IA Act : implémenter la transparence sans financer la dépendance américaine

# IA Act : implémenter la transparence sans financer la dépendance américaine

L'IA Act est entré en vigueur. Pour votre organisation, la conformité n'est pas une option — mais la manière de l'atteindre, si. Trop d'équipes IT vont réflexivement se tourner vers les modules de conformité que les acteurs américains dominants ont déjà commencé à packager dans leurs offres cloud. C'est le chemin de la facilité. C'est aussi celui qui transforme une obligation réglementaire européenne en nouvelle ligne de revenus pour des prestataires extra-européens, tout en ancrant un peu plus votre SI dans une architecture dont vous ne contrôlez ni les prix ni la roadmap.

Ce guide vous donne les étapes concrètes pour implémenter les exigences de transparence de l'IA Act avec des outils et des prestataires dont le siège, les données et la gouvernance restent sur le territoire européen.

Étape 1 — Cartographier vos systèmes d'IA et leur niveau de risque avant tout achat

Avant d'ouvrir un bon de commande, votre première dépense doit être interne : du temps d'analyse. L'IA Act distingue plusieurs niveaux de risque, et les obligations de transparence ne s'appliquent pas de la même façon à un chatbot RH qu'à un système d'aide à la décision de crédit.

Ce que vous devez produire : un inventaire documenté de chaque système d'IA déployé ou en cours de déploiement, avec pour chaque entrée : la finalité, les données traitées, le niveau de risque selon la classification IA Act, et le prestataire actuel.

Point budgétaire critique : si votre inventaire révèle que la majorité de vos systèmes d'IA à risque élevé reposent sur une infrastructure d'un acteur américain unique, vous êtes doublement exposé. D'abord réglementairement, car vous dépendez de la capacité et de la volonté de ce prestataire à vous fournir la documentation technique requise. Ensuite économiquement, car ce prestataire sait que votre conformité est désormais conditionnée à sa coopération — et il tarifiera cette coopération en conséquence.

Outil recommandé pour cette étape : une cartographie en interne via un tableur structuré suffit dans un premier temps. Des éditeurs européens comme Citalid (gestion du risque cyber et tiers) proposent des approches de cartographie des dépendances applicables à ce type d'exercice sans envoyer votre inventaire aux États-Unis.

Étape 2 — Comprendre précisément ce que la transparence exige de vous (et pas de votre fournisseur)

Erreur fréquente : déléguer mentalement la conformité au fournisseur d'IA. L'IA Act est clair : si vous déployez un système d'IA à risque élevé, vous êtes l'opérateur et vous portez des obligations propres, indépendamment de ce que fait l'éditeur.

Les exigences de transparence applicables aux opérateurs incluent :

• Information des utilisateurs : toute personne interagissant avec un système d'IA à risque élevé ou un système génératif doit en être informée de manière intelligible.
• Documentation technique : vous devez être en mesure de produire, sur demande des autorités, la documentation sur le fonctionnement du système, ses limites, ses données d'entraînement (pour les systèmes que vous développez ou faites développer).
• Registre de conformité : pour les systèmes à risque élevé, un registre opérationnel documentant les contrôles effectués doit être maintenu.
• Logs d'audit : conservation des journaux de fonctionnement permettant une traçabilité des décisions produites par le système.

Point budgétaire critique : si vos logs sont stockés chez un prestataire américain, leur accessibilité en cas de contrôle réglementaire européen peut être soumise au Cloud Act américain. Votre journal d'audit de conformité IA Act peut théoriquement être accessible à des autorités américaines sans notification. C'est une contradiction juridique que votre RSSI doit documenter formellement.

Étape 3 — Sélectionner une infrastructure de logs et de traçabilité souveraine

La traçabilité des décisions IA suppose un stockage des logs fiable, horodaté, infalsifiable et accessible à vos équipes et aux régulateurs européens uniquement.

Ce que vous cherchez : un hébergement qualifié SecNumCloud ou équivalent européen reconnu, avec des garanties contractuelles explicites d'absence de transfert de données hors UE.

Ce que vous évitez : loger vos journaux d'audit dans le même environnement cloud que celui qui fait tourner votre modèle d'IA américain. La dépendance se superpose alors à la dépendance.

Acteur à regarder : Outscale (filiale de Dassault Systèmes, qualifié SecNumCloud) propose une infrastructure de stockage objet et de journalisation qui peut accueillir vos logs d'audit dans un cadre juridiquement imperméable au droit américain. Ce n'est pas la solution la moins chère à l'unité, mais le coût d'un audit réglementaire raté ou d'une mise en demeure de l'ANSSI se calcule différemment.

