IA Act : quand la conformité devient un levier de souveraineté

# IA Act : quand la conformité devient un levier de souveraineté

*En 2026, l'IA Act européen s'applique pleinement aux systèmes d'IA à haut risque. Pour beaucoup de DSI, c'est une contrainte de plus. Pour d'autres, c'est une opportunité de reprendre la main. Nous avons interrogé un DSI d'une ETI industrielle française, engagé depuis deux ans dans un chantier de mise en conformité. Il partage son analyse — sans langue de bois.*

RiffLab : On entend beaucoup parler de l'IA Act depuis son entrée en vigueur progressive. Pour quelqu'un qui découvre le sujet, c'est quoi exactement ?

L'IA Act, c'est le règlement européen sur l'intelligence artificielle. Il est entré en application par étapes depuis 2024. En 2026, les obligations concernant les systèmes dits « à haut risque » sont pleinement actives.

Un système à haut risque, c'est une IA utilisée dans des domaines sensibles : recrutement, crédit, gestion des ressources humaines, sécurité industrielle, infrastructure critique. Si vous utilisez un outil d'IA pour trier des CV ou évaluer des performances, vous êtes probablement concerné.

Le cœur du règlement, c'est la transparence. Vous devez être capable d'expliquer comment votre système prend ses décisions. Vous devez documenter les données d'entraînement. Vous devez prévoir une supervision humaine. Et vous devez tenir un registre de conformité.

En résumé : fini le « boîte noire » assumé.

RiffLab : Concrètement, qu'est-ce que ça change dans votre quotidien de DSI ?

Ca change beaucoup de choses. Et pas que dans le bon sens, soyons honnêtes.

D'abord, ça oblige à inventorier. Beaucoup d'entreprises, y compris la nôtre au départ, n'avaient pas de cartographie claire de leurs usages IA. On avait des outils embarqués dans des logiciels tiers, des briques achetées avec des suites applicatives, des expérimentations menées par les métiers sans passer par la DSI. L'IA Act nous a forcés à mettre tout ça sur la table.

Ensuite, ça oblige à poser des questions auxquelles les fournisseurs ne sont pas toujours capables de répondre. Quand vous demandez à un éditeur américain de vous documenter le processus d'entraînement de son modèle, les données utilisées, les biais testés — vous obtenez souvent du silence, ou des réponses commerciales vagues. Ce n'est pas de la mauvaise volonté forcément. C'est que leur modèle de distribution globale n'a pas été conçu pour ce niveau d'exigence réglementaire européenne.

Et c'est là que ça devient intéressant d'un point de vue stratégique.

RiffLab : Vous dites « intéressant stratégiquement ». Vous voyez donc dans la conformité une opportunité, pas seulement une contrainte ?

Oui, clairement. Et je pense que les DSI qui ne voient que la contrainte passent à côté de quelque chose d'important.

Voici ce que j'observe : les acteurs américains dominants ont construit leurs offres IA dans un contexte réglementaire très permissif. Leur avantage concurrentiel repose en partie sur cette liberté. L'opacité des modèles, l'agrégation massive de données, la vitesse de déploiement sans audit — c'est leur modèle.

L'IA Act crée une friction pour eux. Pas une barrière infranchissable, mais une friction réelle. Leurs équipes juridiques et techniques doivent s'adapter à un cadre qu'elles n'ont pas conçu et qui ne correspond pas à leur architecture native.

Pendant ce temps, des acteurs européens — des éditeurs de logiciels, des fournisseurs de modèles ouverts, des intégrateurs — construisent leurs offres *en intégrant la conformité dès la conception*. Ce qu'on appelle le « compliance by design ». C'est un avantage réel sur le marché européen. Et c'est une fenêtre d'opportunité qui ne durera pas indéfiniment.

RiffLab : Justement, quels types d'outils avez-vous identifiés pour vous conformer sans vous retrouver dépendant d'acteurs non-européens ?

