Conformité AI Act : prouver, pas déclarer

Ce qui s'applique le 2 août 2026 — et ce qui a été repoussé#

Une confusion s'est installée depuis quelques semaines, et elle est coûteuse : beaucoup d'organisations ont retenu que « l'AI Act a été reporté ». C'est vrai pour une partie du règlement, et faux pour celle qui concerne le plus d'entreprises.

Le paquet de simplification numérique consacré à l'IA a été adopté par le Parlement le 16 juin 2026, puis par le Conseil le 29 juin 2026. Il reporte les obligations applicables aux systèmes à haut risque : au 2 décembre 2027 pour les systèmes autonomes visés par l'annexe III, et au 2 août 2028 pour l'IA intégrée dans des produits déjà réglementés. Ce report répond à un fait matériel — les normes harmonisées et les autorités nationales compétentes n'étaient pas prêtes.

En revanche, les obligations de transparence de l'article 50 n'ont pas été reportées. Elles s'appliquent bien à partir du 2 août 2026, avec une réserve pour les systèmes déjà sur le marché à cette date s'agissant du marquage. Autrement dit : la partie du règlement qui touche presque tous les usages professionnels de l'IA — les agents conversationnels et les contenus générés — entre en application maintenant, pendant que la partie la plus lourde recule de dix-huit mois.

L'article 50 tient en deux exigences simples à énoncer et structurantes à mettre en œuvre. Toute personne qui interagit directement avec un système d'IA doit savoir qu'elle parle à une machine, sauf si c'est manifeste. Et les contenus synthétiques produits — audio, image, vidéo, texte — doivent être marqués dans un format lisible par machine, détectables comme générés ou manipulés, avec des solutions techniques effectives, interopérables, robustes et fiables dans la mesure du possible.

Les montants encourus donnent la mesure de l'enjeu : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel, le plus élevé des deux. Et le champ est extraterritorial : le règlement s'applique aux fournisseurs qui placent un système sur le marché européen où qu'ils soient établis, et aux acteurs de pays tiers dès lors que la sortie du système est utilisée dans l'Union.

Cet article décrit une architecture technique et la façon dont elle produit des preuves. Il ne constitue pas un avis juridique : la qualification d'un système et le respect des obligations relèvent du fournisseur et du déployeur, avec leur conseil.

La thèse : la conformité comme propriété du runtime#

Il existe deux manières d'aborder ce règlement, et elles n'ont pas le même coût.

La première consiste à documenter après coup. On produit des politiques, des tableaux, des captures d'écran ; on décrit ce que le système est censé faire. Cette approche a un défaut structurel : la documentation et le système divergent dès le premier jour, et personne ne s'en aperçoit jusqu'à un contrôle. Elle a aussi un coût récurrent, puisque chaque évolution demande de réécrire le dossier.

La seconde consiste à faire produire les preuves par le système lui-même. La classe de risque est déclarée dans l'artefact signé. Chaque interaction laisse une trace inaltérable. Chaque décision est rejouable dans ses huit dimensions. Le dossier de preuve s'exporte au lieu de s'écrire. Dans cette approche, la conformité n'est pas une charge documentaire parallèle : c'est un produit de l'exécution.

La différence se mesure au moment d'un contrôle. Dans le premier cas, on rassemble des affirmations. Dans le second, on remet un dossier que l'auditeur vérifie lui-même, sans avoir à croire quiconque.

Les quatre classes, et celle qui refuse l'installation#

La classification est le premier acte de conformité, et elle se déclare dans le manifeste de l'artefact — donc dans un objet signé, pas dans un tableur.

La classe minimale couvre ce qui ne présente pas de risque particulier : calculs internes, transformations techniques. Aucune obligation spécifique.

La classe limitée couvre les systèmes qui interagissent avec des personnes ou produisent du contenu : un agent de service client, un rédacteur assisté. C'est là que s'appliquent les obligations de transparence de l'article 50 — celles du 2 août 2026.

