Marquage IA obligatoire : une contrainte réglementaire ou une chance de reprendre la main sur vos outils ?

# Marquage IA obligatoire : une contrainte réglementaire ou une chance de reprendre la main sur vos outils ?

*En 2026, le marquage des contenus générés par l'IA est devenu une obligation légale dans l'Union européenne. Une contrainte de plus pour les équipes IT ? Ou une opportunité de remettre à plat une dépendance aux outils américains que beaucoup ont laissée s'installer sans vraiment le décider ? Un DSI d'ETI industrielle, en poste depuis huit ans, accepte de répondre sans langue de bois.*

RiffLab Media : Le marquage IA obligatoire, beaucoup de DSI en parlent encore comme d'un sujet de conformité technique. Est-ce qu'ils ont tort ?

Completement. Et cette erreur d'appréciation va leur coûter cher, pas sur le plan de l'amende — encore que — mais sur le plan organisationnel. Quand vous rendez obligatoire le marquage d'un contenu généré par l'IA, vous posez une question que la plupart des directions n'ont jamais voulu traiter frontalement : *qui*, dans votre organisation, produit quoi, avec quel outil, et sous quelle responsabilité ? Ce n'est pas une question technique. C'est une question de gouvernance. Et beaucoup d'entreprises vont découvrir qu'elles n'ont aucune réponse structurée à y apporter.

Ce que j'observe dans mon secteur, c'est que les usages IA se sont développés en mode shadow IT pendant deux ou trois ans. Des équipes commerciales qui utilisent des outils de rédaction US, des équipes RH qui génèrent des fiches de poste, des juristes qui résument des contrats. Tout ça sans traçabilité, sans politique interne, sans même que la DSI en soit informée. Le marquage obligatoire, c'est le révélateur photographique : ça va faire apparaître tout ce qu'on préférait ne pas voir.

RiffLab Media : Justement, parmi les outils qui ont colonisé ces usages en mode shadow IT, les solutions américaines sont largement majoritaires. Pourquoi est-ce que ça pose un problème spécifique au moment de se conformer au marquage ?

Parce que la conformité suppose la traçabilité, et que la traçabilité suppose que vous maîtrisez votre infrastructure. Quand vos équipes utilisent un outil américain en SaaS pour générer du contenu, vous avez une visibilité très partielle sur ce qui se passe réellement : où sont traitées les données, selon quelle version du modèle, avec quels paramètres. Ce n'est pas de la paranoïa, c'est de la réalité contractuelle. Les conditions d'utilisation de ces plateformes sont conçues pour leur laisser une latitude maximale.

Or le marquage IA, dans sa dimension réglementaire européenne, suppose que vous puissiez attester de la chaîne de production d'un contenu. Si vous ne contrôlez pas le modèle, si vous ne savez pas exactement ce qu'il a ingéré, si les logs appartiennent à un acteur américain qui vous les restitue de façon partielle... vous êtes en conformité apparente, pas en conformité réelle. Et le jour où un régulateur creuse, vous n'aurez pas les moyens de vous défendre.

RiffLab Media : Les éditeurs américains ont évidemment anticipé cette obligation réglementaire. Ils proposent des fonctionnalités de marquage intégrées à leurs plateformes. Pourquoi ne pas simplement s'appuyer dessus ?

C'est la question qui me dérange le plus, parce qu'elle révèle jusqu'où le marketing a réussi à cadrer le débat. Quand l'acteur dominant US vous dit « ne vous inquiétez pas, on gère le marquage pour vous », vous devez vous poser une seule question : *dans l'intérêt de qui* ce marquage est-il conçu ?

Ces outils vont marquer ce qu'ils veulent bien marquer, selon leurs propres critères, avec leur propre infrastructure de certification. Vous externalisez non seulement la production du contenu, mais aussi l'attestation de sa nature. C'est une dépendance au carré. Et en cas de litige, en cas d'audit réglementaire, vous n'avez pas la main sur les preuves. Elles sont chez eux.

