AI ACT · GOUVERNANCE IA
AI Act : passer du registre IA au contrôle opérationnel.
Un registre des usages est utile, mais il ne gouverne pas à lui seul ce qui entre dans l’IA, ce que le système produit ou ce qu’un agent est autorisé à faire. La difficulté réelle consiste à relier les usages, les règles applicables, les responsables, les validations et les événements de production.
8 min · mis à jour 1 octobre 2026
Le calendrier a changé : la gouvernance doit suivre les règles réellement applicables.
Le règlement européen sur l’intelligence artificielle s’applique par étapes. La Commission européenne a encore précisé ce calendrier après l’AI Omnibus entré en vigueur en juillet 2026 : certaines règles relatives aux systèmes à haut risque s’appliqueront à partir du 2 décembre 2027, tandis que celles concernant des systèmes intégrés à certains produits s’appliqueront à partir du 2 août 2028.
Pour une organisation, la conséquence pratique est simple : une gouvernance IA ne peut pas être un document figé. Le rôle de l’organisation, le type de système, son usage, son contexte de déploiement et la version des règles doivent rester reliés à chaque décision.
Six briques à relier dans une gouvernance IA exploitable.
Le bon point de départ n’est pas « sommes-nous conformes ? », mais « quel usage est réellement en production, qui en répond, quelles règles devons-nous examiner et quel événement déclenche une nouvelle revue ? ».
- Inventorier les systèmes et usages effectivement utilisés, pas seulement les projets déclarés.
- Qualifier le rôle, la finalité, le contexte et les catégories de risque à examiner.
- Versionner les politiques internes qui autorisent, limitent ou interdisent certains usages.
- Identifier les points où une personne compétente doit reprendre la main.
- Relier incidents, changements de modèle, nouveaux fournisseurs et nouvelles finalités à une réévaluation.
- Conserver le contexte, les versions et les validations nécessaires pour expliquer la décision après coup.
Le contrôle doit exister au moment où l’IA est utilisée.
Une politique d’usage stockée dans un PDF n’empêche pas, à elle seule, qu’une donnée sensible parte vers un service non autorisé. De la même façon, un registre ne contrôle pas ce qu’un agent autonome s’apprête à modifier dans un système.
NELSE distingue donc trois moments : GATE contrôle ce qui entre dans l’IA, CONTROL supervise ce que le système produit et AGENT contrôle les actions avant effet. Ces modules n’éliminent pas le jugement humain ; ils permettent au contraire de rendre explicites les situations où une validation ou une preuve supplémentaire est requise.
La preuve utile n’est pas un badge de conformité.
Une organisation doit pouvoir retrouver le système concerné, le contexte de l’événement, la version de la politique ou du corpus examinée, le résultat du contrôle et la validation humaine lorsqu’elle était nécessaire.
Cette traçabilité ne transforme pas automatiquement une décision en décision juridiquement correcte. Elle permet en revanche d’examiner le chemin suivi sans reconstruire l’histoire plusieurs mois plus tard.
Sources officielles
Cette page présente une information générale et une méthode de travail. Elle ne constitue pas un avis juridique sur votre situation.
Du texte à votre cas