Conformité en matière d'IA pour les sociétés européennes : des réglementations aux solutions GFT

Le récent paquet législatif « Digital Omnibus », adopté en juin 2026, a considérablement modifié le calendrier de mise en conformité, repoussant des échéances critiques qui approchaient. Les systèmes autonomes à haut risque doivent se mettre en conformité d’ici le 2 décembre 2027, tandis que ceux intégrés à d’autres produits réglementés disposent d’un délai jusqu’au 2 août 2028Dates limites mises à jour au 20 juillet 2026.

Cette prolongation ne constitue pas un recul en matière de mise en conformité ; au contraire, elle représente une opportunité stratégique. Les meilleures pratiques en matière de gouvernance, de contrôle et de transparence imposées par la loi sur l’IA ne sont pas des obligations temporaires, mais des principes de gestion des risques qui restent pertinents indépendamment des échéances réglementaires. Les organisations avisées ne considéreront pas le « Digital Omnibus » comme un retard dans la conformité, mais comme un délai précieux pour mettre en place une gouvernance plus solide et plus proactive.

Le premier aspect à comprendre est que cette réglementation a un champ d'application très large et s'applique à divers acteurs de la chaîne de valeur de l'intelligence artificielle.

• Les fournisseurs et prestataires.
  Il s’agit des acteurs qui développent un système ou un modèle d’IA pour le commercialiser sous leur propre nom ou leur propre marque. Cela inclut aussi bien les grandes entreprises technologiques que les start-ups qui distribuent des solutions d’IA.
• Les utilisateurs professionnels ou les déployeurs.
  Il s’agit des entreprises, administrations publiques et organismes qui utilisent des systèmes d’IA dans le cadre de leurs activités professionnelles. Peu importe qu’ils aient développé l’IA en interne ou qu’ils l’aient acquise auprès d’un tiers : ils doivent dans tous les cas se conformer aux exigences de la loi.
• Les importateurs et les distributeurs.
  Il s’agit des acteurs qui introduisent sur le marché de l’Union européenne des systèmes d’IA développés ailleurs.

Un point crucial : la loi européenne sur l’IA a une portée extraterritoriale. Elle s’applique également aux entreprises établies en dehors de l’UE lorsque leurs systèmes d’intelligence artificielle ou les résultats générés par ces systèmes sont utilisés sur le territoire de l’Union. Seuls les usages purement personnels et les systèmes utilisés exclusivement à des fins de recherche et de développement scientifiques sont exemptés.

Qu’est-ce que cela signifie ? Par exemple, une start-up californienne qui distribue un chatbot utilisé par des entreprises européennes ou une entreprise de services Clouds basée au Japon qui traite des données d’utilisateurs de l’UE sont tous deux soumis à la loi sur l’IA.

Le cadre réglementaire repose sur une approche fondée sur la classification des systèmes d’IA selon quatre catégories de risque, auxquelles correspondent des obligations de plus en plus strictes.

1. Risque inacceptable, c'est-à-dire les pratiques totalement interdites.
   Ces systèmes sont interdits car ils constituent une menace claire et inacceptable pour les droits et la dignité des personnes. Cette catégorie comprend :
   • Les systèmes de notation sociale, qui classent globalement les citoyens sur la base de leur comportement social ;
   • Les techniques de manipulation subliminale, utilisant des messages perçus inconsciemment pour modifier le comportement ou exploiter des personnes vulnérables ;
   • L’identification biométrique à distance en temps réel par les forces de l’ordre dans les espaces publics, sauf dans de rares situations liées à des infractions graves ;
   • La classification biométrique fondée sur des données sensibles, lorsque l’IA catégorise les personnes selon leur origine ethnique, leur religion, leur orientation sexuelle, etc. ;
   • La reconnaissance des émotions sur le lieu de travail ou dans les établissements scolaires.
2. Risque élevé.
   Cela inclut les systèmes utilisés dans des secteurs critiques ayant un fort impact social, tels que les ressources humaines (sélection du personnel, décisions de promotion), l’éducation (évaluation des examens, accès aux programmes éducatifs), les infrastructures critiques (la justice et les forces de l’ordre).
   Ces systèmes ne sont pas interdits, mais ils nécessitent une gouvernance complexe comprenant notamment une évaluation ex ante rigoureuse, des systèmes de gestion continue des risques, des données d'entraînement de haute qualité et impartiales, une documentation technique détaillée, une supervision humaine obligatoire, une traçabilité complète et des mesures de cybersécurité adéquates. Par exemple, un système d’IA utilisé pour assister les décisions de recrutement est considéré comme présentant un risque élevé. Il doit être soumis à des contrôles stricts, documenter la manière dont il prend ses décisions et faire l’objet de tests réguliers visant à détecter d’éventuels biais liés au genre, à l’origine ethnique ou à d’autres caractéristiques protégées. Une personne doit également toujours superviser le système et pouvoir passer outre aux résultats générés.
3. Risque limité.
   Cette catégorie concerne principalement des systèmes tels que les chatbots, les assistants virtuels et les modèles d’IA générative. La gestion des risques se traduit ici par des exigences de transparence: l’utilisateur doit être explicitement informé qu’il interagit avec une machine ou que le contenu qu’il voit ou entend a été généré artificiellement. Un chatbot interagissant avec les clients d’une banque doit clairement indiquer qu’il ne s’agit pas d’un opérateur humain, tout comme une vidéo publiée sur les réseaux sociaux mettant en scène un CEO sous la forme d’un avatar numérique expliquant une décision de l’entreprise doit être clairement identifiée comme un contenu artificiel.
4. Risque minime, voire nul.
   Cette catégorie regroupe la majorité des systèmes actuellement utilisés, tels que les filtres anti-spam, l’IA générative textuelle et les systèmes de recommandation simples. Leur utilisation est libre et aucune obligation réglementaire spécifique ne s’applique, bien qu’il soit recommandé de respecter volontairement des codes de déontologie.