La classe haut risque couvre les usages qui décident du sort des personnes : accès à l'emploi, à l'éducation, au crédit, sécurité d'infrastructures critiques. Elle déclenche l'ensemble le plus exigeant — gestion des risques, gouvernance des données, documentation technique, conservation des enregistrements, surveillance humaine, exactitude et robustesse — désormais applicable à fin 2027.

La classe inacceptable couvre les pratiques interdites. Le point important n'est pas qu'elles soient signalées : elles bloquent l'installation. Un artefact déclaré dans cette classe est refusé par le runtime, et c'est un choix d'architecture. Une interdiction qui repose sur la vigilance d'un opérateur finit par être contournée un vendredi soir ; une interdiction qui refuse de s'installer ne se contourne pas.

Un mot sur la déclaration elle-même. Le manifeste ne porte pas seulement la classe : il porte l'usage prévu et, plus utile encore, l'usage exclu — les domaines dans lesquels l'artefact ne doit pas être employé. Cette dernière liste est le meilleur outil de gouvernance interne que nous connaissions : elle transforme une intention en engagement écrit, signé, vérifiable par quiconque ouvre l'en-tête.

Article par article : ce qui se prouve, ce qui reste humain#

Voici la correspondance que nous appliquons entre les obligations du régime haut risque et les mécanismes qui les servent. Elle a une vertu inattendue : elle rend visible ce que la technique ne peut pas produire.

Deux colonnes, et c'est le message principal de cette section : l'outillage supprime la charge de preuve, pas la responsabilité. Un système ne peut pas décider à votre place du niveau d'exactitude acceptable pour un dossier de crédit. Il peut, en revanche, refuser tout livrable en dessous du seuil que vous avez fixé, et en garder la trace.

Les huit dimensions du rejeu#

« Conserver des enregistrements » est une obligation vague jusqu'au jour où un auditeur demande pourquoi une décision précise a été prise, un mardi de mars, sur un dossier particulier. Un horodatage et un message ne suffisent pas.

Nous enregistrons donc chaque décision selon huit dimensions, choisies pour permettre un rejeu complet : ce qui a été décidé, quelle identité l'a décidé, quelles entrées ont été reçues, quelles sorties ont été produites, quelles sources ont été consultées, quelles politiques s'appliquaient, quel coût a été engagé, et de quelle décision antérieure celle-ci découle.

La dernière dimension est celle que l'on oublie et qui sauve les audits difficiles : la filiation. Une décision contestée est presque toujours la conséquence d'une décision antérieure — un classement, une priorisation, une interprétation. Sans lien de filiation, l'enquête s'arrête à la dernière étape et conclut à l'erreur ; avec, elle remonte à la cause.

Chaque entrée porte l'empreinte de la précédente. La chaîne est ainsi faite qu'on ne peut ni retirer une ligne ni en réécrire une sans que la vérification échoue. Ce n'est pas de la prudence excessive : un journal modifiable n'a aucune valeur probante, et le savoir après un incident est trop tard.

Marquer un contenu synthétique : ce que cela implique#

L'obligation de marquage est la plus sous-estimée de l'article 50, parce qu'elle paraît anodine à énoncer et qu'elle touche la chaîne de production tout entière.

Le principe : ce qui sort d'un système d'IA doit être marqué dans un format lisible par machine et détectable comme généré ou manipulé. Trois conséquences pratiques en découlent.

Le marquage se pose à l'émission, pas après. Un contenu qui quitte la chaîne sans marque ne peut plus être marqué de façon fiable : on ne rattrape pas un fichier parti par courriel. Le point d'apposition est donc l'endroit où le contenu est produit — ce qui suppose que ce point soit unique et identifié. Beaucoup d'organisations découvrent à cette occasion qu'elles ont cinq chemins de production différents.

La difficulté dépend du support. Pour une image, un son ou une vidéo, des mécanismes de provenance et de marquage existent et s'intègrent aux métadonnées ou au signal lui-même. Pour le texte, la question est ouverte : aucun marquage n'y survit à un copier-coller, et le règlement lui-même admet des limites, en renvoyant à la faisabilité technique et à l'état de l'art. Dire le contraire serait vendre une garantie inexistante.

