AI Act : quelle décision prendre avant de parler de conformité ?

Depuis le 2 août 2026, une grande partie du règlement européen sur l’intelligence artificielle est applicable. Les pratiques interdites et l’obligation de maîtrise de l’IA s’appliquent depuis février 2025 ; la gouvernance et certaines obligations visant les modèles d’IA à usage général depuis août 2025. Le calendrier des systèmes à haut risque reste cependant évolutif : la Commission rapporte un accord politique sur des échéances adaptées, dont l’adoption formelle doit être vérifiée avant publication. La première décision utile n’est donc pas d’acheter un label : elle consiste à inventorier un usage, qualifier le rôle de l’organisation et désigner les preuves manquantes. Cette lecture transforme un texte transversal en mission bornée. Elle sépare les faits réglementaires, les décisions internes et l’expertise juridique requise, sans promettre qu’un atelier suffira à rendre un système conforme.

Il faut d’abord qualifier le système, sa finalité, les personnes affectées, les données utilisées et le rôle juridique de chaque acteur. Un même outil peut engager des obligations différentes selon qu’une organisation le développe, le met sur le marché, l’intègre ou l’utilise dans un processus métier.

L’inventaire part de décisions observables : recrutement, relation client, contrôle, tarification, création de contenu ou assistance interne. Il note le propriétaire, le fournisseur, les utilisateurs, les sorties et les recours humains. Une liste d’outils sans finalité ni flux de décision ne permet ni classification ni priorisation.

Les interdictions et la maîtrise de l’IA sont applicables depuis le 2 février 2025, tandis que la gouvernance et les obligations relatives aux modèles d’IA à usage général s’appliquent depuis le 2 août 2025. Une large part du règlement s’applique depuis le 2 août 2026, sous réserve des régimes et transitions spécifiques.

Le responsable ne copie pas une date unique sur tous les systèmes. Il rattache chaque exigence à un article, un rôle et un cas d’usage. Pour les règles à haut risque, il conserve une réserve de fraîcheur : la page officielle de la Commission et le texte adopté doivent être relus avant toute recommandation datée.

Une pratique doit être escaladée lorsqu’elle ressemble à une interdiction, manipule une personne, exploite une vulnérabilité ou produit une décision sensible sans contrôle clair. L’équipe ne tranche pas seule une qualification juridique : elle suspend l’usage contesté, conserve les faits et sollicite l’expertise compétente.

Le protocole décrit la finalité réelle, les personnes concernées, la fréquence, les données, l’effet de la sortie et la possibilité de recours. Il évite les formulations vagues comme « IA responsable ». Une décision d’arrêt temporaire est datée, proportionnée et réversible après analyse.

Le premier achat défendable est un atelier d’inventaire et de qualification qui livre un registre, une carte des rôles, une liste d’écarts et un plan de décision. Il ne délivre ni certification, ni garantie d’absence de sanction, ni conclusion juridique définitive hors du champ du spécialiste mandaté.

Le périmètre porte sur un processus ou une famille d’outils, pas sur « toute l’IA » de l’organisation. Le commanditaire fournit contrats, descriptions, propriétaires et traces disponibles. Le livrable sépare actions immédiates, questions juridiques, tests techniques et dépendances fournisseur. Le prix et le délai sont établis après inventaire, sous réserve de la capacité à mobiliser les compétences requises.

La continuité repose sur un registre vivant, des validations de changement, des tests, des incidents, une documentation fournisseur et des décisions humaines traçables. Une veille réglementaire seule ne suffit pas : chaque cycle doit modifier un contrôle, fermer un écart ou confirmer qu’un usage reste dans son périmètre.

Les événements déclencheurs sont un nouveau modèle, une nouvelle donnée, une finalité différente, un incident ou une modification contractuelle. La revue périodique vérifie aussi les compétences des personnes qui utilisent ou supervisent le système. La récurrence n’est crédible que si un responsable interne peut agir sur les constats.

L’axe devient crédible si un partenaire maîtrise la gouvernance de l’IA, sait mobiliser un juriste lorsque nécessaire et peut livrer un atelier borné à des organisations ayant des usages réels. Sans capacité, prix, responsabilité et preuve d’exécution, le sujet reste éditorialement intéressant mais aucune mission n’est proposée.

Les meilleurs signaux sont un inventaire absent, un appel d’offres, une politique interne à réviser, un fournisseur de modèle qui change ou un processus sensible déjà automatisé. La prospection nomme ce signal ; elle ne prétend jamais que l’entreprise est « non conforme » sans analyse.

Avant toute campagne, une revue de dix dossiers commerciaux vérifie que le signal est observable, que le décideur peut être identifié et que le partenaire peut réellement accepter la mission. Cette preuve de capacité précède tout objectif de volume. Les refus, cas hors périmètre et besoins d’avis juridique sont comptés comme des décisions utiles, jamais comme des occasions à forcer.

getfishnet peut activer ce marché seulement si l’offre distingue diagnostic, conseil juridique et remédiation, et si la capacité de livraison est prouvée. À défaut, aucune activation n’a lieu : aucun volume d’audience ne transforme une compétence manquante en service achetable.

Sources d’autorité citées : Commission européenne ; EUR-Lex. Les URL, dates et réserves de fraîcheur sont conservées dans le dossier privé.