Depuis 2026, elle avance escortée par le premier règlement contraignant d’envergure mondiale : l’AI Act. À chaque usage classifié, un lot d’obligations. À chaque système déployé, des responsabilités distribuées. Pour les DSI, l’enjeu n’est plus de comprendre la loi, mais d’en tirer un plan d’action opérationnel – dès maintenant.
La logique cœur de l’AI Act : classer les risques pour cibler les obligations
L’AI Act repose sur une conviction simple : toutes les IA ne se valent pas, toutes ne soulèvent pas le même niveau d’inquiétude, ni n’appellent le même arsenal de précautions.
En classant les systèmes selon leur niveau de risque, le législateur européen introduit un principe de proportionnalité. Chaque usage, chaque modèle, chaque chaîne d’implémentation hérite ainsi de ses propres obligations – parfois minimales, parfois drastiques.
Les niveaux de risque définis par l’AI Act
Les DSI devront naviguer entre cinq classes de risque, chacune associée à des obligations spécifiques, graduées selon leur impact potentiel sur les droits fondamentaux ou la sécurité.
Risque inacceptable
L’AI Act interdit purement et simplement les systèmes qui :
- manipulent les individus de manière inconsciente,
- exploitent des vulnérabilités physiques ou psychologiques,
- instaurent une notation sociale,
- catégorisent les personnes selon des critères sensibles (origine ethnique, convictions religieuses, etc.).
Leur usage en Europe déclenche un blocage réglementaire total, sans exception.
Haut risque
Les IA dites « à haut risque » intègrent des secteurs sensibles, parmi lesquels les dispositifs médicaux, l’éducation, le recrutement, l’accès au crédit ou à l’assurance, la justice, l’identification biométrique à distance.
Ces systèmes requièrent :
- une documentation technique exhaustive,
- une traçabilité complète,
- des mécanismes de supervision humaine,
- des évaluations de robustesse, sécurité et conformité.
Risque spécifique ou limité
Les systèmes générant du texte, des images, des vidéos ou interagissant avec l’humain doivent informer clairement l’utilisateur qu’il dialogue avec une IA.
Cela inclut les assistants conversationnels, les avatars vocaux ou les outils de détection d’émotions. La transparence devient ici une obligation légale.
IA à usage général (GPAI)
Derrière ce terme, on trouve les modèles comme GPT, Claude, DeepSeek ou Mistral. Même sans cas d’usage précis à la base, leur impact transverse justifie :
- la publication d’un résumé technique clair,
- une documentation sur les jeux de données d’entraînement,
- la déclaration des droits d’auteur utilisés le cas échéant.
Risque systémique (GPAI à très grande échelle)
Lorsque la puissance de calcul dépasse 10²⁵ FLOPs, le modèle bascule dans une classe à part. Au programme :
- tests adversariaux,
- politiques de cybersécurité renforcées,
- signalement des incidents majeurs,
- analyse de la consommation énergétique,
- mesures actives d’atténuation des risques.
Que change réellement cette classification pour un DSI ?
Ce découpage par niveau de risque n’est pas une grille théorique. Il impose une transformation complète du pilotage IA dans l’entreprise.
- Arbitrer build vs buy : développer un système IA en interne implique des responsabilités réglementaires souvent lourdes. Recourir à des solutions tierces peut réduire les charges… à condition de choisir des fournisseurs conformes.
- Qualifier les fournisseurs : il ne suffit plus de benchmarker sur la performance. Le niveau de documentation, de robustesse, de gouvernance IA devient un critère de sélection. L’auditabilité des partenaires technologiques entre désormais dans le périmètre de la DSI.
- Intégrer la conformité dès l’architecture : la traçabilité, les logs, la gestion des versions, la supervision humaine… tout cela doit s’imbriquer dans l’architecture logicielle, dès la phase de design.
- Documenter chaque usage : impossible d’ignorer les workflows IA déployés en shadow IT. Chaque point d’interaction IA doit être identifié, classifié, audité. La cartographie des usages IA devient un prérequis au pilotage stratégique.
Qui est responsable de quoi ? La chaîne de valeur IA sous contrainte réglementaire
L’un des points névralgiques de l’AI Act réside dans la distribution des responsabilités.
Contrairement au RGPD, centré sur la donnée, le règlement IA distingue clairement les rôles dans la chaîne de valeur : fournisseur, déployeur, distributeur, utilisateur. Chacun endosse un périmètre d’obligations. Aucun ne peut l’esquiver.
Fournisseur, déployeur, distributeur, utilisateur : des rôles non interchangeables
- Fournisseur : conçoit ou entraîne le système IA. Il porte la responsabilité première, notamment sur la qualité des données, la documentation, la robustesse, les risques induits.
- Déployeur : intègre le système dans un produit ou service. Il assure la bonne utilisation du modèle, sa supervision, et la conformité de l’usage final.
- Distributeur : commercialise un système IA sans le modifier. Obligations réduites, mais vigilance sur l’information et la documentation transmises.
