AI Act : les entreprises les mieux gouvernées seront les plus diligentes.
À première vue, l’AI Omnibus offre un répit aux entreprises. L’accord politique conclu le 7 mai reporte les obligations applicables aux systèmes d’IA à haut risque au 2 décembre 2027 pour les systèmes autonomes et au 2 août 2028 pour ceux intégrés à des produits réglementés.
Y voir une permission d’attendre serait pourtant une erreur stratégique. D’abord car des règles sont déjà applicables (pratiques interdites, transparence, …), ensuite car le cadre européen n’est pas démantelé : gestion des risques, gouvernance des données, transparence, supervision humaine et traçabilité restent au cœur de l’AI Act. Le report répond surtout à une réalité pragmatique : les autorités ne sont pas encore établies, les normes et guidelines des institutions pas encore publiées.
Le 2 août demeure d’ailleurs une première échéance concrète. Les obligations de transparence prévues par l’article 50 s’appliqueront, notamment l’information des personnes lorsqu’elles interagissent avec une IA et l’identification de certains contenus générés ou manipulés par IA. Les règles de marquage sont, elles, décalées au 2 décembre 2026.
Le sujet n’est donc pas de savoir quand l’AI Act s’appliquera finalement, mais comment, dès aujourd’hui créer les conditions pour déployer l’IA sans réinventer leurs règles à chaque projet.
Un cadre pour décider, pas pour ralentir
Dans la pratique, les projets IA ne s’enlisent pas faute d’outils. Ils ralentissent lorsqu’aucun cadre ne permet de répondre rapidement à des questions simples : quelles données peuvent être utilisées ? Qui valide le cas d’usage ? Quel contrôle humain prévoir ? Quelles garanties demander au fournisseur ? Qui assume la responsabilité en cas d’erreur ou de biais ?
Sans avoir abordé ces questions, tout projet IA (achat ou développement) se retrouvera tôt ou tard confronté aux sujets de gouvernance, et à des difficultés encore plus importantes pour les régulariser. Par ailleurs, le nombre de fonctions impliquées dans les projets IA est important : métiers, DSI, juridique, conformité, cybersécurité, achats et équipes data/IA… Si toutes collaborent, en amont, la gouvernance devient alors un accélérateur : non pas un silo supplémentaire, mais un cadre partagé qui distingue les usages pouvant avancer, ceux qui exigent une revue renforcée et ceux qui ne doivent pas être déployés.
Cela suppose un inventaire des systèmes d’IA utilisés, une évaluation proportionnée des risques, des responsabilités claires et un parcours de validation lisible. Un assistant de rédaction interne ne doit pas suivre le même processus qu’un outil utilisé pour recruter, évaluer un salarié ou accorder un crédit.
Les entreprises qui posent ce cadre tôt peuvent qualifier un risque, mobiliser les bonnes fonctions et choisir leurs fournisseurs sans repartir de zéro à chaque initiative.
En France, la gouvernance intégrée n’est pas une option
En France, le défi est renforcé par une surveillance de marché décentralisée. Le schéma publié en septembre 2025 répartit les rôles entre la CNIL, la DGCCRF, l’Arcom, l’ACPR et d’autres autorités selon les secteurs. Sa formalisation reste toutefois en attente d’une adoption parlementaire.
Cette situation ne rend pas la préparation moins urgente. Elle signifie qu’une entreprise ne pourra pas raisonner comme si elle n’avait qu’un seul interlocuteur réglementaire. La CNIL s’impose déjà de fait pour les systèmes impliquant des données personnelles, la biométrie, l’emploi ou l’éducation.
Un même outil peut soulever des questions de protection des données auprès de la CNIL, de pratiques interdites auprès de la DGCCRF et de qualification à haut risque auprès d’une autorité sectorielle.
Par ailleurs, le RGPD, les multiples règlementations cyber, et l’AI Act ne se substituent pas : ils se cumulent. Le Digital Omnibus prolonge cette logique. En rapprochant les enjeux liés au RGPD, à NIS2, au Data Act et ou encore au CRA, il vise des signalements d’incidents plus unifiés, un partage de données mieux harmonisé et une application plus coordonnée des règles.
L’IA n’opère jamais isolément : un système qui traite des données personnelles relève aussi du RGPD ; ce système inclus dans un produit numérique sera sujet aux règles du CRA ; ce même produit déployé dans une infrastructure critique peut faire entrer en jeu NIS2.
La bonne réponse n’est donc pas de créer une conformité IA à part, mais de relier juridique, conformité, sécurité, data et métiers autour d’une même cartographie des risques, de règles de décision claires et de responsabilités partagées.
L’avantage reviendra donc aux entreprises capables de décider vite quels usages déployer, avec quelles données et sous quelles conditions. Celles qui auront attendu ne seront pas plus prudentes : elles seront simplement moins prêtes.
AI Act les entreprises les mieux gouvernées seront les + diligentes