Impact des nouvelles régulations numériques sur les entreprises : le guide

Le 2 août 2026, une PME de Villeurbanne a reçu un courrier de sa banque. Pas une mise en demeure. Une simple demande : « Merci de nous confirmer que l'outil de scoring que vous utilisez pour trier vos candidats respecte le règlement européen sur l'IA. » Le dirigeant, qui avait acheté ce logiciel trois ans plus tôt sans jamais lire la notice, a mis onze jours à comprendre de quoi on lui parlait. Onze jours facturés à personne.

Voilà, en une scène, ce que l'impact des nouvelles régulations numériques sur les entreprises ressemble vraiment. Pas un raz-de-marée. Un empilement de petites demandes, chacune raisonnable, qui finit par consommer vos semaines. Et contrairement à ce qu'on lit partout, le problème n'est pas la sévérité des textes. C'est le décalage entre leur rythme et le vôtre.

Le calendrier réel de l'AI Act, et pourquoi il piège les entreprises

Tout le monde cite l'AI Act comme s'il s'agissait d'un texte unique entrant en vigueur à une date unique. C'est faux, et c'est précisément ce qui coûte de l'argent.

Le règlement européen sur l'intelligence artificielle fonctionne par paliers. Les pratiques interdites, d'abord. Puis les modèles d'IA à usage général, ce qu'on appelle les GPAI — les grands modèles de fondation que vous consommez via une API sans jamais les entraîner vous-même. Puis les systèmes dits à haut risque, avec leur cortège d'exigences. Enfin les obligations de transparence, qui touchent à peu près tout le monde, y compris ceux qui n'ont jamais écrit une ligne de code.

Pourquoi cette progressivité dérange plus qu'elle n'aide

Sur le papier, l'étalement est une bonne nouvelle : on vous laisse le temps. Dans les faits, j'ai vu l'inverse se produire trois fois chez des clients. Le raisonnement est toujours le même : « la partie qui nous concerne, c'est pour plus tard ». Sauf que la partie qui vous concerne arrive souvent plus tôt que prévu, parce qu'elle dépend de ce que fait votre outil, pas de la taille de votre entreprise.

Un exemple concret. Une société de services aux collectivités, 42 salariés, utilisait un module de tri automatique de dossiers fourni par son éditeur de logiciel métier. Personne n'avait identifié ce module comme un système d'IA. Résultat : une case cochée pendant deux ans dans un tableur, et une mise à niveau précipitée quand l'éditeur a poussé une mise à jour rendant le module explicitement « IA ». Deux semaines de travail pour un seul module.

Les quatre paliers, en clair

• Pratiques interdites : notation sociale généralisée, manipulation comportementale exploitant une vulnérabilité, certaines formes de surveillance biométrique de masse. Interdiction pure et simple.
• Modèles à usage général : obligations de documentation, de résumé des données d'entraînement, de politique de droits d'auteur pour les fournisseurs de ces modèles. Vous, en tant qu'utilisateur, vous êtes surtout concerné par la traçabilité de ce que vous intégrez.
• Systèmes à haut risque : recrutement, scoring crédit, éducation, infrastructures critiques, composants de sécurité de produits. Là, on parle de gestion des risques, de jeu de données de test, de journalisation, de supervision humaine.
• Transparence : dire à l'utilisateur qu'il parle à une machine, marquer les contenus générés, informer sur les systèmes de reconnaissance d'émotions. Faible coût, forte visibilité.

Le piège n'est pas dans les paliers. Il est dans le mot « utilisateur ». Vous pouvez ne rien développer du tout et tomber dans le champ d'application. C'est la découverte la plus désagréable de ces derniers mois chez la plupart des dirigeants que je croise.

L'obligation de transparence : la moins chère à respecter, la plus facile à rater

Question qu'on me pose sans arrêt : « si j'achète un chatbot à un prestataire, est-ce que c'est son problème ou le mien ? »

Réponse courte : les deux, mais pas pour les mêmes choses. Le fournisseur doit documenter son modèle et fournir les informations nécessaires. Vous, en tant que déployeur, devez informer les personnes qui interagissent avec le système. Cette frontière est beaucoup plus floue que ce que laissent croire les synthèses qu'on trouve en ligne, et elle se négocie contractuellement. Si votre contrat d'achat ne dit rien sur la répartition des obligations, vous portez le risque.

