Marquage 'généré par IA' : comment une ETI industrielle a évité de se lier les mains aux outils américains

# Marquage 'généré par IA' : comment une ETI industrielle a évité de se lier les mains aux outils américains

Ce que dit la règle — et pourquoi elle change tout pour les équipes IT

Depuis août 2024, le règlement européen sur l'IA — l'AI Act — impose une obligation nouvelle : tout contenu généré ou significativement modifié par une intelligence artificielle doit être identifié comme tel. Concrètement, si votre équipe marketing produit une fiche produit avec un outil d'IA générative, si votre service RH génère un compte-rendu d'entretien automatiquement, ou si votre support client utilise un chatbot pour rédiger des réponses — tout cela doit porter une mention explicite.

L'objectif est clair : transparence vis-à-vis des utilisateurs finaux, qu'ils soient clients, partenaires ou salariés. Ne pas s'y conformer expose l'entreprise à des sanctions.

Mais derrière cette obligation de conformité se cache une question plus stratégique, souvent ignorée dans les premières semaines : avec quels outils se met-on en conformité — et à quel prix en termes de dépendance ?

C'est exactement le piège dans lequel a failli tomber une ETI industrielle de 800 salariés, dont nous rapportons l'expérience ici de façon anonymisée.

Le réflexe initial : aller vers ce qu'on connaît déjà

Cette ETI — fabricant de composants techniques pour le secteur de l'énergie, présente dans trois pays européens — utilisait déjà, comme beaucoup, plusieurs outils américains dans son quotidien : suite bureautique, messagerie, outils de ticketing. Lorsque l'obligation de marquage IA est entrée en vigueur, la DSI (Direction des Systèmes d'Information) a d'abord cherché à s'appuyer sur ce qu'elle avait sous la main.

Le raisonnement semblait logique : l'acteur américain dominant de la suite bureautique proposait déjà des fonctions d'IA générative intégrées. Et il annonçait — comme souvent — que la conformité serait "gérée automatiquement" dans ses prochaines mises à jour.

Le DSI a alors posé une question simple à son équipe : "Si on s'appuie sur leur système de marquage, qui contrôle réellement que le marquage est bien appliqué, auditable, et conforme à notre interprétation du règlement ?"

La réponse était inconfortable : personne, côté ETI, ne pouvait l'attester. Le marquage était une boîte noire opérée côté fournisseur américain, dans des datacenters hors de l'Union européenne, selon des modalités non auditables par un tiers européen.

Comprendre l'enjeu réel : le marquage n'est pas qu'une étiquette

Une confusion fréquente mérite d'être dissipée ici.

Beaucoup d'équipes IT pensent que se mettre en conformité avec l'obligation de marquage, c'est simplement ajouter une mention "Ce contenu a été généré par IA" en bas d'un document. C'est une partie de la réponse — mais une partie seulement.

Pour être réellement conforme et défendable en cas de contrôle, l'entreprise doit être capable de :

• Tracer : savoir quel contenu a été produit ou assisté par IA, quand, et par quel outil.
• Conserver : garder une preuve de ce marquage dans le temps, accessible en cas d'audit.
• Maîtriser : être en mesure d'expliquer comment le marquage est appliqué — et de le modifier si la réglementation évolue.

Ce triptyque — traçabilité, conservation, maîtrise — est au cœur du problème. Et c'est là que la dépendance à un outil américain devient un risque opérationnel concret.

Si le fournisseur américain change ses modalités de marquage — ce qu'il peut faire unilatéralement dans ses conditions générales — l'ETI subit ce changement sans pouvoir réagir. Si une autorité nationale de contrôle demande un audit du système de marquage, l'ETI ne peut pas fournir de documentation technique indépendante.

Le virage : construire une chaîne de traçabilité maîtrisée

La DSI de l'ETI a alors opté pour une approche différente. Plutôt que de déléguer la conformité au fournisseur dominant, elle a choisi de reprendre la main sur la chaîne de traçabilité.

