L'IA Act : continuité du RGPD, un défi pour les entreprises

L'IA Act : continuité du RGPD, un défi pour les entreprises

L'IA Act ne concerne plus seulement les juristes. Il impose aux directions générales, DSI et équipes métiers de repenser leur gouvernance de l'intelligence artificielle et de faire de la conformité un avantage compétitif.

On présente souvent l’IA Act comme un nouveau défi qui va enfin forcer les directions juridiques, informatiques, cybersécurité, produit et data à travailler ensemble, et faire tomber les silos de l’entreprise. C’est une lecture erronée. Rien de tout cela ne commence avec l’IA Act. Cela a commencé en 2016, avec le RGPD. La conformité a cessé d’être la seule affaire des juristes il y a près de dix ans. L’IA Act n’invente pas cette réalité transversale, il prolonge une trajectoire que l’Europe construit méthodiquement depuis presque une décennie. C’est probablement le point le plus mal compris de ce texte.

Ce que le RGPD a déjà changé

Depuis 2016, le RGPD a rendu la conformité profondément transversale. Les analyses d’impact, les registres de traitement, la protection des données dès la conception : rien de tout cela n’a jamais relevé des seuls juristes. Il a fallu, dès le premier jour, mobiliser le produit, l’ingénierie, la sécurité et les équipes data. Quiconque a piloté un programme RGPD reconnaît immédiatement le scénario que l’on présente aujourd’hui comme inédit :

• Une nouvelle obligation apparaît,
• Les juristes l’analysent,
• La conformité en évalue les impacts,
• Le produit identifie les évolutions nécessaires,
• La technique les développe,
• La cybersécurité les valide,
• Les fonctions risques vérifient leur application.

C’est le quotidien des entreprises européennes depuis des années.

Le véritable changement de ces dernières années n’est donc pas la chute de nouveaux silos. C’est la maturité. Nous disposons désormais d’années de lignes directrices du CEPD, d’un vrai corpus jurisprudentiel de la Cour de justice et des juridictions nationales, et d’outils arrivés à maturité. Les règles sont devenues lisibles. La panique des débuts s’est calmée. Le RGPD, aujourd’hui, consiste surtout à prendre les bonnes décisions en amont, au niveau du produit et des processus. Une fois ces choix faits, l’exécution est bien moins douloureuse qu’auparavant.

L’IA Act prolonge la trajectoire, il ne la crée pas

DORA, NIS2, MiCAR, et désormais l’IA Act : chaque texte répond à un objectif précis, mais tous reposent sur les mêmes fondations. La finalité, la responsabilité, la transparence, la traçabilité, et la coordination entre les fonctions. L’IA Act conserve d’ailleurs un modèle décentralisé, et les autorités de protection des données gardent leur compétence sur les traitements de données personnelles. Dans les faits, c’est souvent le RGPD qui accomplit déjà une grande partie du travail sur l’IA.

La gouvernance de l’IA n’a pas remplacé la conformité au RGPD. Elle se construit par-dessus. Pour la plupart des entreprises, gouverner l’IA revient à combiner le RGPD, l’IA Act et les règles sectorielles applicables, le tout appliqué à un nouveau traitement. L’IA est un outil, une brique d’infrastructure au sein d’une activité de traitement. On l’évalue comme n’importe quel nouveau traitement, qui comporte simplement quelques composants techniques de plus.

Elle tient au volume et au rythme. Les textes se multiplient, se recoupent et évoluent en permanence, et aucun ne concerne une seule fonction. Suivre chaque évolution à la main, en comprendre vite les implications concrètes sur une même activité, puis coordonner les équipes qui doivent l'appliquer : à l'échelle d'une grande institution, tout cela est devenu ingérable manuellement. La difficulté n'est pas qu'un texte soit nouveau. C'est de garder le fil dans un flux qui ne s'arrête jamais.

L’IA doit assister les experts, pas décider à leur place

C’est précisément là que l’intelligence artificielle apporte le plus de valeur. Le problème des équipes juridiques et conformité n’a jamais été le manque d’expertise. C’est le temps passé à chercher l’information, à comparer les textes aux politiques internes, à identifier les produits concernés, à coordonner les actions entre départements. Ces tâches sont répétitives et automatisables. Libérés de cette charge, les experts peuvent se concentrer sur ce qui relève réellement de leur métier : exercer leur jugement, arbitrer les risques, accompagner les décisions stratégiques.

Mais à une condition : la confiance. Dans des secteurs fortement réglementés, une recommandation ne vaut que si elle peut être expliquée, justifiée et reliée au texte juridique qui la fonde. Une décision prise aujourd’hui doit rester compréhensible dans plusieurs années, face à un audit interne ou à un contrôle du régulateur. C’est pourquoi toutes les étapes d’un processus de conformité n’ont pas vocation à être confiées à un modèle génératif. Certaines exigent avant tout de la traçabilité, de l’explicabilité et des règles déterministes. La question n’est pas d’utiliser l’IA partout, mais d’employer la technologie la plus adaptée à chaque étape.

La continuité comme avantage

On présente souvent la réglementation européenne comme un frein à l’innovation. C’est oublier que le RGPD est devenu le socle de référence mondial, le standard que les autres copient. Les entreprises qui tireront leur épingle du jeu ne sont pas celles qui traitent chaque nouveau texte comme un choc. Ce sont celles qui ont intégré les schémas durables que l’Europe construit depuis dix ans : finalité, base légale, transparence, traçabilité, coordination entre les fonctions. Celles-là absorbent la couche suivante avec beaucoup moins de friction, et gagnent en agilité tout en réduisant leurs risques.

Il faut donc revenir aux fondamentaux. On commence par la finalité, puis par la base légale. On construit proprement dès le départ. C’est ce qui transforme la conformité d’un centre de coûts en un véritable avantage. Non pas parce que l’IA Act serait une révolution, mais précisément parce qu’il n’en est pas une.

Au fond, l’impact réel de ce règlement n’est pas de mieux encadrer l’intelligence artificielle. Il est de confirmer ce que le RGPD avait engagé : les organisations qui font travailler ensemble leurs équipes juridiques, conformité, produit, cybersécurité et ingénierie, sur des bases solides et durables, sont celles qui s’en sortent le mieux. L’IA Act ne change pas la trajectoire. Il la confirme.