Checklist pour cette étape :

• [ ] Vérifier la qualification SecNumCloud ou ISO 27001 + HDS de l'hébergeur des logs
• [ ] Exiger contractuellement l'absence de sous-traitance hors UE
• [ ] Valider que les logs sont exportables dans un format ouvert (pas de format propriétaire)
• [ ] Tester l'accessibilité des logs sur une fenêtre de 24 mois minimum (durée de conservation recommandée)

Étape 4 — Outiller la documentation technique avec des solutions maîtrisées

L'IA Act impose une documentation technique structurée pour les systèmes à risque élevé. Cette documentation doit décrire le système, ses performances, ses biais connus, ses données d'entraînement et ses cas d'usage prévus et exclus.

Si vous utilisez un modèle d'IA développé par un acteur américain, vous êtes tributaire de ce qu'il accepte de vous communiquer. Or, les grandes plateformes d'IA américaines ne fournissent pas systématiquement une documentation technique au niveau de granularité qu'exige l'IA Act pour les systèmes à risque élevé. Ce point est un angle mort majeur de nombreuses stratégies de conformité actuelles.

Deux options concrètes :

1. Si vous développez ou faites développer le modèle : exiger contractuellement du prestataire de développement une livraison de documentation conforme au format annexe IV de l'IA Act. Des ESN européennes spécialisées en IA (présentes en France, Allemagne, Pays-Bas) proposent désormais des livrables de conformité intégrés à leurs contrats de développement. Intégrez cette clause dès l'appel d'offres.

2. Si vous utilisez un modèle tiers : privilégier des modèles dont le code et les poids sont accessibles et documentés. Aleph Alpha (éditeur allemand) et les modèles issus de l'écosystème Hugging Face (dont le siège européen est à Paris) permettent un accès à la documentation technique que les modèles propriétaires américains ne permettent pas. Ce n'est pas un choix idéologique — c'est une condition de conformité.

Étape 5 — Structurer le registre de conformité sans créer un projet fantôme

Le registre de conformité n'est pas un document Word envoyé à la DPO une fois par an. C'est un dispositif opérationnel, vivant, qui doit tracer les contrôles effectués sur le système d'IA, les incidents détectés, les modifications apportées.

Format minimal viable :

• Un outil de gestion documentaire avec versioning (pas de Google Docs, pour les raisons évoquées plus haut)
• Un workflow de validation interne avec traçabilité des approbations
• Une fréquence de révision définie contractuellement avec les équipes métier qui opèrent le système

**Point budgétaire :** ne créez pas une usine à gaz. Un registre hébergé sur votre instance **Nextcloud** (solution européenne open source) avec un modèle de document standardisé par système d'IA est suffisant pour la majorité des PME/ETI. Ce qui coûte cher, c'est l'absence de registre au moment d'un contrôle — pas l'outil qui le supporte.

Étape 6 — Préparer la relation avec votre autorité nationale compétente

En France, c'est la CNIL qui est désignée comme autorité de surveillance pour un nombre significatif de cas d'usage IA Act. Ne découvrez pas votre interlocuteur régulateur au moment d'une mise en demeure.

Actions concrètes :

• Identifier dès maintenant quel régulateur est compétent pour vos systèmes à risque élevé (selon le secteur : ACPR pour la finance, HAS pour la santé, CNIL en transversal)
• Documenter formellement votre démarche de conformité — une démarche documentée imparfaite vaut mieux qu'une conformité parfaite non documentée
• Anticiper les demandes de coopération : les autorités européennes ne peuvent pas accéder à vos logs si ceux-ci sont soumis à une juridiction américaine

Ce que ça coûte réellement de faire ça avec des outils souverains

La question budgétaire honnête : une infrastructure de conformité IA Act construite sur des briques souveraines européennes coûte-t-elle plus cher que d'activer les modules de conformité proposés par un hyperscaler américain ?

A court terme, potentiellement oui, sur les coûts d'intégration. A moyen terme, non — et pour une raison simple : les hyperscalers ont structurellement intérêt à ce que votre conformité dépende de leurs services. Chaque exigence réglementaire nouvelle est pour eux une opportunité de vendre un module additionnel à marges élevées, avec une renégociation tarifaire à chaque renouvellement.

Une architecture de conformité souveraine, construite sur des composants ouverts et des prestataires européens, vous donne une chose que les modules packagés ne donnent pas : la capacité de changer de prestataire sans recommencer votre conformité de zéro.

C'est ça, la vraie valeur économique de la souveraineté numérique — pas un argument politique, une ligne sur votre TCO.