Une triple pression réglementaire sans précédent
Les organisations qui déploient de l'IA en 2026 évoluent dans un environnement réglementaire inédit. Trois cadres se superposent, s'articulent et, parfois, se contredisent. Les ignorer n'est pas une option. Les traiter séparément, encore moins.
L'AI Act européen, entré en application en août 2024, déploie ses obligations sur trois ans. Il classe les systèmes d'IA en quatre niveaux de risque (inacceptable, élevé, limité, minimal) avec des exigences proportionnelles : transparence, traçabilité, supervision humaine, évaluation de conformité avant mise sur le marché pour les systèmes à risque élevé. La grande majorité des systèmes IA déployés en entreprise entre dans les catégories limité ou élevé. Peu d'organisations en ont pris la mesure.
Le RGPD reste le socle de référence. L'AI Act ne le remplace pas. Il s'y superpose. Les obligations de minimisation des données, de base légale, de gestion des droits des personnes et d'Analyses d'Impact relatives à la Protection des Données (AIPD) s'appliquent pleinement aux systèmes d'IA qui traitent des données personnelles. Or, la quasi-totalité des cas d'usage IA en entreprise en traitent.
La souveraineté numérique, enfin, est une pression moins formelle mais tout aussi réelle. Le Cloud Act américain et la section 702 du Foreign Intelligence Surveillance Act (FISA) permettent aux autorités américaines d'accéder aux données hébergées par des fournisseurs soumis au droit américain, y compris depuis leurs filiales européennes. Pour les données sensibles, les données personnelles et les données relevant de secteurs réglementés, ce risque extraterritorial n'est plus acceptable.
Ce qui est nouveau : ces trois cadres s'appliquent simultanément, sur des cycles différents. L'AI Act s'étale sur 3 ans. Le RGPD est en vigueur depuis 2018 mais son application aux systèmes d'IA est encore largement lacunaire. La souveraineté n'a pas de deadline réglementaire. Mais chaque incident de fuite de données amplifie la pression politique et contractuelle.
Le faux dilemme : agilité contre conformité
La réaction la plus fréquente que nous observons chez les organisations confrontées à cette triple pression : la mettre en attente. "On verra ça quand on aura livré le MVP." "La conformité, c'est pour la phase 2." "On ne peut pas se permettre de ralentir pour des questions juridiques."
C'est une erreur de calcul. Et c'est surtout une erreur de temporalité.
Traiter la conformité a posteriori (après que les systèmes sont conçus, les données collectées, les architectures déployées) coûte systématiquement plus cher que de l'intégrer dès le départ. On le voit sur le RGPD depuis 2018 : les organisations qui ont fait du "privacy by design" ont des délais de mise en conformité de semaines. Celles qui l'ont ignoré ont des chantiers de mois, parfois d'années.
L'AI Act répète exactement ce schéma, avec une complexité supplémentaire : qualifier un système d'IA après sa construction est difficile. Modifier son architecture pour satisfaire aux exigences de risque élevé après déploiement est coûteux. Et reprendre la gestion du cycle de vie d'un système d'IA existant sans documentation initiale est, dans les faits, souvent impossible sans repartir de zéro.
La conformité by design n'est pas un luxe de grande organisation avec des équipes juridiques pléthoriques. C'est la seule approche qui soit économiquement rationnelle à l'échelle d'un programme IA.
Les 4 piliers d'une conformité by design
La cartographie des traitements de données précède tout déploiement de système IA. Chaque traitement de données personnelles est documenté : finalité, base légale, durée de conservation, transferts. La minimisation des données est une contrainte de conception, pas un principe de communication. Les AIPD sont menées de façon ciblée, sur les cas d'usage à risque élevé, avant la mise en production. Le registre des traitements est maintenu en continu, pas mis à jour lors des audits.
Chaque système d'IA (SIA) est inventorié et qualifié selon les quatre niveaux de risque de l'AI Act. Cette qualification détermine les obligations applicables : documentation technique, supervision humaine, robustesse, transparence envers les utilisateurs. Le cycle de vie du SIA (de la conception à la mise hors service) est documenté et auditable. Les outils internes (charte éthique, grilles d'analyse risque, templates de documentation) permettent de traiter cette qualification de façon industrielle, sans recréer un processus ad hoc à chaque projet.
Les données sensibles et les données personnelles sont stockées sur le territoire de l'Union européenne. Le transit hors-UE est interdit pour les données relevant des catégories les plus sensibles. Les clés de chiffrement restent sous contrôle de l'organisation (BYOK - Bring Your Own Key, ou HYOK - Hold Your Own Key). Les fournisseurs cloud sont sélectionnés parmi les opérateurs qualifiés souverains : OVHcloud, Bleu (cap. de Orange et Capgemini), S3NS (Thales). Cette localisation n'est pas un simple critère de contrat. Elle est vérifiée architecturalement et auditée.
