IA en entreprise : reprendre le contrôle avant que quelqu'un d'autre ne le fasse pour vous

# IA en entreprise : reprendre le contrôle avant que quelqu'un d'autre ne le fasse pour vous

> En 2026, la majorité des systèmes d'IA déployés dans les entreprises européennes reposent sur des infrastructures américaines. Ce n'est pas un hasard. C'est le résultat d'une décennie de dépendance construite méthodiquement. La vraie question n'est pas "quelle IA choisir ?" — c'est "qui contrôle réellement votre IA, et à quel titre légal ?"

Pourquoi ce guide existe

L'AI Act européen est entré en vigueur. NIS2 s'impose à un spectre élargi d'organisations. DORA serre la vis sur le secteur financier. Et pourtant, sur le terrain, la plupart des DSI et RSSI de PME/ETI avouent en privé la même chose : ils n'ont aucune visibilité réelle sur ce que leurs outils d'IA font des données qu'ils ingèrent.

Ce n'est pas une question de mauvaise volonté. C'est une question de gouvernance inexistante.

Ce guide ne vous vendra pas une stack miracle. Il vous posera les questions que les commerciaux de vos fournisseurs actuels évitent soigneusement, et vous donnera une méthode pour y répondre vous-même — avant que le régulateur, un incident de sécurité ou un audit client ne vous y force.

Étape 1 — Cartographier ce que vous avez déjà déployé (vraiment)

Commençons par l'évidence inconfortable : vous ne savez probablement pas combien de systèmes d'IA sont actifs dans votre SI.

Les outils d'IA ne se présentent plus comme tels. Ils arrivent intégrés dans votre suite bureautique, dans votre CRM, dans votre outil de visioconférence, dans votre solution RH. Chaque éditeur a ajouté une couche d'IA générative à son offre existante, souvent sans modifier substantiellement les conditions contractuelles.

Ce que vous devez faire concrètement :

• Mandater une revue exhaustive des contrats SaaS actifs pour identifier les clauses relatives à l'IA, au machine learning et à l'entraînement de modèles sur vos données. Ces clauses existent. Elles sont rarement en page 1.
• Interroger vos équipes métier, pas seulement IT : qui utilise un assistant IA ? Lequel ? Depuis quand ? Les usages shadow IT en matière d'IA explosent.
• Identifier pour chaque outil : où le modèle tourne-t-il ? Sur quelle infrastructure ? Dans quelle juridiction ?

La question qui dérange : votre fournisseur vous a-t-il explicitement notifié lorsqu'il a ajouté des fonctionnalités d'IA à un contrat existant ? Si non, votre consentement à ce traitement est-il légalement établi ?

Étape 2 — Évaluer votre exposition réelle au Cloud Act américain

Le Cloud Act de 2018 n'a pas pris de rides. Il autorise les autorités américaines à exiger l'accès aux données hébergées par des entreprises américaines — y compris sur des serveurs physiquement situés en Europe. Aucun accord commercial, aucun certificat de conformité RGPD affiché sur un site marketing ne change ce fait juridique.

En 2026, avec la montée en puissance des modèles d'IA as-a-service, le périmètre d'exposition a considérablement élargi. Vos données ne transitent plus seulement pour être stockées : elles sont désormais utilisées comme contexte d'inférence, parfois comme signal d'entraînement, dans des pipelines dont vous ne maîtrisez ni l'architecture ni la localisation réelle.

Ce que vous devez faire concrètement :

• Pour chaque système d'IA identifié à l'étape 1, documenter : la nationalité juridique de l'éditeur, celle de l'opérateur d'infrastructure sous-jacent, et l'emplacement contractuellement garanti du traitement.
• Distinguer "hébergé en Europe" et "hors de portée du Cloud Act" : ce ne sont pas des synonymes. Un datacenter irlandais opéré par une entité américaine reste soumis au Cloud Act.
• Évaluer quelles catégories de données transitent dans vos pipelines IA : données clients, données contractuelles, propriété intellectuelle, données de santé. Le niveau de risque n'est pas le même.

La question qui dérange : votre assureur cyber a-t-il évalué votre exposition au Cloud Act dans le cadre de votre politique de couverture ? Sinon, pourquoi pas ?

Étape 3 — Appliquer le prisme AI Act à votre inventaire

L'AI Act classe les systèmes d'IA par niveau de risque. Ce classement a des implications directes sur vos obligations en tant qu'entreprise qui *déploie* ces systèmes — pas seulement en tant qu'entreprise qui les *achète*.

Beaucoup de DSI croient encore que la conformité AI Act est l'affaire de l'éditeur. C'est faux. Si vous déployez un système d'IA à risque élevé dans votre organisation, vous êtes considéré comme "déployant" au sens du règlement, avec les obligations qui en découlent : évaluation d'impact, transparence, supervision humaine, documentation technique.

