Depuis le 2 août 2026, l'AI Act a des dents : les autorités de contrôle sont en poste et les amendes sont possibles. Et la question qui remonte au comité de direction n'est plus si on s'y met, c'est qui décide quoi, et qu'est-ce qu'on peut prouver. Le problème, c'est que sur ce sujet précis, le CODIR se retrouve seul : tape gouvernance IA AI Act et tu ne trouves que des cabinets d'avocats. Personne ne te dit concrètement ce qu'un comité doit décider. Voici ce cadre.
D'abord, ce qui s'applique vraiment (et ce qui est reporté)
Deux erreurs symétriques circulent. Tout arrive le 2 août : faux. Tout est repoussé, je ne fais rien : faux aussi. L'omnibus numérique adopté en juin 2026 a reporté le gros morceau, les usages sensibles (RH, crédit, assurance, éducation), au 2 décembre 2027. Mais la transparence sur les chatbots et les contenus générés, l'obligation de former les équipes, les pratiques interdites et l'activation des sanctions, tout ça s'applique dès maintenant. Le détail est dans notre analyse de ce qui est reporté ou pas.
Les 4 étages du risque, l'image à faire passer au comité
L'AI Act classe chaque usage de l'IA dans un des quatre étages d'une pyramide. Pense au code de la route. Étage 1, l'interdit : griller un feu rouge, jamais, pour personne (lire les émotions des salariés, noter les gens façon crédit social, aspirer des visages pour de la reconnaissance faciale). Étage 2, le sensible : conduire un poids lourd, autorisé mais avec permis spécial et contrôle technique, la loi parle de haut risque, et pour une entreprise classique la porte d'entrée ce sont les RH. Étage 3, la transparence : le clignotant, tu fais ce que tu veux mais tu préviens (ton chatbot dit qu'il est une IA, tes contenus réalistes générés sont signalés). Étage 4, le libre : rouler normalement. Un audit type dans une PME de services trouve zéro ou un usage interdit, un à trois usages sensibles, et tout le reste entre transparence et libre. La gouvernance, c'est savoir dans quel étage tombe chacun de tes usages.
Les 4 gestes que ton CODIR doit acter
1. L'inventaire. Lister tous les outils IA de l'entreprise, y compris l'IA cachée dans les logiciels (Copilot dans Microsoft 365, modules de scoring du CRM ou du logiciel RH) et les usages non déclarés des équipes. Environ un salarié sur deux utilise des outils IA sans l'accord de son employeur (étude BlackFog, janvier 2026). Sans cet inventaire, rien d'autre n'est possible.
2. Le classement. Ranger chaque usage dans un des quatre étages. C'est ce qui transforme une angoisse floue en une courte liste de points d'attention (en général un ou deux outils sensibles, souvent côté RH).
3. Le visible, tout de suite. Afficher sur les chatbots qu'ils sont des robots, signaler les contenus réalistes générés. Ces obligations de transparence sont actives depuis le 2 août 2026, sans clause du grand-père : un chatbot installé en 2024 doit se présenter aujourd'hui.
4. La formation, et sa preuve. L'article 4 impose des mesures de formation proportionnées au rôle de chacun, depuis février 2025. Pas d'amende automatique sur ce point, mais en cas de contrôle ou d'incident, l'absence de formation joue contre l'entreprise. Garder une trace écrite : qui a été formé, quand, sur quoi. On a détaillé l'obligation sur la page formation IA et AI Act.
Qui pilote : le référent IA et le registre
Un référent IA n'est pas obligatoire, mais sans pilote la conformité n'est l'affaire de personne. Souvent le DPO, le DSI, un membre du comité ou le dirigeant lui-même. Son premier outil : un registre, un simple tableur pour démarrer, qui liste les outils, leur étage, les personnes formées, les échanges avec les fournisseurs. Et un principe que le RGPD posait déjà : aucune décision lourde (embauche, licenciement, crédit) ne peut être prise par une machine seule, un humain tranche.
Le vrai risque n'est pas l'amende
Sur le papier, jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial pour un manquement à la transparence, 35 millions ou 7 % pour une pratique interdite. En pratique, les premières sanctions marquantes sont attendues courant 2027 sur des cas emblématiques. Le risque immédiat est ailleurs : le concurrent qui signale ton chatbot muet, le syndicat qui alerte sur ton outil RH, l'appel d'offres perdu faute de pouvoir prouver ta conformité. C'est pour ça que la gouvernance IA est un sujet de comité de direction, pas un dossier qu'on délègue à la DSI.
C'est exactement le travail qu'on fait avec les comités en formation IA CODIR d'une demi-journée et dans le AI Governance Program pour les boards : cartographier, décider, documenter. On l'a fait sur nos propres produits d'abord, fichiers en main. Depuis 2025, plus de 300 dirigeants formés, notamment chez McDonald's, Danone et Nestlé Waters.
Tu veux aligner ton comité et poser ton cadre de gouvernance IA en une session ? Un échange de 20 minutes suffit pour cadrer.
Prendre contact →Questions fréquentes
La gouvernance de l'IA est-elle obligatoire avec l'AI Act ?
L'AI Act n'impose pas un organigramme precis, mais il cree des obligations (transparence, formation, cadre sur les usages sensibles) que quelqu'un doit porter. Sans referent ni registre, l'entreprise ne peut ni prouver sa conformite ni reagir en cas de controle. La gouvernance est donc la consequence pratique de la loi, meme si le mot gouvernance n'y figure pas comme une case a cocher.
Faut-il nommer un referent IA ?
Ce n'est pas une obligation legale, mais c'est fortement conseille : sans pilote, la conformite IA n'est l'affaire de personne. C'est souvent le DPO, le DSI, un membre du comite de direction ou le dirigeant. Son role : tenir le registre des outils, coordonner la formation et les echanges fournisseurs, et etre le point de contact en cas de controle.
Par ou commence une gouvernance IA au CODIR ?
Par l'inventaire des outils IA de l'entreprise, y compris l'IA cachee dans les logiciels et les usages non declares des equipes. Ensuite, classer chaque usage dans un des quatre etages de risque de l'AI Act, regler le visible (chatbots, contenus generes), lancer la formation et garder la preuve ecrite. Un tableur suffit pour demarrer le registre.
Le report de l'AI Act a 2027 dispense-t-il de gouvernance ?
Non. Seuls les usages sensibles (RH, credit, assurance, education) sont reportes a decembre 2027. La transparence, la formation des equipes et les pratiques interdites s'appliquent deja. Et preparer les usages sensibles prend des mois (contrat fournisseur, humain dans la boucle, consultation du CSE), d'ou l'interet de structurer la gouvernance des maintenant.
