IA Act : ce que la réglementation européenne de l’IA implique pour la GRC

L’intelligence artificielle s’intègre progressivement dans les processus, les outils et les décisions des organisations. Avec l’AI Act, son utilisation entre désormais dans un cadre réglementaire européen qui impose de nouvelles exigences en matière de gouvernance, de transparence et de maîtrise des risques.

Pour les fonctions risques, conformité, contrôle interne et audit, l’enjeu dépasse donc largement la seule conformité réglementaire. Il s’agit d’intégrer les systèmes d’IA dans les dispositifs de gouvernance existants et d’être capable de démontrer leur maîtrise.

‍

Qu’est-ce que l’AI Act ?

L’AI Act, ou règlement européen sur l’intelligence artificielle, établit un cadre commun pour le développement, la commercialisation et l’utilisation des systèmes d’IA au sein de l’Union européenne.

Son principe central repose sur une approche fondée sur les risques : les obligations applicables varient selon la nature du système d’IA, son usage et le niveau de risque associé.

Le règlement distingue notamment les pratiques d’IA interdites, les systèmes à haut risque, certains systèmes soumis à des obligations de transparence ainsi que les modèles d’IA à usage général.

L’AI Act est entré en vigueur le 1er août 2024 et son application est progressive. Les interdictions concernant certaines pratiques d’IA et les dispositions relatives à la maîtrise des compétences en IA s’appliquent depuis février 2025. Les règles de gouvernance et les obligations concernant les modèles d’IA à usage général sont applicables depuis août 2025, tandis que d’autres dispositions sont entrées en application en août 2026. Le calendrier des systèmes à haut risque s’étend, quant à lui, jusqu’en 2027 et 2028.

‍

Pourquoi l’AI Act devient-il un sujet GRC ?

L’AI Act transforme l’intelligence artificielle en un véritable sujet de gouvernance.

Une organisation ne peut plus uniquement se demander si un outil d’IA fonctionne ou apporte un gain de productivité. Elle doit également savoir où l’IA est utilisée, dans quel but, avec quelles données, sous quelle responsabilité et avec quels risques.

Cette logique rejoint directement les fondamentaux de la GRC : identifier les risques, définir les responsabilités, mettre en place des contrôles, documenter les décisions, suivre les incidents et apporter des preuves de conformité.

Pour les systèmes d’IA à haut risque, cette convergence est particulièrement visible. Le règlement prévoit notamment des exigences concernant la gestion continue des risques et la traçabilité des événements.

L’AI Act ne crée donc pas seulement une nouvelle réglementation à suivre. Il ajoute un nouveau périmètre à intégrer dans le système de gouvernance de l’organisation.

‍

1. Cartographier les usages de l’IA

La première difficulté consiste souvent à savoir précisément où l’intelligence artificielle est utilisée.

Outils métiers intégrant de nouvelles fonctionnalités, solutions SaaS, assistants génératifs, automatisations internes, modèles développés en interne : les usages peuvent être dispersés entre de nombreux services.

La mise en conformité commence donc par la constitution d’un inventaire des systèmes et usages de l’IA.

Pour chaque usage, l'organisation doit pouvoir centraliser des informations telles que :

• le système ou modèle utilisé ;
• sa finalité ;
• les processus concernés ;
• les données utilisées ;
• les utilisateurs et responsables ;
• le fournisseur éventuel ;
• le niveau de criticité ;
• les risques et contrôles associés.

Cette cartographie constitue la base permettant ensuite de déterminer les obligations applicables.

‍

2. Évaluer et classifier les risques liés à l’IA

Tous les systèmes d’IA ne présentent pas le même niveau de risque.

L’approche de l’AI Act implique donc de qualifier les systèmes et d’évaluer les risques associés à leurs usages.

Cette analyse ne doit pas être isolée du reste du dispositif de gestion des risques. Un système d’IA peut notamment générer ou amplifier des risques liés à la protection des données, à la cybersécurité, à la discrimination, à la qualité des données, à la fiabilité des résultats ou encore à la continuité des activités.

L’IA devient ainsi une composante supplémentaire de la cartographie globale des risques.

Pour les systèmes considérés comme à haut risque, l’AI Act impose un processus de gestion des risques continu tout au long de leur cycle de vie.

‍

3. Définir clairement les responsabilités

Qui valide l'utilisation d'un système d'IA ? Qui évalue ses risques ? Qui contrôle son fonctionnement ? Qui intervient en cas d'incident ?

La gouvernance de l’IA nécessite une répartition claire des rôles entre les métiers, la conformité, les risques, l’IT, la sécurité, la direction juridique, la protection des données et les autres fonctions concernées.

Cette gouvernance peut s’appuyer sur des politiques internes, des circuits de validation et des responsabilités formalisées.

L’objectif : éviter que les usages de l’IA se développent sans cadre commun et sans responsable clairement identifié.