Ce que vous devez faire concrètement :

• Classifier chaque système d'IA inventorié selon les catégories AI Act : risque inacceptable, risque élevé, risque limité, risque minimal. Ne laissez pas votre fournisseur faire cette classification à votre place — il a un conflit d'intérêt évident.
• Vérifier si vos usages RH (recrutement, évaluation, gestion des plannings algorithmiques) ou vos usages de scoring (crédit, risque client) entrent dans la catégorie risque élevé. La réponse est souvent oui.
• Exiger de vos fournisseurs la documentation technique requise par l'AI Act. Si un fournisseur ne peut pas vous la fournir, c'est une information en soi.

La question qui dérange : vos contrats avec vos fournisseurs d'IA prévoient-ils une répartition claire des responsabilités en cas de non-conformité AI Act ? Ou êtes-vous, par défaut, le seul responsable devant le régulateur ?

Étape 4 — Construire une gouvernance IA minimale mais réelle

Une gouvernance IA, ce n'est pas un comité qui se réunit une fois par trimestre pour valider une politique que personne ne lit. C'est un dispositif opérationnel qui répond à trois questions permanentes : qui décide, sur quels critères, et qui vérifie.

En matière de sécurité et de conformité, NIS2 impose désormais aux entités concernées d'intégrer la gestion des risques liés aux prestataires numériques — y compris les fournisseurs d'IA. DORA va plus loin pour le secteur financier : la résilience opérationnelle numérique inclut explicitement les tiers critiques. Votre fournisseur d'IA est probablement un tiers critique.

Ce que vous devez faire concrètement :

• Désigner un responsable IA identifié — pas nécessairement un poste dédié, mais une personne nommée, avec un périmètre et une ligne de reporting claire vers la direction.
• Mettre en place une procédure d'homologation minimale pour tout nouveau système d'IA : fiche de risque, analyse de conformité RGPD/AI Act, évaluation de la dépendance fournisseur.
• Intégrer les fournisseurs d'IA dans votre cartographie des risques tiers (obligatoire NIS2 pour les entités concernées) et définir des plans de continuité si l'un d'eux change ses conditions, ses tarifs, ou disparaît.
• Documenter les décisions assistées par IA qui ont un impact sur des personnes physiques. La traçabilité n'est pas optionnelle.

La question qui dérange : si votre principal fournisseur d'IA modifiait demain unilatéralement ses conditions d'utilisation pour autoriser l'entraînement sur vos données, combien de temps vous faudrait-il pour le détecter ? Pour réagir contractuellement ?

Étape 5 — Évaluer les alternatives à souveraineté renforcée

La souveraineté numérique n'est pas un idéal philosophique. En 2026, c'est une variable d'arbitrage opérationnel. Et le marché européen a évolué : des alternatives crédibles existent sur plusieurs segments, portées par des acteurs dont les modèles économiques ne reposent pas sur la monétisation de vos données d'usage.

Sans faire de catalogue, posez-vous deux questions avant tout renouvellement de contrat IA :

1. L'éditeur est-il soumis à une juridiction étrangère qui peut contraindre l'accès à mes données ? Si oui, à quel niveau de risque acceptez-vous de l'exposer ?

2. Existe-t-il une alternative européenne qui couvre 80% du besoin ? Souvent, la réponse est oui — mais elle n'est pas venue frapper à votre porte avec un budget marketing comparable.

Des initiatives comme le projet européen de certification des services cloud de confiance (EUCS) ou les labels portés par des organismes de standardisation nationaux vous donnent des repères objectifs — imparfaits, mais publics et auditables.

Ce que vous devez faire concrètement :

• Introduire un critère de souveraineté explicite dans vos appels d'offres IA, au même titre que la sécurité ou la performance.
• Ne pas confondre "conforme RGPD" (déclaratif) et "souveraineté vérifiable" (structurelle). Demandez des preuves, pas des certifications.

Ce que ce guide ne vous dira pas

Il ne vous dira pas que la transition est simple, rapide ou sans coût. Il ne vous dira pas non plus qu'il faut tout remettre à plat du jour au lendemain.

Mais il vous dira ceci : les entreprises qui attendent que la conformité soit parfaitement outillée, que les alternatives soient parfaitement matures, ou que la pression réglementaire soit parfaitement claire avant d'agir — ces entreprises découvrent trop tard qu'elles ont sous-traité non seulement leur infrastructure, mais leur capacité de décision.

La gouvernance de l'IA n'est pas une case à cocher. C'est la condition pour que votre organisation reste l'auteur de ses propres choix.

*Article rédigé sans données statistiques non vérifiables. Les références réglementaires citées (AI Act, NIS2, DORA, Cloud Act) sont des textes publics accessibles sur EUR-Lex et les sites officiiciels des régulateurs concernés.*