Intelligence artificielle : Le 2 août 2026, l’AI Act fait basculer l’IA dans la gouvernance d’entreprise - Par Alexandre Lazarègue

Les entreprises ne devront plus seulement expliquer pourquoi elles utilisent l’intelligence artificielle, mais où, comment et sous quelle responsabilité. Pour les dirigeants, l’enjeu devient autant organisationnel que juridique.

Le 2 août 2026 marquera une nouvelle étape dans l’application du règlement européen sur l’intelligence artificielle. Les obligations de transparence et le régime de sanctions deviendront applicables, tandis que le volet consacré aux systèmes à haut risque a été reporté. Au-delà du calendrier réglementaire, cette échéance modifie la place de l’IA dans l’entreprise : elle ne relève plus seulement de l’innovation ou de la productivité, mais de la gouvernance.

Depuis l’arrivée de ChatGPT, les usages se sont largement diffusés sans toujours faire l’objet d’une décision formelle. Des collaborateurs ont créé leurs propres comptes, des équipes ont souscrit des abonnements et des éditeurs ont intégré des fonctionnalités d’intelligence artificielle à leurs logiciels. L’IA s’est ainsi installée dans les directions juridiques, les ressources humaines, les services commerciaux, l’informatique et les fonctions support, parfois sans politique interne ni vision consolidée au niveau de la direction générale.

Cette phase d’expérimentation a favorisé une adoption rapide, mais aussi dispersée. L’entrée en application de nouvelles dispositions de l’AI Act oblige désormais les entreprises à reprendre le contrôle de ces usages.

Une cartographie encore absente dans de nombreuses entreprises

Avant même de déterminer si une organisation relève de telle ou telle obligation du règlement, une question plus immédiate se pose : quels systèmes d’intelligence artificielle sont réellement utilisés en interne ?

Peu d’entreprises disposent aujourd’hui d’un inventaire complet. Il faudrait pourtant être en mesure d’identifier les applications employées par les salariés, les fournisseurs qui interviennent dans leur fonctionnement, les données traitées et les décisions auxquelles ces outils contribuent.

Une fonctionnalité d’IA peut, par exemple, intervenir dans une analyse financière, un recrutement, une recommandation commerciale ou le traitement d’un document sans que son utilisateur en connaisse précisément les mécanismes. À mesure que les obligations se renforcent, l’absence de visibilité sur ces outils deviendra plus difficile à justifier.

Pour Alexandre Lazarègue, avocat au barreau de Paris spécialisé en droit du numérique, la première difficulté n’est donc pas de comprendre le texte européen, mais de reprendre le contrôle d’usages qui se sont développés rapidement et de façon décentralisée.

La conformité commence par l’organisation

Rédiger une politique interne ne suffit pas si l’entreprise ignore quels outils circulent réellement dans ses services. L’évaluation des risques suppose d’abord de connaître leur fonctionnement, les données qui leur sont confiées et leur rôle dans les processus de décision.

La conformité commence ainsi par un travail d’inventaire et d’organisation. Cette logique rappelle celle du RGPD : les entreprises ayant commencé par cartographier leurs traitements ont pu construire une démarche cohérente, tandis que les autres ont parfois accumulé des documents sans disposer d’une maîtrise réelle de leurs pratiques.

L’AI Act pourrait produire le même partage. Les organisations qui structurent dès maintenant leurs usages seront mieux armées pour déterminer les responsabilités, évaluer les risques et encadrer les futurs déploiements.

Une responsabilité qui dépasse la direction informatique

L’intelligence artificielle ne peut plus être pilotée par la seule direction des systèmes d’information. Ses conséquences concernent également les services juridiques, le délégué à la protection des données, les équipes chargées de la cybersécurité, les métiers et la direction générale.

Les risques associés débordent largement la dimension technique. Ils peuvent toucher à la protection des données, aux droits fondamentaux, à la propriété intellectuelle, aux relations de travail, à la cybersécurité ou à la responsabilité civile de l’entreprise.

La question centrale n’est donc plus seulement de savoir quel service déploie un outil, mais qui en supervise l’usage et qui assume les décisions prises avec son concours. Or peu d’organisations disposent encore d’une gouvernance adaptée à cette transversalité.

La conformité comme outil de pilotage

La cartographie des usages ne répond pas uniquement à une exigence réglementaire. Elle peut aussi améliorer la capacité de décision de l’entreprise.

Une organisation qui connaît les outils employés, les données qu’ils traitent et les personnes responsables de leur supervision peut évaluer plus rapidement une nouvelle solution, répondre aux demandes d’un client et arbitrer ses investissements technologiques avec davantage de visibilité.

Ce travail deviendra également un enjeu commercial. Les donneurs d’ordre, investisseurs, assureurs et partenaires devraient progressivement demander aux entreprises de préciser leurs usages de l’intelligence artificielle, comme ils le font déjà en matière de cybersécurité ou de protection des données.

La capacité à expliquer comment l’IA est employée, contrôlée et documentée pourrait ainsi devenir un élément de confiance dans les relations d’affaires.

Quatre questions pour reprendre le contrôle

Le point de départ ne réside pas nécessairement dans la rédaction immédiate d’une politique de plusieurs dizaines de pages. Il tient d’abord en quatre questions : où l’intelligence artificielle est-elle utilisée ? Quelles données lui sont confiées ? Quelles décisions influence-t-elle ? Qui en assure la supervision ?

Ces interrogations relèvent autant de la stratégie que du droit. L’échéance du 2 août 2026 ne marque donc pas la fin de l’innovation, mais le passage à une phase dans laquelle celle-ci devra être organisée, documentée et assumée au plus haut niveau de l’entreprise.