Résumé
L’AI Act n’est plus un sujet lointain, ni un simple dossier réservé aux directions juridiques. À mesure que l’intelligence artificielle s’intègre dans les outils du quotidien, il devient un sujet concret pour les DSI, RSSI, équipes infrastructure, cybersécurité, responsables applicatifs et directions métiers.
Le règlement européen sur l’intelligence artificielle repose sur une logique de maîtrise des risques. Son objectif n’est pas d’interdire l’innovation, mais d’encadrer les usages selon leur niveau de sensibilité : usages interdits, systèmes à haut risque, obligations de transparence, modèles d’IA à usage général et usages à risque limité. L’AI Act est entré en vigueur en 2024 et son application se déploie progressivement, avec plusieurs exceptions et ajustements selon les catégories de systèmes concernés.
Pour les équipes IT, le sujet est désormais très opérationnel : où l’IA est-elle utilisée dans l’organisation ? Par qui ? Avec quelles données ? Dans quels outils ? Avec quels accès ? Quels fournisseurs ? Quels logs ? Quelles garanties de sécurité ? Et surtout, quel niveau de contrôle réel ?
Depuis l’été 2026, les obligations de transparence prévues par l’article 50 deviennent un point d’attention majeur pour les organisations qui utilisent ou déploient des systèmes capables d’interagir avec des personnes, de générer des contenus ou de manipuler des textes, images, sons ou vidéos. La Commission européenne rappelle que ces obligations portent notamment sur le marquage, la détection et l’étiquetage de contenus générés ou manipulés par IA. Le Code of Practice publié en juin 2026 reste volontaire, mais les obligations de transparence de l’AI Act sont, elles, bien des obligations légales.
En parallèle, les travaux européens de simplification ont confirmé une application plus progressive de certaines règles relatives aux systèmes d’IA à haut risque, notamment pour les systèmes autonomes et les systèmes intégrés dans des produits. Ce calendrier plus étalé ne doit pas être interprété comme une pause. Il confirme au contraire que la mise en conformité est un chantier long, technique et structurant.
L’enjeu pour les organisations n’est donc pas seulement de “suivre une réglementation”. Il est de reprendre la maîtrise des usages IA dans le système d’information : cartographier, classifier, sécuriser, documenter, tracer, encadrer et gouverner.
L’IA est déjà dans le système d’information
Dans beaucoup d’organisations, l’intelligence artificielle n’arrive pas uniquement sous la forme d’un grand projet officiellement lancé.
Elle peut être intégrée dans une suite collaborative, un CRM, un outil RH, une solution de support, une plateforme marketing, un logiciel métier, un outil de cybersécurité, une application de gestion documentaire ou un assistant conversationnel.
Elle peut aussi apparaître sous forme de fonctionnalités ajoutées par un éditeur, d’un module activé dans une solution SaaS, d’un connecteur testé par une équipe métier ou d’un outil utilisé ponctuellement par des collaborateurs.
C’est précisément ce qui rend le sujet complexe.
Une organisation peut avoir l’impression de ne pas encore avoir déployé d’IA de manière structurée, alors que plusieurs usages existent déjà dans les faits. Le risque n’est donc pas seulement lié aux grands projets IA visibles. Il vient aussi des usages diffus, des outils non référencés, des fonctionnalités intégrées et des expérimentations qui échappent parfois à la gouvernance IT.
Pour les équipes IT, la question n’est plus simplement : “utilisons-nous de l’IA ?”
La vraie question est : où l’IA est-elle déjà présente dans notre organisation, et avec quel niveau de maîtrise ?
Pourquoi les équipes IT sont directement concernées
L’AI Act est souvent présenté comme un texte de conformité. C’est vrai, mais sa mise en œuvre repose très largement sur des éléments techniques.
Ce sont les équipes IT qui connaissent les applications utilisées, les flux de données, les comptes utilisateurs, les droits d’accès, les environnements cloud, les intégrations API, les fournisseurs, les journaux d’activité, les mesures de sécurité et les dépendances techniques.
Sans cette vision, la conformité reste théorique.
Une charte IA peut définir les grands principes. Une politique interne peut encadrer les usages. Mais si l’organisation ne sait pas quels outils sont réellement utilisés, quelles données y circulent, quels utilisateurs y accèdent ou quels fournisseurs interviennent, elle ne maîtrise pas son exposition.
C’est ici que l’AI Act devient un sujet d’architecture, de cybersécurité, de gouvernance des accès, de traçabilité et de documentation.
