Demandez à un dirigeant combien d'outils d'intelligence artificielle sont utilisés dans son organisation. La réponse est le plus souvent une estimation. L'assistant conversationnel déployé par la DSI est connu. Celui qu'un service marketing a adopté de sa propre initiative l'est moins. Le module de recommandation intégré depuis deux ans à un logiciel RH, personne ne l'a vraiment regardé. C'est pourtant là que l'AI Act attend les entreprises.

Le règlement européen ne demande pas de cocher une liste. Il demande de pouvoir démontrer que l'on sait quels systèmes sont utilisés, dans quel but, avec quel niveau de risque et sous quelle responsabilité. La checklist n'est pas imposée par le texte, mais elle est devenue le moyen le plus simple d'organiser cette démonstration, et la première case est toujours la même. Recenser.

Cette étape paraît modeste, elle est en réalité la plus révélatrice. Dans beaucoup d'organisations, le premier inventaire fait apparaître des usages que ni la direction juridique ni la DSI n'avaient identifiés, comme un outil de tri de candidatures, un logiciel d'analyse documentaire ou un modèle embarqué dans une solution métier. L'AI Act ne crée pas ces usages. Il les met en lumière et il en tire des conséquences.

Car tout le reste en découle. La classification selon les quatre niveaux de risque, des pratiques interdites au risque minimal, n'a de sens que si l'on sait quoi classer. Les obligations, qui varient selon que l'on est fournisseur, déployeur, importateur ou distributeur, ne se lisent qu'à partir d'un rôle précis dans la chaîne de valeur. Une entreprise qui utilise une IA pour assister ses recruteurs sans automatiser la décision finale devra pouvoir expliquer pourquoi cet usage ne relève pas du haut risque, ou prouver qu'elle en respecte les exigences. Cette explication se prépare avant le contrôle, jamais pendant.

Il existe aussi une obligation dont on parle moins, la littératie en IA. Les personnes qui utilisent ces systèmes doivent en comprendre les limites, les biais possibles, l'effet sur les données personnelles et leur propre part de responsabilité. Il ne s'agit pas d'apprendre à se servir d'un outil, mais de bâtir une culture partagée, et celle-ci protège autant que n'importe quelle procédure.

Reste l'articulation avec le RGPD, que l'AI Act ne remplace pas. Dès qu'un système traite des données personnelles, la base légale, la minimisation, l'information des personnes et parfois l'analyse d'impact continuent de s'appliquer. Les entreprises qui ont construit une vraie discipline RGPD partent avec une longueur d'avance, à condition de ne pas reproduire les mêmes silos avec l'IA. Deux registres tenus par deux équipes qui ne se parlent pas seraient le pire des héritages.

On peut voir dans tout cela une contrainte de plus. On peut aussi y voir ce que le RGPD est devenu pour les organisations qui l'ont pris au sérieux, un outil de gouvernance. Savoir ce que l'on utilise, pourquoi, avec quelles garanties et sous quelle responsabilité n'est pas seulement une exigence réglementaire. C'est la condition pour décider sereinement de ce que l'on veut faire de l'IA, et de ce que l'on choisit de ne pas en faire.

La conformité à l'AI Act ne sera jamais un projet que l'on clôt. Chaque nouvel outil, chaque changement de fournisseur, chaque modèle à usage général intégré à un produit appelle une nouvelle qualification. Les entreprises qui s'en sortiront le mieux ne seront pas celles qui auront rempli la liste le plus vite, mais celles qui en auront fait un réflexe.