‍

4. Mettre en place des contrôles adaptés

Une fois les risques identifiés, ils doivent être associés à des mesures de maîtrise.

Selon les systèmes concernés, les organisations peuvent par exemple mettre en place des contrôles portant sur :

• la qualité et la provenance des données ;
• les droits d’accès ;
• la validation humaine ;
• la fiabilité des résultats ;
• la sécurité du système ;
• le respect des règles internes ;
• la documentation disponible ;
• la surveillance des fournisseurs.

Ces contrôles doivent ensuite pouvoir être suivis, évalués et documentés comme n’importe quel autre élément du dispositif de contrôle interne.

‍

5. Renforcer la traçabilité et la documentation

La capacité à démontrer la conformité constitue un autre enjeu central de l’AI Act.

Pour les systèmes à haut risque, le règlement prévoit notamment des exigences relatives à la documentation, à la journalisation des événements et, pour leurs fournisseurs, à la mise en place d’un système documenté de management de la qualité.

Dans une logique GRC, cela implique de pouvoir retrouver rapidement les éléments associés à un système d’IA : évaluations, contrôles, validations, documents, incidents, plans d’action et responsables.

La conformité ne repose donc pas uniquement sur l’existence de règles. Elle dépend aussi de la capacité de l’organisation à produire les preuves de leur application.

‍

6. Intégrer les fournisseurs d’IA dans la gestion des tiers

Une grande partie des organisations ne développe pas ses propres modèles d’IA : elle utilise des solutions proposées par des éditeurs ou intègre des modèles externes dans ses processus.

La conformité à l’AI Act rejoint alors directement la gestion des risques tiers.

Il devient nécessaire d’identifier les fournisseurs concernés, d’évaluer les solutions utilisées, de centraliser la documentation disponible et de suivre les dépendances associées.

Pour les modèles d’IA à usage général, l’AI Act prévoit notamment des obligations de documentation destinées à permettre aux acteurs en aval de comprendre leurs capacités et leurs limites et de respecter leurs propres obligations.

‍

7. Organiser le suivi des incidents et des plans d’action

La gouvernance de l’IA ne s’arrête pas au moment où un système est autorisé ou déployé.

Les risques évoluent avec les modèles, les données, les usages et les fournisseurs. Les dispositifs doivent donc être suivis dans le temps.

Anomalies, incidents, contrôles non conformes ou nouvelles exigences peuvent conduire à la création de plans d’action et à une réévaluation des risques.

Cette approche transforme la conformité AI Act en processus continu, plutôt qu’en exercice ponctuel de mise en conformité.

‍

Du registre Excel à une véritable gouvernance de l’IA

Au démarrage, un inventaire des systèmes d’IA peut être tenu dans un tableur. Mais cette approche atteint rapidement ses limites lorsque le nombre d’usages, de responsables, de contrôles et de documents augmente.

La difficulté n’est plus seulement de conserver une liste des systèmes d’IA, mais de relier entre eux :
systèmes d’IA → exigences → risques → contrôles → responsables → incidents → documents → plans d’action.

C’est précisément à ce niveau que l’AI Act rejoint les problématiques traditionnelles de GRC.

Une plateforme centralisée permet de structurer ces relations, d’harmoniser les processus de validation et de disposer d’une vision consolidée du dispositif.

‍

Comment préparer son organisation à l’AI Act ?

La mise en conformité peut être structurée autour de quelques étapes prioritaires :

1. Recenser les systèmes et usages de l’IA dans l’ensemble de l’organisation.
2. Qualifier leur rôle et leur niveau de risque afin d’identifier les exigences applicables.
3. Attribuer des responsables et formaliser les circuits de gouvernance.
4. Associer les risques aux contrôles permettant de les maîtriser.
5. Centraliser les documents et les preuves nécessaires à la conformité.
6. Suivre les fournisseurs, incidents et plans d’action dans la durée.
7. Former les collaborateurs concernés afin d’encadrer les usages de l’IA.

L’objectif n’est pas de créer un dispositif parallèle entièrement dédié à l’intelligence artificielle, mais d’intégrer progressivement l’IA aux mécanismes de gouvernance déjà en place.

‍

AI Act et GRC : vers une gouvernance intégrée de l’intelligence artificielle

L’AI Act fait de l’intelligence artificielle un sujet transversal pour les organisations.

Risques, conformité, contrôle interne, audit, protection des données, cybersécurité ou gestion des tiers sont directement concernés par la capacité à encadrer les systèmes d’IA et à démontrer leur maîtrise.

Pour les organisations déjà dotées d’un dispositif GRC structuré, une grande partie des mécanismes nécessaires existe déjà : cartographies, contrôles, responsabilités, workflows, documentation, audits et plans d’action.

L’enjeu consiste désormais à étendre cette gouvernance aux usages de l’intelligence artificielle.