La question centrale devient donc : sommes-nous capables d’identifier, sécuriser, documenter et contrôler nos usages IA ?
La transparence : un enjeu concret dès maintenant
L’un des points les plus opérationnels concerne les obligations de transparence.
L’article 50 de l’AI Act vise notamment les systèmes qui interagissent directement avec des personnes, les contenus générés ou manipulés par IA, les deepfakes et certains textes générés par IA publiés sur des sujets d’intérêt public. Ces obligations impliquent notamment d’informer les personnes lorsqu’elles interagissent avec un système d’IA, lorsque cela n’est pas évident dans le contexte.
Pour une entreprise, cela peut concerner des cas très concrets :
un chatbot client ;
un assistant conversationnel interne ;
un outil de génération de textes, images, sons ou vidéos ;
une solution qui transforme ou manipule des contenus existants ;
un outil de communication assisté par IA ;
une application métier intégrant une fonctionnalité IA ;
un système qui interagit avec des collaborateurs, clients, partenaires ou utilisateurs.
Ces obligations ne relèvent pas seulement du juridique ou de la communication. Elles impliquent des choix techniques : paramétrage des outils, information des utilisateurs, identification des contenus générés, gestion des preuves, conservation des traces, validation humaine et documentation des usages.
La Commission européenne a publié un Code of Practice dédié à la transparence des contenus générés par IA, afin d’aider les fournisseurs et déployeurs à appliquer les obligations de marquage, détection et étiquetage. L’usage de ce code est volontaire, mais il donne une grille de lecture utile pour structurer les pratiques.
Le haut risque : un sujet à analyser par l’usage réel
Le volet “haut risque” reste l’un des plus structurants de l’AI Act.
Il peut concerner des systèmes utilisés dans des domaines sensibles : emploi, ressources humaines, éducation, accès à certains services essentiels, infrastructures critiques, biométrie, sécurité, justice ou évaluation de personnes.
Mais le point essentiel est le suivant : le niveau de risque ne dépend pas uniquement de la technologie. Il dépend surtout du contexte d’usage.
Un outil d’IA utilisé pour reformuler un texte interne ne présente pas le même niveau de sensibilité qu’un système qui contribue à présélectionner des candidats, évaluer une personne, prioriser une demande, automatiser une décision ou orienter l’accès à un service.
La Commission européenne a publié des lignes directrices en version projet pour aider fournisseurs et déployeurs à analyser la classification des systèmes d’IA à haut risque. Ces éléments visent notamment à faciliter l’application uniforme de l’article 6 de l’AI Act.
Pour les équipes IT, cela signifie qu’il ne suffit pas de regarder la fiche fournisseur ou le nom de la solution. Il faut comprendre l’usage réel : quelles données sont traitées, quelles personnes sont concernées, quelles décisions sont influencées, quels systèmes sont connectés et quel contrôle humain est prévu.
Un même outil peut être peu sensible dans un contexte et beaucoup plus critique dans un autre.
Premier chantier : cartographier les usages IA
La première étape consiste à établir une cartographie réaliste des usages IA.
Cet inventaire ne doit pas se limiter aux outils officiellement achetés par la direction. Il doit aussi intégrer les fonctionnalités IA déjà présentes dans les logiciels existants, les solutions testées par les métiers, les assistants conversationnels, les outils SaaS, les connecteurs, les automatisations, les usages de génération de contenu et les expérimentations locales.
Pour chaque usage, l’organisation doit être capable de répondre à plusieurs questions :
Quel outil est utilisé ?
Par quelle équipe ?
Pour quel objectif ?
Avec quelles données ?
Avec quel fournisseur ?
Dans quel environnement technique ?
Avec quels droits d’accès ?
Avec quels logs ?
Avec quelle documentation ?
Avec quelles mesures de sécurité ?
Cet inventaire est la base de tout le reste. Sans lui, il est impossible de classifier les risques, d’identifier les obligations de transparence, d’évaluer les fournisseurs, de documenter les systèmes ou de sécuriser correctement les données.
Deuxième chantier : sécuriser les données et les accès
L’AI Act ne remplace pas le RGPD. Les deux cadres peuvent s’appliquer simultanément lorsqu’un système d’IA traite des données personnelles. La CNIL rappelle que, comme tout traitement de données personnelles, la collecte et l’utilisation de données via un système d’IA doivent respecter le RGPD et les droits des personnes.
