par défaut. Souvent parce que l'acteur dominant a occupé le terrain avant que les régulateurs ne se réveillent.

Nous sommes à ce moment pour l'IA. Et la question n'est pas de savoir si l'Europe aura son mot à dire à l'ONU. Elle l'aura, formellement. La vraie question, c'est de savoir si les organisations européennes auront, dans leurs pratiques quotidiennes, construit des usages et des dépendances compatibles avec leur propre cadre réglementaire — ou si elles auront, par commodité, laissé les standards américains devenir leurs standards par défaut.

En tant que DSI ou RSSI d'une PME/ETI européenne, vous n'avez pas à sauver la souveraineté numérique européenne à vous seul. Mais vous avez le pouvoir — et la responsabilité — de ne pas la sacrifier par inaction.