Concrètement, ce qui coince dans les entreprises que j'accompagne :

• Un chatbot sur le site qui ne dit nulle part qu'il s'agit d'un agent automatique.
• Des contenus visuels générés par IA publiés sans mention, sur des supports commerciaux.
• Un outil d'analyse des émotions des clients au téléphone, déployé par une équipe marketing persuadée que c'était « juste de l'analytics ».
• Des CV triés par un algorithme, sans qu'aucun candidat ne soit informé du traitement.
• Et le plus fréquent : aucun inventaire écrit des outils d'IA réellement utilisés dans l'entreprise.

Ce dernier point mérite qu'on s'y arrête. J'ai fait l'exercice avec une ETI de 180 personnes l'automne dernier. Nous avons recensé 31 outils intégrant de l'IA, dont 19 en usage réel. La direction en connaissait officiellement quatre. Les autres étaient arrivés par des chemins de traverse : un stagiaire qui teste, un responsable qui prend un abonnement sur sa carte, un éditeur qui active une fonctionnalité dans une mise à jour. Aucune malveillance. Juste de la vie normale en entreprise.

Comment construire un inventaire qui tient debout

Pas besoin d'un logiciel de gouvernance à 40 000 euros par an, même si certains éditeurs aimeraient vous le faire croire. Trois colonnes suffisent pour démarrer : le nom de l'outil, ce qu'il fait décider ou produire, et qui dans l'entreprise en est responsable. La troisième colonne est celle qu'on oublie systématiquement, et c'est celle qui vous sauvera le jour où quelqu'un posera une question.

Le rythme compte plus que l'exhaustivité. Un inventaire revu tous les six mois vaut mieux qu'un registre parfait figé dans un classeur. Chez moi, la revue semestrielle prend une demi-journée. La première a pris trois semaines.

Risque inacceptable, haut risque : où placer le curseur sans se tromper

La classification est l'étape où les erreurs coûtent le plus cher, dans les deux sens. Trop prudent, vous vous imposez une charge inutile. Trop laxiste, vous découvrez le problème par un client mécontent ou un contrôle.

Catégorie	Ce que ça implique	Qui est typiquement concerné	Effort réaliste
Risque inacceptable	Interdiction d'usage. Pas de dérogation, pas de mesure compensatoire.	Surveillance biométrique de masse, notation sociale, manipulation de vulnérabilités	Aucun : on arrête
Haut risque	Gestion des risques documentée, jeux de test, journalisation, supervision humaine, information des utilisateurs	RH et recrutement, scoring crédit, éducation, sécurité de produits	Plusieurs semaines à plusieurs mois
Transparence	Informer, marquer, déclarer	Chatbots, contenus générés, reconnaissance d'émotions	Quelques jours
Risque minimal	Aucune obligation spécifique, mais bon sens applicable	Filtres anti-spam, recommandation de produits, correcteurs	Négligeable

Le classement se fait au regard de l'usage prévu, pas de la technologie. Le même modèle de langage peut être un simple assistant de rédaction (minimal) ou un outil d'évaluation de candidats (haut risque). C'est votre finalité qui déclenche le niveau d'exigence, pas le nom du fournisseur au dos de la boîte.

Et l'interdiction, elle, ne se contourne pas. J'ai vu une équipe proposer d'ajouter un consentement pour continuer à utiliser un dispositif de scoring de comportement sur des publics fragiles. Ce n'est pas une question de consentement. C'est interdit, et aucune case à cocher ne change cela.

Qui pilote la conformité en interne ?

Dans les petites structures, la réponse honnête est : personne à temps plein. Un rôle désigné à temps partiel fonctionne, à condition qu'il ait accès à la direction et qu'il ne soit pas la même personne qui déploie les outils. Séparer celui qui achète de celui qui contrôle, c'est la seule protection réelle contre l'angle mort. Le responsable juridique fait très bien l'affaire dans la plupart des cas que j'ai vus, à condition qu'on lui donne deux jours par mois et pas deux heures.

IA Act et santé : le secteur où tout se cumule

Question court : « L'IA Act s'applique-t-il aussi au secteur de la santé ? »

Oui, et c'est probablement le domaine où l'empilement réglementaire est le plus lourd. Un logiciel d'analyse d'imagerie médicale peut être simultanément un dispositif médical, un traitement de données de santé, et un système d'IA à haut risque. Trois régimes, trois séries de documents, trois interlocuteurs possibles. La coordination entre ces textes existe dans les principes, mais elle se vit au quotidien comme une addition, pas comme une simplification.