Pour les équipes IT, cela signifie qu’un usage IA doit intégrer dès le départ une analyse sur :
la nature des données utilisées ;
la présence de données personnelles ou sensibles ;
la minimisation des données ;
la localisation des traitements ;
les flux vers des prestataires ;
les droits d’accès ;
les comptes administrateurs ;
les journaux d’activité ;
les exports ;
les API ;
les sauvegardes ;
le chiffrement ;
la séparation des environnements ;
les durées de conservation ;
les modalités de suppression ou d’anonymisation.
Un usage IA mal encadré peut rapidement créer une exposition : saisie d’informations internes dans un outil non validé, absence de contrôle sur les flux, connecteurs trop ouverts, droits excessifs, comptes dormants, manque de logs ou dépendance excessive à un fournisseur externe.
La sécurité des données n’est donc pas un sujet annexe. Elle fait partie du socle de maîtrise des usages IA.
Troisième chantier : encadrer l’IA générative
L’IA générative est l’un des sujets les plus sensibles parce qu’elle est simple à utiliser, rapide à diffuser et parfois difficile à contrôler.
Elle peut aider à rédiger, synthétiser, traduire, produire des supports, générer du code, analyser des documents ou automatiser certaines tâches. Mais elle peut aussi créer des risques si elle est utilisée sans cadre clair.
Une organisation doit donc définir précisément :
quels outils sont autorisés ;
quels outils sont interdits ;
quelles données ne doivent jamais être saisies ;
quels contenus doivent être relus ;
quels usages nécessitent une validation ;
comment identifier les contenus générés ou manipulés par IA ;
qui est responsable de la validation finale ;
comment signaler un incident ;
comment gérer les accès ;
comment revoir les usages dans le temps.
L’objectif n’est pas de bloquer l’innovation.
L’objectif est d’éviter que l’IA devienne une zone grise dans le système d’information.
Quatrième chantier : documenter et tracer
La documentation ne doit pas être vue uniquement comme une contrainte réglementaire. Elle devient un outil de maîtrise.
Une organisation doit être capable d’expliquer :
à quoi sert le système ;
qui l’utilise ;
quelles données sont traitées ;
quel fournisseur intervient ;
quelles mesures de sécurité sont appliquées ;
quels accès sont ouverts ;
quelles validations humaines existent ;
quels incidents ont été détectés ;
quels logs sont disponibles ;
comment le système est mis à jour ;
comment l’usage est revu dans le temps.
La traçabilité doit être pensée dès l’intégration des outils. L’ajouter après coup est souvent plus complexe, plus coûteux et moins fiable.
Pour les équipes IT, cela rejoint des pratiques déjà connues : gestion des actifs, supervision, contrôle des accès, gestion des incidents, documentation technique, MCO, MCS, gestion des fournisseurs et amélioration continue.
Cinquième chantier : maîtriser les fournisseurs et les dépendances
L’IA pose aussi une question de dépendance technologique.
Lorsqu’un outil IA est utilisé, l’organisation doit comprendre où les données sont traitées, par quel fournisseur, selon quelles garanties contractuelles, avec quelles options d’administration, quels journaux d’activité, quelles mesures de sécurité et quelles possibilités de réversibilité.
Pour certaines organisations, notamment celles qui manipulent des données sensibles, critiques ou stratégiques, le choix de solutions maîtrisées, adaptées au contexte réglementaire ou souveraines devient un vrai sujet.
La question n’est plus seulement : “l’outil fonctionne-t-il ?”
Elle devient aussi :
Où partent les données ?
Qui peut y accéder ?
Que devient l’information saisie ?
Quelles preuves sont disponibles ?
Quelles dépendances sont créées ?
Quelle maîtrise l’organisation conserve-t-elle ?
C’est ici que le rôle d’un intégrateur IT et cybersécurité prend tout son sens : aider l’organisation à choisir des solutions cohérentes avec ses usages, son niveau de risque, ses contraintes métiers et ses exigences de sécurité.
Sixième chantier : former les utilisateurs
La maîtrise de l’IA ne peut pas reposer uniquement sur les équipes IT.
Les collaborateurs doivent comprendre ce qu’ils peuvent faire, ce qu’ils ne doivent pas faire, quelles données ne doivent jamais être saisies, quels contenus doivent être relus et quand une validation humaine est nécessaire.
La culture de l’IA, ou AI literacy, est un sujet déjà identifié dans le calendrier de mise en œuvre de l’AI Act. Elle consiste à donner aux personnes concernées un niveau de compréhension adapté à leur rôle et à leur usage des systèmes d’IA.
Former les utilisateurs ne signifie pas en faire des experts techniques.