La conformité réglementaire, ça ne se délègue pas à la même entité dont vous cherchez à attester le comportement. C'est un conflit d'intérêts structurel.

RiffLab Media : Alors quelles compétences faut-il développer en interne pour ne pas tomber dans ce piège ? Et soyons directs : est-ce que les ETI ont les moyens humains de le faire ?

La question des moyens est légitime, mais elle sert souvent d'excuse. Ce que j'entends souvent, c'est : « on n'a pas les ressources pour faire tourner un modèle en interne ». Très bien. Mais il y a un continuum entre « tout déléguer à un acteur américain » et « tout maîtriser seul ». Et ce continuum, la plupart des DSI ne l'explorent même pas.

Les compétences critiques à développer, ce ne sont pas des compétences de data scientist. Ce sont des compétences de gouvernance IA : savoir documenter un workflow de production de contenu, comprendre ce que signe un certificat de marquage, être capable d'interroger un prestataire européen sur ses engagements de traçabilité, savoir rédiger une politique d'usage interne qui a une valeur juridique. Ce sont des compétences hybrides, à la frontière du juridique, du RH et du technique.

Ce que je recommande concrètement : former au moins deux personnes dans l'équipe IT à ces enjeux de gouvernance IA, et impliquer le DPO dès la conception de la politique de marquage. Pas après. Dès le début. Le DPO est souvent le grand oublié de ces chantiers, et c'est une erreur stratégique.

RiffLab Media : Des acteurs européens proposent des solutions de marquage ou de traçabilité IA. Mais comment un DSI peut-il évaluer sérieusement ces alternatives sans tomber dans le panneau inverse — croire sur parole un vendeur européen parce qu'il est européen ?

C'est la bonne question, et je suis content que vous la posiez parce que le souverainisme naïf est aussi un piège. Être hébergé en Europe ou avoir un siège social à Berlin ne suffit pas à garantir une maîtrise réelle de votre chaîne de traitement.

Les critères que j'applique sont au nombre de trois. Premier critère : est-ce que le code source du composant de marquage est auditable ? Pas forcément open source intégral, mais au moins auditabilité sous NDA pour les clients significatifs. Deuxième critère : où sont les logs de traçabilité hébergés, et est-ce que je peux les exporter dans un format standard que je contrôle ? Troisième critère : quel est le modèle contractuel en cas de fin de relation commerciale ? Est-ce que je récupère mes données de traçabilité, ou est-ce qu'elles disparaissent avec l'abonnement ?

Un acteur comme Scaleway, pour ne citer qu'un exemple, a fait des efforts réels sur la transparence de l'infrastructure. Mais la transparence d'infrastructure n'est pas identique à la transparence applicative. Il faut poser les deux questions séparément, et ne pas se laisser répondre sur l'une quand vous avez posé l'autre.

RiffLab Media : Dernière question, la plus inconfortable : est-ce que certaines ETI ne feraient pas mieux d'admettre qu'elles ne sont pas prêtes, plutôt que de simuler une conformité qui ne tient pas à l'examen ?

Oui. Et je pense que c'est en réalité la position la plus défendable juridiquement et stratégiquement. Un régulateur européen fera la différence entre une entreprise qui a documenté honnêtement ses lacunes et construit un plan de remédiation réaliste, et une entreprise qui a coché des cases en achetant une solution américaine clé en main sans comprendre ce qu'elle certifiait.

La conformité performative est le pire des scénarios. Elle vous expose sur tous les fronts : réglementaire, parce que le vernis craque au premier audit sérieux ; organisationnel, parce que vous n'avez pas résolu les vrais problèmes de gouvernance ; et stratégique, parce que vous avez encore approfondi votre dépendance à des acteurs extérieurs.

Le marquage IA obligatoire, je le répète, c'est un révélateur. Les entreprises qui vont s'en sortir sont celles qui l'utilisent pour faire un vrai état des lieux — pas celles qui cherchent le moyen le plus rapide de cocher la case et de passer à autre chose.

*Cet entretien a été réalisé avec un DSI d'ETI industrielle européenne. Son identité est préservée à sa demande.*