La preuve d'émission compense les limites du marquage. C'est là que l'architecture d'artefacts et de journaux reprend la main : même quand la marque ne survit pas au support, on peut prouver qu'un contenu donné a été produit à telle date, par tel agent, sous telle politique, avec telles sources. Ce n'est pas la même chose qu'un marquage — cela ne suit pas le contenu dans sa circulation — mais c'est une preuve opposable, et c'est ce qu'un contrôle demande.

La position honnête, en résumé : marquer ce qui peut l'être robustement, journaliser tout le reste, et ne pas prétendre à une détection universelle que personne ne sait produire aujourd'hui.

Le score de confiance, et pourquoi il bloque#

Un système autonome sans mesure de sa propre fiabilité est un pari. Nous maintenons donc, pour chaque agent, un score continu — et surtout, ce score a des conséquences opérationnelles, pas seulement informatives.

Il part de cent et se dégrade selon la gravité des anomalies constatées : une anomalie sérieuse pèse lourd, une anomalie mineure peu. Il remonte avec les attestations vérifiées — vérification d'identité, certifications — et avec des évaluations positives. Il chute nettement quand une analyse d'impact reste ouverte.

Trois seuils gouvernent l'exécution. En dessous de cinquante, l'agent est bloqué : il ne s'exécute pas. Entre cinquante et quatre-vingts, il passe en mode revue : chaque exécution exige une validation humaine. Au-delà de quatre-vingts, il travaille de façon autonome.

L'intérêt de ce mécanisme n'est pas le chiffre, c'est l'automatisme. Une organisation ne peut pas surveiller manuellement des dizaines d'agents ; elle peut, en revanche, décider une fois pour toutes qu'un agent dégradé repasse sous contrôle humain. Le seuil transforme une politique écrite en comportement effectif.

Le dossier de preuve#

Vient le moment du contrôle. Ce que nous remettons n'est pas un rapport rédigé pour l'occasion, mais un dossier consolidé, exportable, dont chaque pièce se vérifie sans accès à nos systèmes.

Il contient la déclaration signée de la classe de risque et de l'usage prévu, l'attestation de provenance de l'artefact, l'extrait du journal chaîné pour la période concernée, les preuves d'inclusion dans le registre de transparence, les ancrages horodatés par tiers, l'analyse d'impact quand elle est requise, et l'état des points de contrôle humain.

Deux propriétés font la valeur de ce dossier. Il est autoportant : l'auditeur recalcule les signatures et les empreintes lui-même, sans compte à créer ni service à interroger. Et il est daté par un tiers : les horodatages ne viennent pas de nos serveurs — ils viennent de systèmes externes indépendants, ce qui interdit de reconstituer un historique après coup.

C'est ce dernier point qui distingue une trace d'une preuve, et il mérite un développement à part entière : nous y consacrons un article dédié, de la trace immuable à la preuve opposable.

Ce que cela change pour une organisation#

Trois conséquences pratiques, dans l'ordre où elles se manifestent.

À l'achat d'une solution d'IA. Les questions utiles ne portent plus sur les performances du modèle mais sur la production de preuves. Comment la classe de risque est-elle déclarée, et où ? Le journal est-il inaltérable, et par quel mécanisme ? Un tiers peut-il vérifier sans accès à votre infrastructure ? Le dossier de preuve s'exporte-t-il ? Un fournisseur qui ne peut répondre par écrit à ces quatre questions transfère le risque réglementaire sur vous.

Au moment de déployer. Les points de contrôle humain se décident avant la mise en service, pas après le premier incident. Notre règle constante : ce qui engage de l'argent, ce qui touche à des personnes et ce qui est publié au nom de l'organisation reste soumis à validation. Le reste peut être délégué — et l'est d'autant plus volontiers que la frontière est nette.

Lors d'un contrôle. La différence tient en une phrase. Une organisation instrumentée exporte un dossier ; une organisation documentaire mobilise trois personnes pendant deux semaines pour reconstituer un historique qu'elle n'a pas. Le coût de la seconde option n'apparaît jamais dans les budgets de conformité — il apparaît en urgence.

