Prouvez ce que fait l'IA chez vous, sans mettre l'entreprise à l'arrêt

Cela dépend de ce que font vos systèmes et du rôle que vous tenez dessus. Ce qui s'applique déjà à une entreprise qui utilise l'IA : les pratiques interdites de l'article 5 et la maîtrise de l'IA de l'article 4 depuis le 2 février 2025, puis la transparence de l'article 50 depuis le 2 août 2026. Les exigences de fond sur les systèmes à haut risque de l'annexe III s'appliquent au 2 décembre 2027.

Le règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026 et en vigueur depuis le 27 juillet, déplace l'échéance des systèmes à haut risque de l'annexe III du 2 août 2026 au 2 décembre 2027, et celle des systèmes de l'annexe I du 2 août 2027 au 2 août 2028. Le reste du calendrier n'a pas bougé, y compris le régime de sanctions. En pratique, vous gagnez seize mois pour instrumenter des applications qui n'enregistrent rien aujourd'hui.

Pas sous cette forme, et méfiez-vous de qui vous dira l'inverse. Le règlement impose un enregistrement dans la base de données européenne aux fournisseurs de systèmes à haut risque, et aux déployeurs qui sont des autorités publiques. Une entreprise privée qui utilise l'IA n'a pas d'obligation d'inventaire nommée. L'inventaire est ce qui rend le reste possible : tant qu'on ne sait pas ce qui tourne, on ne sait ni ce qui relève du haut risque, ni ce qu'on peut répondre à un client.

Non, et nous ne rendons aucun avis de droit. Nous montons le dispositif opérationnel : l'inventaire, la classification, l'instrumentation des applications, les journaux, les tableaux de bord et la sensibilisation. Quand une question devient juridique, elle part chez votre juriste avec la matière technique qui lui permet de trancher.

Cela dépend de la façon dont l'appel au modèle est écrit. Quand il passe par un seul endroit du code, la journalisation s'ajoute en quelques jours et couvre tout. Quand chaque fonctionnalité appelle le fournisseur de son côté, il faut d'abord ramener ces appels sur un passage unique, et c'est le vrai chantier. Nous le disons après lecture du code.

Pour les systèmes à haut risque, l'article 26 demande aux déployeurs de conserver les journaux produits automatiquement pendant six mois au moins, sauf disposition contraire du droit applicable. Au-delà, la durée se décide avec vous, et elle s'arbitre avec le RGPD, qui pousse dans l'autre sens. Nous écrivons cet arbitrage.

Nous partons de ce qui existe plutôt que de monter un dispositif parallèle. Ce qui manque en général est le versant technique : quels modèles et quels agents tournent, ce qu'ils reçoivent, ce qu'ils produisent, ce qu'un humain valide, et la trace de tout ça. Un registre de traitements ne répond pas à ces questions, et le DPO n'a pas les accès pour aller les chercher dans le code.

Les contrôles portent là où le risque existe, et les usages sans enjeu restent libres. Un dispositif qui met l'adoption à l'arrêt ralentit l'entreprise et repousse l'usage vers les comptes personnels. Donner un endroit où travailler légalement fait plus pour l'inventaire qu'une note de service, parce que ce qui passe par cet endroit est visible.

C'est le même sujet vu de l'autre bout. Un agent qui crée un devis ou modifie une fiche client doit laisser derrière lui ce qu'il a fait, sur quel ordre et avec quelle validation. Cette traçabilité se construit pendant que l'agent est écrit.

L'article 4 vise le personnel et les personnes qui font fonctionner les systèmes d'IA pour votre compte, avec des mesures proportionnées à la taille de l'organisation. Sa rédaction actuelle précise qu'aucun niveau de maîtrise n'a à être garanti pour une personne donnée. En pratique, une session courte par direction, un support daté et la liste des personnes couvertes suffisent à documenter ce qui a été fait.

L'AI Act reconnaît l'enjeu environnemental de l'IA sans imposer d'obligation contraignante de mesurer vos dépenses IA. L'obligation qui existe en France est ailleurs : la loi du 30 avril 2025 portant adaptation au droit de l'Union européenne impose un audit énergétique aux entreprises dépassant 2,75 GWh de consommation finale réelle, à réaliser avant le 11 octobre 2026 puis tous les quatre ans. Le suivi de la dépense IA que nous mettons en place répond d'abord à une question de budget.

L'IA n'a pas de norme ESRS qui lui soit propre. Elle entre dans le reporting extra-financier par trois portes déjà normées : l'énergie consommée, l'effet sur les emplois et les compétences, et la gouvernance des données. La directive Omnibus I, en vigueur depuis le 18 mars 2026, a relevé les seuils de la CSRD à 1 000 salariés et 450 millions d'euros de chiffre d'affaires, désormais cumulatifs, et reporté le premier rapport des grandes entreprises non cotées à 2028 sur l'exercice 2027. Le dispositif que nous montons alimente ce rapport sans le remplacer : coût et consommation par système, volumétrie, données transmises aux fournisseurs, personnes sensibilisées et dates. Le cadrage du reporting lui-même reste chez votre direction financière ou chez un cabinet RSE, et nous intervenons avec nos partenaires sur ce volet.

L'inventaire se compte en jours et porte sur un périmètre annoncé à l'avance. L'instrumentation des applications dépend de leur nombre et de la façon dont les appels au modèle y sont écrits : c'est du développement, il se chiffre après lecture du code.

Pendant, si le choix se pose. Documenter et instrumenter un usage au moment où on le construit coûte une conversation ; le reconstituer deux ans plus tard coûte un chantier. La plupart des entreprises nous appellent avec des usages déjà en production, et on part de ce qui tourne. Quand la question est de savoir quels usages méritent d'être financés, elle se traite en amont.