AI Act : un an de répit, comment remettre les priorités dans l'ordre

Bruxelles vient d'offrir aux entreprises européennes ce qu'elles réclamaient depuis des mois : du temps.

Les obligations les plus lourdes de l'AI Act pour les systèmes à haut risque, initialement prévues au 2 août 2026, glissent vers la fin 2027. Dans les entreprises, le soulagement est palpable. 

Un délai n'est utile que s’il est mis à profit. Beaucoup d’organisations pourraient être tentées de mettre certains projets en pause jusqu’en 2027. Elles risquent surtout de les retrouver dans dix-huit mois, avec les mêmes problèmes à régler et moins de temps pour le faire.

Le premier réflexe : ne pas confondre pause et silence réglementaire

Tout d’abord, ce report ne concerne qu'une partie du règlement : les obligations complètes pour les systèmes à haut risque de l'annexe III (recrutement, scoring de crédit, biométrie, éducation, systèmes judiciaires). Le reste des obligations perdurent, sans aucun sursis. Les interdictions absolues (manipulation, notation sociale, reconnaissance d'émotion au travail) sont déjà en vigueur depuis février 2025. Les obligations pour les modèles d'IA généralistes s'appliquent quant à elles depuis août 2025. Les obligations de transparence (être informé lorsqu'on parle à un chatbot, signaler un contenu généré par l’IA) restent dues dans les prochaines semaines (décembre 2026), sans report.

Une entreprise qui met le dossier AI Act de côté jusqu’à fin 2027 ne fait pas que repousser le problème, tout en s’exposant dès maintenant. Le premier réflexe est donc d’établir avec précision une cartographie de ces risques : savoir exactement ce qui reste dû maintenant, puis ce qui glisse, et pour combien de temps.

Le deuxième réflexe : transformer la contrainte documentaire en actif

Ce que le Parlement européen appelle "simplification" ne retire pas les exigences de fond, mais déplace le curseur du calendrier vers la preuve. Gouvernance des données, tests de biais, traçabilité des décisions, supervision humaine réellement effective : ce sont les mêmes fondamentaux qu'exigeront demain un régulateur, un investisseur, ou un client B2B qui interroge ses fournisseurs sur leur usage de l'IA.

Les entreprises qui passeront les dix-huit prochains mois à construire cette documentation n'auront pas seulement un dossier de conformité prêt. Elles auront un langage commun entre les métiers, le juridique, les RH, l’IT et la direction générale sur ce que fait réellement leur IA, pour qui, et avec quelles limites. À l’image d’un patrimoine de données correctement gouverné, il s’agit de la construction d’un actif essentiel.

Le troisième réflexe : prioriser plutôt que tout traiter en même temps

Ce délai donne surtout la possibilité d’avancer dans le bon ordre, sans attendre d’être acculé par l’échéance. Trois priorités méritent de passer devant les autres :

1. Inventorier avant de classifier. La plupart des organisations découvrent qu'elles utilisent des systèmes à haut risque sans le savoir : un module de scoring intégré à un ATS, une fonctionnalité d'un outil RH tiers, un plug-in ajouté sans validation centrale. Sans inventaire, aucune obligation ne peut être respectée, quel que soit le calendrier.
2. Traiter la supervision humaine comme une compétence, pas une case à cocher. Le règlement exige une intervention humaine réelle (ce que l’on appelle human in the loop) dans les décisions à fort impact (recrutement, crédit, accès à des services essentiels…). Cela suppose de former les personnes concernées à comprendre les recommandations algorithmiques, les challenger, et documenter pourquoi elles s'en écartent parfois. Les collaborateurs auront demain des équipes étendues : des équipes dont les membres seront des agents IA. Savoir les manager (cadrer leurs objectifs, fixer des règles, contrôler les résultats) est une compétence qui ne s'improvise pas quelques semaines avant un contrôle.
3. Regarder au-delà de l'annexe III. Les obligations de transparence, elles, ne bougent pas de calendrier. Les chatbots, les contenus générés, les systèmes d'analyse d'entretien : c'est le chantier de cette année, pas de 2027.

Pourquoi agir maintenant, malgré tout

Le consensus politique qui a permis ce report reste fragile. Le vote au Parlement européen s'est nettement resserré entre les premières discussions et le vote final. Rien ne garantit qu'un nouvel épisode de tension n'aboutisse pas, d'ici 2027, à un raidissement plutôt qu'à un nouvel assouplissement. Bâtir sa conformité en pariant sur une clémence future est un pari, pas une stratégie.

Le répit accordé par Bruxelles n'est pas une récompense pour avoir attendu, mais une fenêtre pour ceux qui vont travailler et se préparer. Les entreprises qui l'auront compris n'aborderont pas 2027 en rattrapage. Elles y arriveront avec une gouvernance IA déjà rodée, capable de s'adapter au prochain texte, report ou durcissement, parce qu'elles n'auront pas construit leur conformité selon une date, mais pour une manière de travailler avec l’intelligence artificielle de manière éthique et responsable.