Questions fréquentes#

L'AI Act a-t-il été reporté ?#

En partie seulement. Le paquet de simplification adopté en juin 2026 reporte les obligations applicables aux systèmes à haut risque : décembre 2027 pour les systèmes autonomes de l'annexe III, août 2028 pour l'IA intégrée dans des produits réglementés. Les obligations de transparence de l'article 50, elles, s'appliquent bien au 2 août 2026 — avec une réserve pour le marquage des systèmes déjà sur le marché à cette date. Conclure que « tout a été reporté » est l'erreur d'interprétation la plus répandue du moment.

Que demande exactement l'article 50 ?#

Deux choses. Informer les personnes qu'elles interagissent avec un système d'IA, sauf si cela est manifeste au vu des circonstances. Et marquer les contenus synthétiques — audio, image, vidéo, texte — dans un format lisible par machine, de manière détectable, avec des solutions effectives, interopérables et robustes autant que l'état de l'art le permet. Ce sont des obligations de conception, pas de documentation : elles se satisfont dans le produit.

Notre entreprise n'est pas européenne : sommes-nous concernés ?#

Probablement, si vos systèmes sont mis sur le marché européen ou si leurs sorties sont utilisées dans l'Union. Le règlement s'applique aux fournisseurs où qu'ils soient établis dès lors qu'ils placent un système sur ce marché, et aux acteurs de pays tiers quand la sortie est employée dans l'Union. La localisation de l'entreprise n'est pas le critère : l'usage l'est.

Faut-il un dossier de conformité par agent ou par organisation ?#

Les deux niveaux existent, et ils ne remplissent pas la même fonction. Chaque artefact porte sa déclaration signée — classe, usage prévu, usage exclu — ce qui produit une traçabilité par objet. L'organisation, elle, tient la vue d'ensemble : inventaire, scores, anomalies ouvertes, analyses d'impact en cours. La première répond à « qu'est-ce que cette chose ? », la seconde à « que faites-vous, globalement ? ». Un contrôle demande les deux.

Un score de confiance automatique suffit-il à prouver la conformité ?#

Non, et il ne prétend pas le faire. Un score est un indicateur opérationnel : il déclenche un blocage ou un passage sous contrôle humain, ce qui vaut mieux qu'une surveillance manuelle illusoire. La conformité, elle, se prouve par des artefacts — déclarations signées, journaux chaînés, ancrages datés, analyses d'impact. Le score est ce qui empêche la situation de se dégrader entre deux audits.

Combien de temps faut-il pour se mettre en conformité ?#

La question est mal posée : la mise en conformité n'est pas un projet à terminer mais une propriété à installer. Ce qui prend du temps, c'est de décider — classer les usages, fixer les seuils d'exactitude acceptables, arrêter la liste de ce qui n'est jamais délégué. Ce travail est de l'ordre de quelques semaines pour une organisation qui sait ce qu'elle fait, et de plusieurs mois pour celle qui doit d'abord l'écrire. La partie instrumentale, elle, se met en place en jours.

À retenir#

Le calendrier a bougé, mais pas dans le sens que beaucoup ont retenu : le régime haut risque recule à décembre 2027 et août 2028, la transparence de l'article 50 s'applique au 2 août 2026. Les sanctions atteignent 15 millions d'euros ou 3 % du chiffre d'affaires mondial, et le champ est extraterritorial.

Face à cela, deux stratégies. Documenter, et diverger. Ou instrumenter, et laisser le système produire ses preuves : classe déclarée dans un artefact signé, journal chaîné rejouable en huit dimensions, points de contrôle humain effectifs, dossier exportable vérifiable par un tiers.

Nous avons choisi la seconde, pour une raison qui n'est pas juridique : un système capable de prouver ce qu'il a fait est un système que l'on ose rendre autonome. Pour comprendre l'objet qui porte ces déclarations, voir ce qu'est une capsule ; pour le format qui les rend vérifiables, voir l'unité portable d'intelligence.

Sources : Article 50 du règlement (UE) 2024/1689 · Foire aux questions de la Commission européenne sur les obligations de transparence · Analyse du paquet de simplification et des reports de calendrier