Sanctions de l'AI Act : ce qui devient exigible

Le régime de sanctions et le volet gouvernance du règlement européen sur l'IA sont applicables depuis le 2 août 2025, en même temps que les obligations relatives aux modèles d'usage général.

Les montants sont indexés sur le chiffre d'affaires mondial de l'entreprise, et non sur le budget du projet concerné. C'est le point qui frappe les directions quand on le leur présente : un système développé pour quelques dizaines de milliers d'euros peut exposer à une sanction sans commune mesure avec son coût.

Depuis un an, je n'ai vu aucune de mes organisations clientes faire l'objet d'un contrôle. En revanche, j'en ai vu plusieurs perdre du temps, et parfois un marché, pour une raison beaucoup plus prosaïque.

Un grand compte, un assureur ou un investisseur demande, dans le cadre d'une revue, la liste des systèmes d'IA exploités, avec leur finalité et leur niveau de risque. Le délai de réponse est court. L'organisation qui n'a pas tenu de registre découvre alors qu'elle ne sait pas répondre, non par mauvaise volonté, mais parce que l'inventaire n'a jamais été fait.

C'est cette exposition-là qui se matérialise aujourd'hui, et elle ne passe par aucun régulateur.

Quand je fais l'inventaire avec une organisation, la liste initiale fournie par la DSI est presque toujours incomplète de moitié.

Manquent : les assistants intégrés aux suites bureautiques, activés par une mise à jour ; les outils souscrits par une direction métier sur sa propre carte ; les extensions de navigateur ; et les automatisations montées par une personne compétente dans un coin, qui fonctionnent très bien et que personne n'a documentées.

Ce dernier cas est le plus délicat, parce que l'outil est souvent utile. Le traiter comme une faute décourage exactement les gens qu'il faudrait impliquer.

Le calendrier des systèmes à haut risque a été déplacé par le règlement omnibus de juillet 2026. Ce report a été lu par beaucoup comme un répit ; il ne l'est pas, et c'est le sujet de l'omnibus ne solde rien.

Le shadow IA n'est pas une dissimulation mais une absence de qualification : des systèmes utiles, utilisés quotidiennement, que personne n'a jamais appelés « projets ». C'est le trou le plus courant et le plus facile à combler.

Les découvertes habituelles sont d'un genre précis : un assistant créé par une équipe métier et devenu quotidien, un script d'enrichissement branché sur une base, une automatisation ajoutée dans un outil de gestion.

L'inventaire qui les révèle coûte une demi-journée : factures des fournisseurs, clés d'API émises, et une question posée à chaque équipe. La méthode complète figure dans préparer un contrôle de conformité en deux semaines.

Un inventaire, une fiche d'une page par système, et la journalisation activée : ces trois éléments constituent une réponse défendable. Ils ne demandent ni service dédié ni budget particulier.

La fiche décrit finalité, données, décision servie, supervision et date de revue. Elle est rédigée par l'équipe qui a construit le système, en une heure, sur un modèle commun.

La journalisation est la seule urgence réelle : ce qui n'est pas tracé aujourd'hui ne sera jamais reconstituable. Son contenu minimal et son ordre de priorité figurent dans ce qui doit exister avant l'échéance.

Ne pas pouvoir répondre dans un délai raisonnable coûte plus cher, en temps et en crédibilité, que le montant d'une sanction théorique. C'est le point que je fais valoir en comité.

Une organisation qui met deux mois à établir la liste de ses systèmes, à retrouver qui les a construits et à documenter ce qu'ils font mobilise des dizaines de personnes sur un travail sans valeur ajoutée.

La même organisation, avec un registre tenu au rythme trimestriel, répond en une semaine. L'écart est de plusieurs semaines-personnes par exercice, et il se réduit à quatre heures par an de rendez-vous, comme décrit dans écrire la fiche d'un système d'IA.