Un assistant qui résume des réunions, un logiciel qui classe des candidatures, un chatbot qui répond aux clients : derrière une même étiquette « IA », trois usages, trois profils de risque et des responsabilités différentes. En ce mois de septembre 2026, le sujet n’est plus seulement de choisir le meilleur modèle. C’est de savoir qui paie sa documentation, qui contrôle ses résultats et qui répond lorsqu’il déraille. L’AI Act fait entrer la gouvernance de l’intelligence artificielle dans les arbitrages budgétaires. Avec une difficulté : la facture se répartit entre informatique, juridique, ressources humaines, achats et métiers.
Un calendrier progressif, pas un grand soir réglementaire
Le règlement européen sur l’IA est entré en vigueur le 1er août 2024. Son calendrier initial prévoit plusieurs étapes : interdictions de certaines pratiques et obligation de prendre des mesures pour assurer une maîtrise suffisante de l’IA dès le 2 février 2025 ; dispositions concernant notamment les modèles d’IA à usage général à partir du 2 août 2025 ; application de l’essentiel du texte le 2 août 2026. Certaines obligations liées aux systèmes à haut risque intégrés dans des produits réglementés sont prévues pour août 2027.
Ces dates constituent le cadre adopté en 2024, sur lequel repose cette analyse située en septembre 2026 : elles ne préjugent pas d’éventuels ajustements législatifs ultérieurs. Des régimes transitoires existent aussi pour certains systèmes et modèles déjà commercialisés. Une entreprise ne peut donc pas déduire son échéance de la seule date d’achat : elle doit examiner le rôle qu’elle joue, l’usage prévu et les modifications apportées.
L’erreur serait d’en conclure que tous les logiciels doivent subir la même procédure. L’AI Act repose sur une logique de risque. Un outil de rédaction interne n’est pas automatiquement un système à haut risque. Un dispositif destiné à sélectionner des candidats peut, lui, relever de cette catégorie. La qualification juridique devient ainsi le premier investissement utile : elle évite aussi bien la sous-conformité que des contrôles inutilement lourds.
La première dépense : savoir ce que l’on utilise
Avant d’acheter une plateforme de gouvernance, il faut ouvrir les placards. Les entreprises doivent recenser les fonctions d’IA présentes dans leurs logiciels, les services souscrits directement par les équipes et les développements internes. Ce travail dépasse l’inventaire informatique : un même outil peut servir à préparer un brouillon sans conséquence particulière ou à orienter une décision concernant un salarié.
Concrètement, chaque usage devrait avoir un responsable, une finalité décrite, des utilisateurs identifiés et une trace des données mobilisées. Le service juridique ne peut pas produire seul cette cartographie. Les métiers connaissent les pratiques réelles ; l’informatique sait comment les outils s’intègrent ; les achats disposent des contrats. Le coût initial est donc largement un coût de coordination, souvent sous-estimé dans les projets pilotes.
Fournisseur ou utilisateur : une frontière qui coûte cher
Le règlement distingue notamment le fournisseur, qui développe ou fait développer un système pour le commercialiser ou le mettre en service sous son nom, et le déployeur, qui l’utilise sous son autorité. Une entreprise cliente n’hérite pas automatiquement de toutes les obligations du concepteur. Mais elle ne peut pas davantage considérer que la signature d’un abonnement externalise toute responsabilité.
Pour les systèmes à haut risque, le fournisseur doit notamment organiser la gestion des risques, établir la documentation technique, prévoir la journalisation et satisfaire aux exigences applicables avant la mise sur le marché. Le déployeur doit notamment respecter les instructions, confier la supervision humaine à des personnes compétentes et surveiller le fonctionnement. Certaines évaluations des incidences sur les droits fondamentaux concernent des catégories précises de déployeurs, pas indistinctement toutes les entreprises.
La frontière peut bouger lorsqu’une organisation appose son nom sur un système, le modifie substantiellement ou change sa destination dans les conditions prévues par le texte. Personnaliser une solution n’est donc pas toujours un simple achat informatique. Les contrats doivent préciser l’accès aux informations nécessaires, le traitement des incidents et les conséquences d’une mise à jour. Une clause commerciale ne peut cependant pas effacer une responsabilité fixée par la loi.
Documentation, contrôle, formation : trois budgets durables
Produire des preuves, pas seulement des principes
Une charte éthique ne remplace ni les instructions d’utilisation ni les éléments techniques exigibles. Pour les entreprises concernées, il faut financer la collecte des preuves, leur validation et leur actualisation. Les fournisseurs de modèles d’IA à usage général ont un cadre spécifique, comprenant notamment des obligations de documentation et d’information, avec des exigences supplémentaires pour les modèles présentant un risque systémique. Acheter un modèle ne signifie toutefois pas acheter une conformité complète pour l’application construite autour.
Donner les moyens de superviser
La gouvernance suppose des procédures qui fonctionnent lorsque la production accélère : qui autorise un nouvel usage, qui peut le suspendre, qui examine une erreur récurrente ? Une supervision humaine purement décorative ne suffit pas. La personne chargée du contrôle doit comprendre les limites du système et disposer d’une autorité réelle. Cela demande du temps de travail, des compétences et parfois une adaptation des processus.
Former selon les usages
L’obligation de maîtrise de l’IA n’impose pas une certification universelle identique pour chaque salarié. Elle appelle des mesures adaptées aux connaissances des personnes, au contexte et aux usages. Un recruteur, un développeur et un conseiller clientèle n’ont pas les mêmes besoins. Le budget pertinent finance donc des formations ciblées : reconnaître une réponse inventée, éviter une saisie de données confidentielles, comprendre quand contester une recommandation automatisée.
Le vrai arbitrage : industrialiser ou renoncer
Pour une direction financière, la bonne question n’est pas seulement « combien coûte l’AI Act ? », mais « quels usages justifient leur coût complet ? ». À la licence s’ajoutent l’intégration, les contrôles, la formation et le maintien des preuves. Un projet séduisant en démonstration peut devenir peu rentable si chaque résultat exige une vérification longue. À l’inverse, des procédures communes peuvent réduire le coût des déploiements suivants.
Le risque de sanction renforce cette discipline : le texte prévoit, pour certaines infractions, des plafonds pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial, avec des règles particulières pour les PME. Mais l’enjeu commercial pourrait peser autant. Un fournisseur incapable d’expliquer son système risque de ralentir un appel d’offres ; un client sans inventaire risque de découvrir ses dépendances au pire moment. La qualité documentaire peut ainsi devenir un critère d’achat.
Et maintenant ? La prochaine bataille pourrait se jouer moins sur le nombre de modèles déployés que sur la capacité à les exploiter durablement. Les entreprises ont intérêt à construire un socle commun : inventaire vivant, responsabilités attribuées, clauses contractuelles adaptées et formation proportionnée. La conformité ne garantit ni la performance ni l’absence d’erreur. Elle peut néanmoins devenir une infrastructure de confiance, à condition de financer des contrôles utiles plutôt qu’une collection de dossiers que personne ne consulte.