Les entreprises sont tenues de mettre en œuvre des mesures de gestion des risques en fonction de leur rôle dans la chaîne de valeur.

• Les fournisseurs doivent mettre en place des systèmes de gestion de la qualité pouvant être certifiés, rédiger et conserver une documentation technique détaillée, obtenir la conformité CE et enregistrer les systèmes à haut risque dans une base de données européenne gérée par les autorités nationales.
• Les utilisateurs, c’est-à-dire les entreprises et organismes qui acquièrent et utilisent des systèmes d’IA, sont tenus d’utiliser l’IA conformément aux instructions du fournisseur, d’assurer une supervision humaine efficace, de surveiller son fonctionnement et de signaler les anomalies, de conserver des journaux de toutes les interactions et d’informer les travailleurs à l’avance.
  Pour les organismes publics ou les services essentiels privés, tels que les services publics destinés aux citoyens, les banques et les services de santé, une « évaluation d’impact sur les droits fondamentaux » est également obligatoire. Celle-ci doit documenter la manière dont le système pourrait avoir un impact sur des droits tels que la vie privée, la non-discrimination et le droit d’accès.
• Formation et sensibilisation. Tous les acteurs doivent mettre en place des programmes de formation afin de développer une culture de l’IA au sein de leurs équipes. Il ne s’agit pas là d’une simple recommandation, mais d’une véritable obligation. Les développeurs et les utilisateurs doivent être en mesure de reconnaître les limites, les biais et les risques liés à la technologie qu’ils utilisent.

Les organisations sont aujourd’hui confrontées à un défi majeur : comprendre comment cartographier leurs systèmes d’IA, évaluer leur profil de risque conformément à la loi européenne sur l’IA et mettre en œuvre les contrôles et la gouvernance nécessaires, tout en conservant leur capacité à innover et la performance de leurs processus et services.

La gouvernance de l’IA ne peut pas être un exercice statique limité à un moment donné de la mise en conformité. Elle doit constituer un système dynamique et opérationnel, actif en permanence et intégré aux processus décisionnels de l’entreprise.

C'est sur ce principe que GFT a développé GOS (Governance Operating System), un cadre automatisé global qui dépasse les limites des processus manuels et des listes de contrôle statiques.

Le GOS s'articule autour de trois composantes clés :

1. un « Governance Operating Model » (GOM), qui définit les stratégies, les rôles et les responsabilités ;
2. un cadre Impact-Risque-Politique (IRP), qui cartographie les risques conformément à la norme ISO 42001 et à la loi européenne sur l’IA, analyse automatiquement les cas d’usage, calcule les impacts et traduit les décisions de mitigation en règles interprétables par les machines ;
3. une « Governance Operating Platform » (GOP), qui applique, contrôle et surveille ces règles en temps réel sur l’ensemble des systèmes de l’entreprise.