Concrètement, voici ce que cela a changé dans le travail quotidien des équipes IT.

Première étape : cartographier les usages IA réels dans le SI.

Avant de tracer quoi que ce soit, il faut savoir où l'IA est utilisée. L'équipe IT a conduit un recensement interne : quels services utilisent des outils d'IA générative ? Pour quels types de contenus ? Avec quels outils ? Cette cartographie — souvent absente des entreprises — est le prérequis indispensable. Sans elle, le marquage est partiel et la conformité n'est que de façade.

Deuxième étape : centraliser la génération de contenu IA sur des outils auditables.

L'ETI a fait le choix de restreindre les usages IA "officiels" à des outils pour lesquels elle pouvait obtenir une documentation technique complète et dont l'hébergement était localisé en Europe. Elle s'est appuyée sur une solution française spécialisée dans la gestion documentaire augmentée par IA — nous ne citons pas de nom ici pour ne pas réduire le marché à un seul acteur, mais plusieurs éditeurs européens proposent ce type de brique.

L'enjeu n'était pas d'interdire l'IA. C'était de canaliser les usages vers des outils dont elle maîtrisait les logs et les métadonnées.

Troisième étape : automatiser le marquage via un middleware interne.

Un middleware — c'est-à-dire une couche logicielle intermédiaire qui fait le lien entre plusieurs systèmes — a été développé en interne (avec l'appui d'un prestataire européen) pour apposer automatiquement les mentions de marquage sur tout document produit via les outils IA référencés. Ce marquage est horodaté, lié à un identifiant unique du document, et stocké dans un registre interne auditable.

Ce registre — simple dans sa conception — est devenu l'élément central de la conformité. En cas de contrôle, la DSI peut extraire en quelques minutes la liste de tous les contenus marqués, avec leur date de production et l'outil utilisé.

Ce que ça change concrètement pour les équipes IT au quotidien

Cette approche a eu des effets concrets sur l'organisation des équipes.

Elle a d'abord créé une nouvelle responsabilité : un référent conformité IA a été désigné au sein de la DSI. Ce n'est pas un poste à plein temps, mais une mission formalisée, avec des revues trimestrielles du registre de marquage.

Elle a ensuite simplifié les discussions avec la direction juridique. Avant, le juridique demandait des garanties que la DSI ne pouvait pas fournir. Désormais, la DSI dispose d'une documentation claire, produite en interne, indépendante de toute déclaration d'un fournisseur tiers.

Elle a enfin révélé des usages cachés. La cartographie initiale a mis en lumière plusieurs équipes qui utilisaient des outils IA grand public — non référencés, non conformes — pour des tâches quotidiennes. Ce "shadow IT IA" (usage non déclaré d'outils IA dans le SI de l'entreprise) était invisible avant le chantier. Il ne l'est plus.

Ce que les autres ETI peuvent en retenir

L'expérience de cette ETI industrielle illustre un principe qui vaut bien au-delà du marquage IA.

Chaque nouvelle obligation réglementaire est un moment de choix : soit on délègue la conformité au fournisseur dominant — vite, pratique, mais opaque — soit on construit une réponse maîtrisée, qui renforce la capacité d'audit et réduit la dépendance.

La première option est tentante à court terme. Elle est risquée à moyen terme, parce que la conformité devient une boîte noire que l'entreprise ne contrôle pas.

L'AI Act ne sera pas la dernière obligation réglementaire européenne à impacter les SI. Les entreprises qui auront construit une logique de traçabilité maîtrisée seront mieux positionnées pour absorber les suivantes — sans repartir de zéro à chaque fois, et sans dépendre d'un acteur américain pour attester de leur propre conformité.

La souveraineté numérique ne commence pas par un grand discours. Elle commence par savoir, précisément, qui génère quoi dans votre SI — et qui en garde la preuve.