AI Act, 2 août 2026, dirigeants comptables de leurs IA, ce que les entreprises devront prouver côté gouvernance

Le 2 août 2026 marque une échéance majeure pour les entreprises qui utilisent, achètent ou développent des outils d’intelligence artificielle. Comme le souligne l’avis juridique relayé par Solutions-Numeriques, les dirigeants ne pourront plus traiter l’IA comme un simple sujet technique confié aux équipes informatiques. La conformité devient un enjeu de gouvernance, de preuve et de responsabilité.

L’AI Act s’applique largement le 2 août 2026

Le 2 août 2026, une grande partie du règlement européen sur l’intelligence artificielle entre dans sa phase opérationnelle pour les acteurs économiques. Le texte ne vise pas seulement les concepteurs de modèles. Il concerne aussi les entreprises qui déploient des solutions dans leurs services commerciaux, juridiques, financiers ou de ressources humaines. Cette extension du périmètre oblige les directions générales à connaître précisément les outils utilisés en interne.

L’AI Act repose sur une logique de risque. Les systèmes interdits sont exclus du marché, tandis que les systèmes à haut risque exigent des contrôles renforcés. Entre ces deux niveaux, de nombreux usages imposent des obligations de transparence, d’information des utilisateurs et de conservation de la documentation. Les agents conversationnels, les outils d’aide à la décision et les générateurs de contenus doivent donc être examinés au cas par cas.

La nouveauté tient au rôle central des dirigeants. Un comité exécutif ne pourra pas se limiter à affirmer qu’un outil est fourni par un éditeur reconnu. Il devra démontrer que les conditions d’usage, les contrats, les droits sur les données et les procédures de supervision ont été analysés. Cette logique de preuve rapproche la conformité IA des démarches déjà connues dans la protection des données personnelles ou la cybersécurité.

Les sanctions financières prévues par le règlement créent un risque direct pour la réputation et la continuité d’activité. Les autorités nationales de contrôle disposeront de leviers pour demander des documents, vérifier les procédures et examiner les incidents. Pour les entreprises, l’enjeu consiste à transformer les systèmes d’IA en actifs suivis, contrôlés et documentés, plutôt qu’en outils dispersés dans les métiers.

Les dirigeants doivent cartographier les usages d’IA

La première étape opérationnelle consiste à dresser une cartographie complète des usages. Dans de nombreuses entreprises, les outils d’IA sont déjà présents dans les logiciels de relation client, les suites bureautiques, les plateformes de recrutement, les solutions de cybersécurité ou les assistants de développement informatique. Plusieurs directions utilisent ces fonctionnalités sans toujours les désigner comme des systèmes d’intelligence artificielle.

Les cas les plus sensibles concernent les ressources humaines, le scoring de clients, l’analyse de fraude, l’évaluation de performances et les dispositifs influençant l’accès à un service essentiel. Dans ces domaines, une mauvaise classification peut entraîner des obligations ignorées. Un outil présenté comme une simple aide à la décision peut produire des effets concrets sur une embauche, un crédit, une promotion ou une exclusion d’un service.

Les directions générales doivent donc organiser un comité de pilotage réunissant le juridique, l’informatique, la conformité, les achats, la sécurité et les métiers. Ce comité a vocation à identifier les fournisseurs, relire les contrats, exiger des informations techniques et fixer des règles d’usage. Les entreprises les plus exposées devront aussi prévoir des procédures d’escalade lorsqu’un outil produit une décision contestée par un salarié, un client ou un partenaire.

La traçabilité devient un élément central. Les équipes doivent savoir quelle version d’un modèle a été utilisée, quelles données ont alimenté une décision, quel humain a validé le résultat et quelles consignes ont été données aux utilisateurs. Sans ce suivi, l’entreprise risque de se trouver démunie en cas de contrôle ou de contentieux. Le sujet n’est pas théorique: les premiers litiges porteront probablement sur des décisions automatisées difficiles à expliquer.

Les données d’entraînement exposent les entreprises à des litiges

L’entraînement d’un modèle d’IA repose souvent sur de grands volumes d’informations. Ces jeux de données peuvent contenir des données personnelles, des documents confidentiels, des bases commerciales, du code source, des images ou des textes protégés. Une entreprise qui ajoute ses propres données à un modèle préentraîné doit vérifier qu’elle dispose des droits nécessaires pour cet usage, y compris lorsque le traitement est confié à un prestataire.

Les droits de tiers constituent un point de vigilance majeur. Un modèle alimenté avec des contenus sous licence, des créations de salariés, des documents clients ou des bases achetées pour un usage limité peut générer un risque contractuel. La question ne porte pas seulement sur l’accès aux données, mais sur leur réutilisation à des fins d’apprentissage, puis sur l’exploitation des résultats produits par le système.

Le entraînement continu ajoute une difficulté supplémentaire. Certains outils s’améliorent au fil des interactions avec les utilisateurs. Si les consignes internes sont imprécises, des informations sensibles peuvent rejoindre un environnement technique insuffisamment maîtrisé. Les directions informatiques doivent donc encadrer les paramètres de confidentialité, limiter les usages non autorisés et vérifier les conditions de conservation chez les éditeurs.

Les contenus générés posent, eux aussi, des questions juridiques concrètes. Une entreprise qui publie un texte, un visuel, une ligne de code ou une analyse issue d’un système génératif doit savoir si elle peut l’exploiter commercialement. Elle doit aussi prévoir des contrôles contre les erreurs, les ressemblances excessives avec des œuvres existantes et les informations inexactes. Cette étape place les juristes au cœur du cycle de production numérique.

Les avocats adaptent leurs méthodes de contrôle

Pour les avocats et les directions juridiques, l’échéance du 2 août 2026 modifie la nature des missions. La conformité ne se limite plus à une note d’analyse rédigée au moment de l’achat d’un logiciel. Elle suppose un suivi régulier des usages, des contrats, des incidents et des évolutions techniques. Les cabinets spécialisés en legaltech insistent déjà sur cette approche plus continue.

Les directions juridiques doivent travailler avec les achats pour intégrer des clauses précises dans les contrats. Ces clauses portent sur la localisation des données, la confidentialité, les droits d’audit, la documentation technique, les responsabilités en cas de défaut et les garanties sur les données d’entraînement. Les fournisseurs d’outils d’IA seront davantage questionnés sur leurs propres procédures de conformité et sur leur capacité à fournir des preuves exploitables.

L’audit interne devient un outil de prévention. Il peut vérifier si les salariés utilisent des solutions non autorisées, si les modèles à risque sont correctement classés, si les résultats sont validés par des personnes compétentes et si les incidents sont consignés. Cette méthode limite les zones grises, notamment dans les groupes où les filiales adoptent des outils locaux sans validation centrale.

La formation IA des équipes complète le dispositif. Les salariés doivent comprendre qu’un outil génératif ne remplace pas une validation métier, qu’une donnée sensible ne doit pas être copiée dans n’importe quelle interface et qu’une recommandation automatisée doit pouvoir être contestée. Les dirigeants qui auront documenté ces mesures seront mieux placés pour répondre à une autorité de contrôle, à un client exigeant ou à un juge saisi d’un différend.