IA Act, conformité RGPD, audit de stack : les PME/ETI européennes paient l'addition d'une dépendance qu'elles n'ont pas choisie

# IA Act, conformité RGPD, audit de stack : les PME/ETI européennes paient l'addition d'une dépendance qu'elles n'ont pas choisie

Le calendrier réglementaire européen est désormais connu. L'IA Act s'applique par paliers, et les obligations concrètes pour les systèmes d'IA à haut risque pèsent déjà sur les entreprises qui les déploient — pas seulement sur celles qui les fabriquent. Pour une PME ou une ETI qui a intégré des outils d'automatisation, d'aide à la décision RH, de scoring client ou de gestion documentaire, 2026 n'est pas une année de transition. C'est une année d'exposition.

Mais voilà la question que personne ne pose frontalement dans les guides de mise en conformité : qui a fourni ces outils ? Et depuis quel territoire sont-ils opérés ?

La conformité comme révélateur

Audit de documentation, traçabilité des décisions automatisées, registre des systèmes d'IA, désignation d'un interlocuteur réglementaire en cas de contrôle : les obligations de l'IA Act sont concrètes, techniques, et coûteuses en temps interne. Pour une ETI de taille moyenne, sans équipe juridique dédiée, c'est une charge réelle.

Mais cette charge a une vertu inattendue : elle oblige enfin à cartographier ce qu'on a vraiment dans son système d'information. Et c'est là que les réveils sont douloureux.

Dans la majorité des cas, les PME et ETI européennes découvrent que leurs outils d'IA — souvent intégrés en mode SaaS, parfois sans décision explicite de la DSI — reposent sur des modèles développés et opérés par des acteurs américains, hébergés hors d'Europe, avec des contrats qui transfèrent la gouvernance des données vers des juridictions étrangères. L'IA Act exige une documentation que ces fournisseurs ne sont pas toujours en mesure — ou en volonté — de fournir dans les délais requis.

La conformité, dans ce contexte, ne protège pas l'entreprise. Elle lui facture le prix de ses choix passés.

Le vrai sujet n'est pas technique, il est politique

Il faut nommer ce qui se passe. Depuis plusieurs années, l'offre dominante américaine a capturé une part significative des flux d'IA en entreprise, précisément parce qu'elle était accessible, bien intégrée, et bon marché à l'entrée. Les plateformes ont joué sur la friction minimale : un connecteur, une API, quelques clics, et l'IA est « dans votre workflow ».

Ce modèle a fonctionné. Il a aussi construit une dépendance structurelle que la réglementation européenne est en train de révéler au grand jour.

Aujourd'hui, quand un RSSI doit produire une documentation de conformité sur un système d'IA qu'il n'a pas choisi — intégré par un éditeur tiers, opéré sur une infrastructure hors Europe, avec un modèle de fondation dont la traçabilité est partielle — il se retrouve à devoir auditer une boîte noire qu'il n'a jamais eu les clés.

C'est précisément ce que les défenseurs de la souveraineté numérique alertaient depuis des années. Pas un fantasme idéologique. Un risque opérationnel, aujourd'hui documenté par les exigences réglementaires elles-mêmes.

L'opportunité pour l'écosystème européen — à condition de ne pas rater la fenêtre

Il serait intellectuellement malhonnête de ne pas le dire : l'IA Act crée une pression réglementaire qui est, objectivement, une fenêtre d'opportunité pour les acteurs européens capables de proposer des alternatives conformes par conception.

Des éditeurs comme Aleph Alpha, côté modèles, ou des intégrateurs spécialisés qui construisent leurs pipelines sur des infrastructures souveraines, ont un argument commercial que la réglementation vient soudainement rendre très concret : la conformité n'est pas une option à cocher, c'est un avantage compétitif si elle est native.

Mais cette fenêtre ne restera pas ouverte indéfiniment. Les acteurs américains ne sont pas passifs. Ils investissent massivement dans des certifications européennes, des datacenters locaux, des programmes de conformité packagés — tout en conservant le contrôle effectif sur leurs modèles, leurs données d'entraînement, et leurs conditions contractuelles. La forme change. Le fond reste.

Le risque, pour les PME et ETI européennes, est de confondre conformité locale et souveraineté réelle. Un modèle américain hébergé en Europe n'est pas un modèle européen. Une certification ne remplace pas une gouvernance.

Ce que ça coûte de ne pas avoir posé la question avant

Le coût de la mise en conformité est réel. Mais il ne faut pas se tromper sur ce qu'il mesure. Il ne mesure pas la complexité de la réglementation. Il mesure l'écart entre l'architecture réelle d'un SI et les exigences minimales d'une économie numérique qui se dote enfin de règles.

Les DSI et CTO qui ont anticipé — qui ont structuré leur stack d'IA autour d'acteurs documentables, auditables, opérant sous droit européen — ne lisent pas l'IA Act comme une contrainte. Ils le lisent comme une validation.

Les autres ont un travail devant eux. Et une question à se poser sérieusement : la prochaine brique d'IA qu'ils intégreront, ils la choisiront comment ?