Cela signifie leur donner les bons réflexes :
ne pas saisir de données sensibles dans un outil non validé ;
vérifier les résultats produits par l’IA ;
identifier les contenus générés ;
comprendre les limites des outils ;
savoir quand demander validation ;
savoir signaler un incident ;
respecter les règles internes d’usage.
La sécurité de l’IA dépend autant des outils que des comportements.
Les erreurs à éviter
La première erreur serait de considérer l’AI Act comme un sujet uniquement juridique.
La deuxième serait de penser que seuls les grands projets IA sont concernés.
La troisième serait de croire que les équipes IT pourront reconstruire l’inventaire, la documentation, les accès et les preuves au dernier moment.
Les erreurs les plus fréquentes sont souvent très opérationnelles :
ne pas identifier les usages réels ;
oublier les fonctionnalités IA intégrées dans les logiciels existants ;
autoriser des outils sans cadre ;
négliger les données personnelles ;
ne pas contrôler les accès ;
ne pas vérifier les fournisseurs ;
ne pas conserver de traces exploitables ;
ne pas former les utilisateurs ;
ne pas intégrer l’IA dans la politique de cybersécurité ;
ne pas prévoir de processus de retrait ou de suspension d’un outil.
La conformité ne se construit pas uniquement dans un document. Elle se construit dans les usages, l’architecture, les processus et les preuves disponibles.
Pourquoi se préparer encore plus à l’heure actuelle ?
Parce que les usages IA avancent déjà plus vite que la gouvernance interne.
Les collaborateurs testent des outils. Les éditeurs ajoutent des fonctionnalités IA. Les prestataires proposent des automatisations. Les métiers cherchent à gagner du temps. Les données circulent. Les intégrations se multiplient.
Dans ce contexte, attendre que chaque élément réglementaire soit parfaitement stabilisé serait risqué.
Les chantiers à lancer maintenant sont des fondamentaux qui resteront nécessaires dans tous les cas :
cartographier les usages ;
classifier les risques ;
sécuriser les accès ;
maîtriser les données ;
encadrer l’IA générative ;
documenter les outils ;
tracer les opérations ;
former les utilisateurs ;
évaluer les fournisseurs ;
intégrer l’IA dans la gouvernance IT et cybersécurité.
Ces sujets prennent du temps, surtout dans des environnements complexes.
Ils demandent de faire travailler ensemble l’IT, la cybersécurité, les métiers, les achats, le juridique, la DPO, la direction et parfois les fournisseurs. C’est précisément pour cela qu’ils doivent être structurés avant de devenir urgents.
Le rôle de Synexie
Chez Synexie, nous abordons l’AI Act avec une approche pragmatique.
Il ne s’agit pas d’ajouter une couche administrative supplémentaire. Il s’agit de reprendre la maîtrise des usages IA dans le système d’information.
En tant qu’intégrateur de solutions IT et cybersécurité, Synexie accompagne les organisations dans la structuration de leur environnement numérique : sécurisation des accès, maîtrise des infrastructures, gouvernance des outils, supervision, documentation, continuité d’activité, protection des données et intégration de solutions adaptées, y compris souveraines lorsque le contexte l’exige.
L’enjeu n’est pas seulement d’être conforme.
L’enjeu est de pouvoir démontrer que les usages IA sont connus, contrôlés, sécurisés et alignés avec les besoins métiers.
Cette approche permet de transformer l’AI Act en opportunité : réduire les zones grises, clarifier les responsabilités, renforcer la confiance et construire une gouvernance durable autour de l’intelligence artificielle.
Conclusion
L’AI Act entre dans une phase où les équipes IT ont un rôle décisif à jouer.
Les obligations de transparence deviennent concrètes pour certains usages. Les systèmes à haut risque s’inscrivent dans une trajectoire plus progressive, mais leur préparation reste structurante. Les lignes directrices, standards et pratiques de mise en œuvre continuent de se préciser. Les usages IA, eux, avancent déjà dans les organisations.
Pour les DSI, RSSI et équipes IT, la priorité est donc claire : ne pas subir l’IA, mais la maîtriser.
Cela passe par un inventaire réel des usages, une classification des risques, une sécurisation des données, une gouvernance des accès, une traçabilité exploitable, une évaluation des fournisseurs et une politique claire d’usage de l’IA générative.
Les organisations qui se structurent dès maintenant seront mieux préparées, non seulement pour répondre aux exigences réglementaires, mais aussi pour protéger leurs données, sécuriser leur système d’information et renforcer la confiance dans leurs usages numériques.