- Utilisateur professionnel : dès lors qu’il exploite une IA dans un contexte business, il entre dans le périmètre du règlement (transparence vis-à-vis des tiers, signalement des incidents…).
Problème courant : dans des projets SaaS ou API IA, les frontières se brouillent. Qui est fournisseur ? Qui déploie quoi ? Qui documente l’usage final ? Les DSI doivent impérativement clarifier cette répartition contractuellement, en amont de tout projet.
IA générative : pourquoi elle n’est pas interdite mais fortement encadrée
L’AI Act n’interdit pas ChatGPT, Mistral, Claude ou Gemini. Il les contraint. Les modèles d’IA générative relèvent en effet de la catégorie GPAI (General Purpose AI). À ce titre, ils doivent se soumettre à :
- une transparence renforcée,
- une documentation publique des jeux de données d’entraînement,
- des obligations liées aux droits d’auteur, à la diversité des sources, aux biais détectés.
Si ces modèles dépassent un certain seuil de puissance (10²⁵ FLOPs), comme vu précédemment, ils basculent en risque systémique.
Ce niveau de détail dépasse les préoccupations habituelles des directions métier. En revanche, il implique fortement les DSI sur les volets techniques, contractuels et éthiques.
Sanctions, risques et opportunités : pourquoi l’inaction coûte plus cher que l’anticipation
L’AI Act ne se limite pas à encadrer. Il s’ancre dans le droit dur, avec des sanctions chiffrées, des effets immédiats sur la chaîne de production et un potentiel de litiges contractuels démultiplié.
À l’inverse, une stratégie proactive ne renforce pas uniquement la conformité : elle structure un avantage concurrentiel. L’écart entre les organisations préparées et les autres devient économique, opérationnel, juridique.
Que risquent les entreprises non conformes ?
L’AI Act introduit des sanctions proportionnées au niveau de gravité, mais toutes potentiellement disruptives.
- Amendes administratives : jusqu’à 7 % du chiffre d’affaires annuel mondial ou 35 millions d’euros pour les manquements les plus critiques (ex. : usage d’une IA interdite).
- Blocage de mise sur le marché européen : une IA non conforme ne franchit plus les frontières de l’UE. Aucune tolérance.
- Risques contractuels : un client B2B lésé par un modèle IA non conforme peut invoquer l’AI Act en cas de litige.
- Image de marque : en matière d’IA, les controverses naissent vite. Une faille, un usage non documenté, un incident de supervision… et c’est tout un portefeuille de clients qui vacille.
Sanctions AI Act par type de non-conformité
L’AI Act comme avantage compétitif pour les entreprises IT structurées
À rebours des discours anxiogènes, le règlement peut favoriser les plus structurés. Loin d’enrayer l’innovation, l’AI Act professionnalise l’IA à l’échelle industrielle.
Les acheteurs, notamment institutionnels ou corporate, exigeront la preuve de conformité. Marquage CE, documentation, supervision humaine : ces éléments rassurent et raccourcissent les cycles de décision.
Par ailleurs, l’accès aux marchés européens s’en trouve facilité : dès 2026, la barrière réglementaire devient un filtre. Les fournisseurs IA non conformes seront écartés par défaut. Les acteurs conformes capteront la demande résiduelle… et les parts de marché.
Enfin, la standardisation des workflows IA. Documentation, traçabilité, supervision, auditabilité – autant d’éléments techniques souvent bricolés. Le règlement pousse à formaliser les process, donc à industrialiser la production IA.
AI Act en action : par où commencer concrètement dès maintenant ?
Les 7 premières actions prioritaires pour un DSI
- Cartographier tous les usages IA existants (internes, SaaS, shadow IT compris)
- Qualifier chaque usage selon les niveaux de risque du règlement
- Identifier les écarts entre les systèmes actuels et les exigences réglementaires
- Analyser les dépendances fournisseurs (modèles LLM, API, intégrateurs)
- Mobiliser les compétences hybrides (data, cybersécurité, conformité)
- Structurer la gouvernance IA (référent, documentation, process)
- Piloter la conformité comme un projet SI transverse, avec jalons, livrables et reporting
Pourquoi s’entourer dès maintenant fait la différence
Le délai légal ne suffira pas aux structures qui partent de zéro. Les entreprises IT qui accélèrent leur mise en conformité dès 2026 bénéficient de trois leviers immédiats :
- Vitesse d’exécution : la majorité des chantiers techniques se réalisent en parallèle des projets IA, à condition de disposer d’experts disponibles.
- Réduction des risques : chaque mois gagné évite une faille de supervision, un retard réglementaire ou une rupture fournisseur.
- Montée en compétence accélérée : s’entourer permet de diffuser les bonnes pratiques en interne tout en externalisant les points bloquants.
👉 Turnover-IT facilite cette transition.
Notre plateforme met à disposition des DSI des freelances spécialisés IA, data, cybersécurité ou conformité réglementaire – capables d’intervenir rapidement, sur des missions ciblées, à forte valeur stratégique.