La solution de GFT est modulaire afin de permettre aux utilisateurs de :

• classer le niveau de risque selon la loi sur l’IA et identifier les principaux articles applicables ;
• mettre en œuvre et contrôler les agents en production ;
• traduire les règles métier en décisions d’autorisation ou de blocage à l’exécution ;
• intégrer la surveillance et les alertes ;
• générer ou valider automatiquement la documentation technique requise par la loi sur l’IA.

Les résultats sont mesurables : sur la base de cas d’usage et de cas réels, nous avons estimé une réduction de 42 % du temps nécessaire à la gouvernance de chaque cas d’usage, une infrastructure toujours prête pour les audits, ainsi que la suppression des silos entre les équipes techniques, juridiques, conformité et métier. Surtout, cette approche garantit que les contrôles de conformité sont appliqués au moment précis où l’IA interagit avec les données et les décisions, permettant ainsi une gouvernance by design, plus efficace qu’une simple revue ex post.

Dans le cadre de la solution (GOP), GFT a développé deux solutions verticales basées sur des agents qui automatisent les deux flux de travail documentaires les plus critiques et les plus chronophages en matière de conformité : la validation technique des dossiers IA et l’analyse des contrats fournisseurs.

• Smart Compliance est un outil qui valide automatiquement les documents de la société par rapport à des listes de contrôle et à des exigences techniques ou réglementaires. L’un des aspects les plus critiques de la loi européenne sur l’IA étant la création et la mise à jour du dossier technique, Smart Compliance s’appuie sur une liste de contrôle des meilleures pratiques pour vérifier si la documentation du système d’IA (dossier technique d’IA) est bien complète, de haute qualité et en conformité avant le déploiement du système d’IA, transformant ainsi un processus manuel et sujet aux erreurs en une vérification structurée et reproductible.
• Contract Intelligence est un cadre basé sur l’IA agentique qui automatise la conformité contractuelle, en intégrant les exigences de la loi sur l’IA et de la réglementation DORA. Il s’articule autour de trois fonctionnalités : Évaluation et gouvernance (analyse automatisée des contrats et calcul des niveaux de risque réglementaire), Remédiation (un tableau de bord qui suggère activement des plans d’action et des politiques de remédiation) et Explicabilité (reconstitution transparente des raisons sous-jacentes à chaque constat). Les résultats d’une démonstration de faisabilité dans le secteur bancaire ont montré une multiplication par quatre de la productivité opérationnelle, un gain de temps d’environ 1 200 heures par an et une réduction de 50 % du temps consacré à l’examen des contrats.

La conformité réglementaire commence par la prise de conscience de sa situation. De nombreuses entreprises exploitent des systèmes d’IA en production sans avoir une visibilité suffisante sur leur niveau de risque, sur les lacunes existantes ni sur la feuille de route à suivre pour progresser de manière stratégique et sécurisée.

GFT Italie a développé son propre cadre méthodologique pour construire et mesurer la maturité d’un cadre de gouvernance de l’IA en évaluant conjointement six grands domaines clés :

1. Processus et supervision : qualité du processus global de gouvernance, étapes d’approbation et automatisation ;
2. Transparence et éthique : explicabilité des systèmes d'IA, frameworks éthiques et reproductibilité des résultats ;
3. Adoption et impact : visibilité et suivi de l’impact réel des systèmes ;
4. Traçabilité : qualité de la traçabilité fonctionnelle et technique ;
5. Conformité : vérification de la présence d'éléments clés permettant d’assurer la conformité réglementaire, notamment à l’AI Act, au RGPD et à DORA, ainsi qu'aux normes internationales telles que l'ISO 42001, afin de garantir une gouvernance structurée et orientée vers la conformité ;
6. Formation et gestion du changement : qualité de la formation et maturité de la supervision humaine.

Cette cartographie n’est pas un simple exercice théorique, mais constitue un fondement stratégique permettant d’accompagner le responsable de la gouvernance de l’IA et la direction de l’entreprise dans la définition d’une roadmap réaliste et progressive vers davantage de maturité et une conformité complète.

En définitive, la législation reste un point de référence essentiel, mais elle pourrait ne pas suffire face aux défis technologiques actuels. Il est donc d’autant plus essentiel pour les entreprises d’adopter une approche allant au-delà de la conformité minimale, en anticipant les lacunes réglementaires grâce à des pratiques internes solides.

Dans un contexte réglementaire déjà complexe et encore parfois incomplet,disposer d’une vision claire de sa situation de départ permet aux organisations d’avancer en toute confiance, en anticipant les inévitables évolutions réglementaires futures et en garantissant la sécurité et la continuité des activités.