La conformité IA n'est pas un silo. Elle s'intègre dans les cadres de gouvernance existants : gouvernance des données, gouvernance IT, conformité réglementaire sectorielle. Les rôles sont clairs : data owners par domaine métier, responsables de conformité IA, DPO impliqué dès la qualification des SIA. Cette gouvernance transverse évite deux écueils symétriques : la sur-bureaucratisation (un comité de conformité IA qui bloque tout) et l'absence de responsabilité (chacun pense que l'autre s'en occupe).
La démarche en 3 temps
Mettre en place ces quatre piliers ne se fait pas en une seule intervention. La démarche Niji Data & Trust se structure en trois phases complémentaires :
Cadrage des exigences réglementaires applicables à l'organisation (RGPD + AI Act + contraintes sectorielles). Construction d'un langage commun entre les équipes juridiques, techniques et métier. Définition du RACI de conformité IA. Élaboration de la feuille de route priorisée : par niveau de risque et par effort de rattrapage. Cette phase produit une vision claire de l'état initial et de la cible.
Mise en place du cycle de vie des SIA : qualification, documentation, validation avant mise en production. Déploiement des outillages de conformité : charte éthique IA, grilles d'analyse de risque, templates d'AIPD adaptés aux systèmes IA, référentiel de localisation des données. Traitement de la dette existante : qualification rétrospective des systèmes IA déjà en production. C'est la phase la plus intensive, et celle qui produit les effets les plus immédiats sur le niveau de risque réel.
Intégration de la conformité dans les routines opérationnelles : revues périodiques, mise à jour des qualifications lors des évolutions de modèles ou de cas d'usage. Mise en place d'une veille réglementaire active (l'AI Act continue d'évoluer via les actes délégués et les standards harmonisés). Construction du modèle opératoire durable : la conformité IA n'est plus un projet. C'est une compétence interne.
Ce que ça donne sur le terrain
Un opérateur d'infrastructure critique (secteur fortement réglementé, données sensibles impliquant des millions d'usagers, contraintes de sécurité au niveau ANSSI) a engagé une démarche de mise en conformité IA en 2025. Les chiffres parlent d'eux-mêmes.
En trois mois, avec une squad de 3 ETP Niji (un expert RGPD/AI Act, un architecte data, un consultant gouvernance), plus de 200 cas d'usage IA ont été analysés et qualifiés selon les niveaux de risque de l'AI Act. Une feuille de route de mise en conformité a été produite, priorisant les 40 cas d'usage à risque élevé. Le rattrapage de la dette existante a été structuré. Un cycle de vie SIA standardisé a été déployé, avec ses outillages associés.
Ce qui a rendu cette vitesse possible : une équipe dédiée à temps plein, une méthode éprouvée, et, surtout, un sponsor interne qui comprenait que la conformité n'était pas une contrainte à gérer mais un actif à construire. Les systèmes conformés sont plus faciles à faire évoluer, plus simples à auditer, plus solides juridiquement en cas d'incident.
Ce que ce retour d'expérience enseigne : la mise en conformité IA n'est pas un chantier de 18 mois impossible à absorber. Avec la bonne méthode et les bonnes ressources, les travaux préparatoires et la qualification initiale d'un parc de cas d'usage significatif peuvent être conduits en un trimestre. Ce qui prend du temps, c'est la pérennisation. Mais elle se construit en parallèle, pas après.
Ce que Niji apporte concrètement
L'offre Data & Trust de Niji couvre l'intégralité du spectre : de l'évaluation initiale à la gouvernance opérationnelle continue. Voici ce que les organisations nous demandent le plus fréquemment, et ce que nous apportons :
| Besoin | Ce que Niji apporte |
|---|---|
| Qualifier mes systèmes IA au regard de l'AI Act | Inventaire + qualification SIA - grilles d'analyse, niveaux de risque, obligations applicables par système |
| Traiter ma dette RGPD sur les traitements IA existants | Audit + plan de rattrapage - cartographie des traitements, bases légales, AIPD ciblées, mise à jour du registre |
| Sécuriser ma localisation des données | Diagnostic d'architecture - identification des flux hors-UE, recommandations BYOK/HYOK, qualification des fournisseurs cloud souverains |
| Mettre en place une gouvernance IA durable | Modèle opératoire - RACI, rôles et responsabilités, intégration dans les cadres existants, outillage (charte éthique, templates) |
| Former mes équipes aux nouvelles obligations | Programmes de montée en compétence - par profil (juridique, technique, métier), ateliers de qualification pratique |
| Assurer la veille réglementaire continue | Cellule de veille active - suivi des actes délégués AI Act, standards harmonisés, jurisprudence RGPD applicable à l'IA |
Niji est membre de l'initiative Positive AI, engagée pour une IA responsable et souveraine. Notre pôle Cyber regroupe plus de 100 experts, avec des qualifications PACS/PASSI et une certification ISO 27001. Notre équipe Data & IA compte plus de 130 experts. Cette profondeur de compétences nous permet de traiter la conformité IA non pas comme un sujet juridique isolé, mais comme un enjeu d'architecture, de gouvernance et de confiance, en lien direct avec les équipes qui construisent et opèrent les systèmes.