Je vais être prudent sur ce point, parce que je ne veux pas faire de publicité déguisée. Mais je peux vous donner les critères que nous avons appliqués.

Premier critère : la traçabilité des données d'entraînement. On a exigé que le fournisseur soit capable de nous dire quelles données ont servi à entraîner le modèle, avec quelle licence, dans quel pays elles ont été traitées. C'est une exigence basique de l'IA Act, mais c'est aussi un filtre naturel. Beaucoup d'offres dominantes ne passent pas ce test.

Deuxième critère : l'hébergement. On a orienté nos choix vers des solutions dont les données restent sur des infrastructures soumises au droit européen. Le RGPD — le règlement général sur la protection des données — et l'IA Act sont liés. Si vos données d'inférence partent hors UE, vous avez un double problème de conformité.

Troisième critère : l'auditabilité. Peut-on faire intervenir un tiers indépendant pour auditer le système ? Certains fournisseurs européens proposent des architectures pensées pour ça. D'autres, non.

Nous avons travaillé avec un éditeur allemand spécialisé dans l'explicabilité des modèles — ce qu'on appelle le XAI, pour *Explainable AI* — et avec un hébergeur souverain français pour le stockage et l'inférence. Ce n'est pas parfait, mais c'est auditable. Et c'est documenté.

RiffLab : Y a-t-il des secteurs ou des types d'entreprises européennes qui tirent mieux leur épingle du jeu dans cette transition ?

Oui, et c'est une observation qui me frappe.

Les entreprises industrielles — ce qu'on appelle parfois le Mittelstand en Allemagne, ou les ETI de l'industrie en France, en Italie, en Scandinavie — ont globalement une culture de la documentation et de la traçabilité plus forte que d'autres secteurs. La norme ISO 9001, les certifications qualité, les audits de processus — tout ça crée une maturité organisationnelle qui facilite la mise en conformité avec l'IA Act.

À l'inverse, certaines entreprises du secteur des services qui ont adopté des outils IA très rapidement, souvent via des suites collaboratives américaines intégrant des fonctions IA de manière peu visible, se retrouvent dans une situation délicate. Elles ont des usages IA qu'elles ne maîtrisent pas, dans des outils dont elles ne contrôlent pas l'architecture. La mise en conformité est bien plus complexe et coûteuse pour elles.

En termes de géographie européenne, je constate que les entreprises nordiques et germaniques ont globalement pris de l'avance. Moins par vertu que par habitude réglementaire. La France rattrape son retard, notamment dans l'industrie. L'Europe du Sud est plus en difficulté, souvent par manque de ressources dédiées à la gouvernance des données.

RiffLab : Un dernier message pour les DSI qui lisent cet article et qui n'ont pas encore commencé leur chantier de conformité IA Act ?

Ne regardez pas l'IA Act comme un audit fiscal. C'est une erreur de cadrage.

Si vous l'abordez comme une contrainte pure, vous allez chercher le chemin le plus court pour cocher les cases. Et très probablement, vous allez vous appuyer sur les outils que vous avez déjà en place — souvent des outils américains — en espérant qu'ils se conforment pour vous. C'est risqué, parce que vous déléguez votre conformité à des acteurs dont ce n'est pas l'intérêt prioritaire.

Si vous l'abordez comme une opportunité de cartographie et de maîtrise de votre SI, vous allez en sortir avec une meilleure connaissance de ce qui tourne dans votre système d'information, une capacité à choisir vos fournisseurs sur des critères solides, et une position de confiance vis-à-vis de vos clients et partenaires.

La souveraineté numérique, ce n'est pas un idéal abstrait. C'est la capacité à répondre « oui » quand un auditeur vous demande : *savez-vous ce que fait votre IA, avec quelles données, et sous quelle juridiction ?* Si vous pouvez répondre oui, vous êtes souverain. Si vous ne pouvez pas, vous êtes dépendant.

Commencez par l'inventaire. Tout part de là.

*Propos recueillis par la rédaction de RiffLab Media. L'interlocuteur a souhaité conserver l'anonymat.*