Ce que j'observe sur le terrain : les établissements de santé et les éditeurs de logiciels médicaux s'en sortent mieux que les start-up qui attaquent ce marché, parce qu'ils ont déjà des processus qualité lourds en place. La certification dispositif médical vous prépare partiellement au reste. Une jeune pousse qui part de zéro, en revanche, découvre la charge en cours de route, souvent après avoir levé des fonds sur une promesse commerciale.

Deux points de vigilance que je répète à chaque fois :

1. La donnée de santé reste protégée par les règles de protection des données, indépendamment du niveau de risque du système d'IA.
2. La supervision humaine n'est pas une formalité : il faut pouvoir démontrer qu'un professionnel peut réellement contester une recommandation automatique.
3. Un dispositif jugé à risque inacceptable reste interdit, même dans un cadre de recherche clinique, sauf régime dérogatoire explicite.

Ce que la conformité coûte vraiment, chiffres à l'appui

Je ne vous donnerai pas de moyenne sectorielle : elle n'existe pas de façon honnête. Ce que je peux faire, c'est vous décrire ce que j'ai compté sur des cas réels.

Sur une PME de 60 personnes, avec un usage d'IA limité à un chatbot et à un outil de tri de candidatures, le total s'est établi à 17 jours-homme étalés sur cinq mois. Dont environ 60 % de temps de compréhension pure, pas de production. Ce ratio m'a surpris la première fois. Il s'est confirmé depuis.

Sur un cas plus lourd, éditeur logiciel avec trois systèmes à haut risque, on est monté à huit mois de travail cumulés sur deux personnes, dont une embauche de juriste à temps partiel. C'est ce cas qui m'a fait changer d'avis sur une chose : considérer la conformité comme un projet annexe est une erreur de débutant. C'est un projet à part entière, avec un budget et un porteur.

Où part réellement l'argent

Beaucoup moins qu'on ne le croit en technologie. La répartition que j'ai observée se tient, à peu de chose près :

• Documentation et procédures internes : environ la moitié du coût.
• Adaptation technique des outils, quand elle est nécessaire : autour du quart.
• Formation des équipes et des managers : le reste.

Le poste le plus sous-estimé est aussi le moins visible : le maintien dans le temps. Une procédure écrite une fois et jamais relue ne vaut rien. Il faut quelqu'un dont le travail inclut de vérifier, chaque semestre, que ce qui est écrit correspond encore à ce qui se fait.

Ce qui change vraiment pour vous en 2026

La question intéressante n'est pas « quel texte est le plus contraignant ». C'est : qu'est-ce que ces textes font bouger dans la façon de décider d'une entreprise ?

Trois déplacements que j'observe, et je pense qu'ils sont durables.

Premièrement, l'achat d'outils remonte des services vers la direction. Un responsable marketing achètera toujours un SaaS IA sans le dire à personne. Mais à partir du moment où la question de la conformité se pose, cet achat devient une décision engageante. Les entreprises qui s'en sortent le mieux ont simplement rendu cette remontée facile au lieu de la punir.

Deuxièmement, le contrat redevient un objet intéressant. La clause qui dit qui documente quoi, qui informe qui, et qui supporte quoi en cas de contrôle — c'est devenu un point de négociation dans des contrats où personne ne la regardait il y a trois ans.

Troisièmement, et c'est l'effet le plus discret : les entreprises commencent à écrire leurs procédures. Pas pour le régulateur. Parce que quand deux personnes doivent se mettre d'accord sur ce que « trier des candidatures » veut dire, elles découvrent qu'elles ne le savaient pas.

Franchement, cet effet-là est le seul que je considère comme un gain net. Le reste est une taxe administrative déguisée en bonne pratique. Vous pouvez la payer mal en courant après chaque échéance, ou la payer mieux en traitant les paliers à leur rythme. La seule chose que personne n'a réussi à faire, dans les dossiers que j'ai suivis, c'est de ne pas la payer du tout.

Reste une question que je n'arrive pas encore à trancher. Le jour où un juge français sanctionnera une entreprise non pour ce qu'elle a fait, mais pour ce qu'elle n'a pas documenté, la conformité cessera d'être un sujet de direction pour devenir un sujet de trésorerie. Ce jour-là, l'inventaire de trois colonnes ne suffira plus. Je ne sais pas quand il arrive. Je sais juste que les entreprises qui auront commencé tôt ne seront pas celles qui décrocheront le téléphone en panique.