AI Act : le guide pour prendre le train de l’Omnibus de la conformité

Nick Payne, Director, Solutions Engineering chez Confluent partage son analyse et ses recommandations

Désormais, les obligations encadrant les systèmes d’IA dits à haut risque utilisés notamment dans les ressources humaines, l’éducation, les infrastructures critiques ou l’accès aux services essentiels s’appliqueront à compter du 2 décembre 2027. Les systèmes intégrés à des produits réglementés, tels que les dispositifs médicaux ou les équipements industriels, bénéficient quant à eux d’un délai jusqu’au 2 août 2028.

Ce calendrier ajusté constitue une réelle opportunité. Les entreprises composent en effet avec des normes techniques, des guides d’application et des cadres de régulation encore en pleine construction. Ce délai offre la possibilité de s’attaquer au véritable défi opérationnel de la conformité, plutôt que de précipiter des chantiers dans l’urgence face à une échéance prématurée.

La gouvernance de l’IA reste un angle mort opérationnel

Attendre que chaque détail juridique soit définitivement figé serait une erreur stratégique.

Face à une contestation d’un régulateur sur une décision prise avec l’aide de l’IA, beaucoup d’entreprises savent quel modèle a produit le résultat. En revanche, presque aucune ne peut préciser exactement quelles données l’ont alimenté à cet instant précis, quel était leur niveau de fraîcheur ou ce qui s’est passé une fois la recommandation émise.

Ce vide opérationnel ne se comblera pas à coups de chartes internes ou de déclarations de principe. Les organisations doivent mettre à profit ce temps supplémentaire pour cartographier leurs usages réels, comprendre la généalogie de la donnée qui nourrit les décisions critiques et garantir une traçabilité sans faille en production.

Nick Payne, Director, Solutions Engineering chez Confluent

Priorité n° 1 : identifier les systèmes d’IA déjà utilisés

L’intelligence artificielle s’infiltre rarement là où on l’attend, car elle arrive le plus souvent embarquée dans des logiciels d’entreprise déjà en place. Qu’il s’agisse d’outils de recrutement, de plateformes anti-fraude, de solutions de relation client, de logiciels de maintenance ou d’applications tierces, l’IA est déjà partout. Dans bien des cas, une simple mise à jour logicielle opérée par un éditeur modifie en profondeur les algorithmes sous-jacents, sans que l’organisation ne l’identifie comme un nouveau déploiement.

Établir un inventaire exhaustif et dynamique de ses systèmes d’IA devient alors indispensable. L’exercice oblige les équipes à dépasser les seuls projets explicitement labellisés IA pour identifier tous les algorithmes qui influencent les arbitrages métiers, automatisent les priorités opérationnelles ou fournissent des recommandations suivies par les collaborateurs.

Priorité n° 2 : remonter le fil d’une décision jusqu’à la donnée source

Un exercice particulièrement révélateur consiste à isoler une décision critique assistée par l’IA et à en reconstituer le cheminement à rebours. Il s’agit de vérifier quelle version du modèle a été sollicitée et avec quelles données exactes au moment de l’exécution.

Si les équipes peuvent répondre à certaines de ces interrogations, très rares sont celles capables de retracer l’ensemble du parcours sans réconcilier manuellement plusieurs environnements distincts.

Qu’il s’agisse de l’octroi d’un crédit bancaire, de l’évaluation d’un risque assurantiel ou du tri de candidatures, conserver la trace du résultat final ne suffit plus. L’organisation doit prouver l’origine de la donnée, sa fraîcheur, la validité du consentement associé et la chaîne de traitement qui a conduit au résultat.

L’effort ne doit donc pas se concentrer uniquement sur l’algorithme, mais sur l’ensemble du cycle de vie de la donnée en mouvement. La documentation d’un modèle explique comment il a été conçu et testé, mais elle ne dit rien de ce qu’il savait au moment précis où il a généré sa recommandation.

Priorité n° 3 : faire de la supervision en production le cœur de la gouvernance

La mise en production ne marque pas l’aboutissement de la gouvernance, elle en constitue au contraire le point de départ. Un modèle peut obtenir d’excellents résultats en phase de test et dériver une fois confronté à la réalité opérationnelle.

L’AI Act impose des exigences strictes en matière de qualité des données, de journalisation des activités, de cybersécurité, de robustesse et de contrôle humain, tout en instaurant une obligation continue de surveillance après le déploiement.

Un simple tableau de bord indiquant qu’une application reste accessible ne permettra pas de répondre aux exigences des auditeurs. Les entreprises doivent dès à présent déterminer quels événements applicatifs et flux de données doivent être historisés, quels signaux faibles nécessitent une investigation et comment ces éléments seront consolidés en cas d’audit ou d’incident.

Priorité n° 4 : en finir avec les démarches en silo

Une autre tentation récurrente consiste à vouloir créer un cadre de gouvernance de l’IA totalement isolé, superposé aux processus existants.

Multiplier les comités spécifiques et les formulaires administratifs supplémentaires ne fait que ralentir l’innovation sans réduire le risque. Cela crée surtout une rupture préjudiciable avec les contrôles déjà établis pour la sécurité, la conformité des données, les achats et la gestion des risques opérationnels.

La réussite repose sur une intégration native. À l’image de l’approche adoptée par Siemens au sein de ses opérations industrielles, la gouvernance doit s’appuyer sur une plateforme centrale de data streaming. En faisant circuler l’information en continu entre les systèmes opérationnels, les applications métiers, les entrepôts de données et les briques d’IA, les équipes bénéficient d’un cadre d’accès, de contrôle et d’audit parfaitement homogène à l’échelle de l’organisation.

Mettre à profit le calendrier pour bâtir un socle de preuves tangibles

La gouvernance s’avère systématiquement plus efficace lorsqu’elle est directement intégrée aux flux réels qui font circuler les données, plutôt que gérée comme un processus administratif parallèle.

Les entreprises attendent naturellement des précisions normatives sur la mise en œuvre pratique de certaines dispositions de l’AI Act. Cependant, lorsque les échéances de 2027 et 2028 arriveront, les régulateurs exigeront des preuves techniques, tangibles et auditables du fonctionnement des systèmes, bien au-delà d’une simple compréhension théorique des textes.

Ces éléments de preuve doivent impérativement être construits dès aujourd’hui.