Alexandre Lazarègue est avocat au barreau de Paris, spécialisé en droit du numérique.

---

Le 2 août prochain, une nouvelle étape du règlement européen sur l’intelligence artificielle – aussi appelé AI Act – entre en application. Beaucoup d’entreprises y voient une strate réglementaire de plus, après le règlement général de l’Union européenne sur la protection des données (RGPD). C’est passer à côté de l’essentiel.

Passer la publicité

Avec l’entrée en vigueur de cet article de l’AI Act, les obligations de transparence deviennent exigibles et le régime de sanctions est activé : 15 millions d’euros ou 3 % du chiffre d’affaires mondial pour un manquement aux obligations des opérateurs, 35 millions ou 7 % pour une pratique interdite. Le volet consacré aux systèmes à haut risque, lui, a été reporté au 2 décembre 2027. Mais le changement de fond n’est pas normatif : il est managérial. L’intelligence artificielle cesse d’être un sujet d’innovation ou de productivité pour devenir un sujet de gouvernance, dont le dirigeant doit répondre.

Depuis l’arrivée de ChatGPT, l’adoption de l’IA s’est faite à un rythme inédit et le plus souvent par le bas. Elle ne s’est décidée dans aucun comité exécutif, et a emprunté quatre canaux dont aucun ne remonte spontanément à la direction générale.

Un collaborateur ouvre un outil grand public depuis son navigateur et y dépose des documents de travail : ni achat, ni contrat, ni trace. Une direction métier souscrit un abonnement sur son propre budget, sous le seuil qui déclencherait l’examen de la direction des systèmes d’information. Un éditeur active par défaut une fonctionnalité d’IA dans un logiciel déjà déployé : l’entreprise a validé une mise à jour, elle n’a pas décidé d’adopter l’intelligence artificielle. Un prestataire, enfin, traite les données de son client avec ses propres outils, sans que celui-ci ait rien choisi. L’expérimentation autorisait ce désordre. Le temps de la gouvernance ne l’autorisera pas.

On présente volontiers l’AI Act comme une échéance lointaine. Deux décisions montrent que le risque s’est déjà matérialisé, par une voie que peu d’entreprises avaient anticipée : non pas l’amende administrative, mais l’arrêt du projet par un juge.

Le 14 février 2025, le tribunal judiciaire de Nanterre a suspendu cinq applications d’IA, la phase pilote constituant déjà une mise en œuvre effective intervenue avant l’avis du comité social et économique. Le 21 mai 2026, la cour d’appel de Paris a jugé que la mise à disposition d’un assistant rédactionnel et l’encadrement de l’usage de ChatGPT relevaient de l’introduction d’une nouvelle technologie, appelant la consultation du comité à chaque étape ; le déploiement poursuivi sans elle caractérise un trouble manifestement illicite, justifiant suspension, astreinte et indemnisation.

Passer la publicité

Un outil adopté par une direction métier peut donc être arrêté avant d’avoir produit ses effets. Aucune de ces décisions ne repose sur l’AI Act. Les dirigeants demandent d’abord si leur entreprise est concernée par le règlement. La question est légitime, mais elle n’est pas la première. La première est de savoir quels systèmes d’intelligence artificielle y sont réellement utilisés.

Rares sont les entreprises capables aujourd’hui de l’établir. Combien d’applications intégrant de l’IA sont utilisées par les collaborateurs ? Quels traitements pèsent sur une décision commerciale, un recrutement, une analyse financière ? De quels fournisseurs de modèles et de cloud l’entreprise est-elle devenue dépendante ?

Un même système peut relever simultanément du règlement sur l’IA, du RGPD, du Digital markets act (DMA), du Data Act et du droit de la concurrence.

Alexandre Lazarègue

Ces questions élémentaires restent le plus souvent sans réponse. Or il deviendra difficile de soutenir longtemps que l’on ignorait ce qui était utilisé dans sa propre entreprise. La difficulté n’est pas de comprendre le règlement : elle est de reprendre le contrôle d’usages qui se sont diffusés vite et de façon décentralisée. La première étape de la conformité est moins juridique qu’organisationnelle. Un même système peut relever simultanément du règlement sur l’IA, du RGPD, du Digital markets act (DMA), du Data Act et du droit de la concurrence. La Cour de justice a jugé le 13 février 2025 que le plafond des amendes se calcule sur le chiffre d’affaires de l’entreprise au sens du droit de la concurrence — c’est-à-dire du groupe.

S’y ajoute un risque de qualification : un système peut être rangé parmi les systèmes à haut risque par une autorité alors que ni les équipes métier ni la conformité ne l’avaient anticipé. L’entreprise découvre un régime entier d’obligations qu’elle n’a pas préparé.

Le décalage du volet haut risque a été accueilli avec soulagement. Il mérite d’être lu autrement. Le Comité européen de la protection des données et le Contrôleur européen de la protection des données ont relevé, en janvier 2026, que les systèmes déjà en service échappent au champ d’application du règlement : plus l’application est tardive, plus nombreux seront les outils installés sans avoir jamais été confrontés à ses exigences.

Passer la publicité

Le report ne suspend donc pas le problème. Il déplace le contrôle du régulateur vers l’entreprise elle-même, et vers le juge. Le pilotage s’en trouve déplacé : l’intelligence artificielle ne relève plus de la seule direction informatique, elle engage la direction juridique, le délégué à la protection des données, la sécurité des systèmes d’information, les métiers et la direction générale. La question n’est plus de savoir qui déploie l’outil, mais qui en assume la responsabilité.

À lire aussi Digital Market Act: Meta et Google livrent un aperçu du big bang qui s'apprête à secouer l'internet européen

Le 2 août 2026 n’entrave pas l’innovation. Il ouvre la période où celle-ci se conduit, plutôt qu’elle ne se diffuse. Le point de départ tient en quatre questions, et non dans une politique interne de plusieurs dizaines de pages : où l’intelligence artificielle est-elle utilisée ? Quelles données lui sont confiées ? Quelles décisions influence-t-elle ? Qui en assure la supervision ?

Chaque projet rejoint ensuite les procédures existantes — consultation du comité social et économique, document unique d’évaluation des risques, contrôle interne — plutôt que d’en créer de nouvelles. C’est là que se joue l’écart entre les entreprises, et il ne concerne pas que le régulateur : celle qui sait quels outils circulent chez elle évalue un nouvel outil en quelques jours plutôt qu’en quelques semaines. C’est sans doute ce que l’AI Act aura de plus durable : avoir fait de l’intelligence artificielle, au-delà d’une technologie performante, un objet de gouvernance d’entreprise.