Introduction : le paradoxe de la gouvernance
Un paradoxe croissant se dessine dans les salles de conseil et les équipes juridiques : tout le monde en a assez de parler d’IA — et pourtant, personne ne peut se permettre d’arrêter. L’intelligence artificielle a dépassé les présentations stratégiques et les cadres de politiques. Elle est désormais intégrée dans la conception des produits, l’infrastructure de données et les flux de travail quotidiens. Dans les domaines de la rédaction de brevets, des poursuites, du contentieux et de la pratique commerciale, suivre le rythme de l’IA n’est plus facultatif — c’est une condition essentielle pour opérer dans une entreprise technologique moderne.
Le défi n’est plus l’adoption, mais la supervision : comment l’IA est mise en œuvre, comment elle évolue, et comment les organisations maintiennent une visibilité sur des systèmes et des relations contractuelles susceptibles de changer sans préavis.
- Du design des cadres à la prise de décision en temps réel
Pour les juristes d’entreprise, la gouvernance de l’IA est passée de la théorie à la pratique, nécessitant une collaboration étroite avec les fonctions ingénierie, IT et sécurité.
Ce qui était autrefois formulé comme une question de :
- conception des politiques
- sensibilisation réglementaire
- évaluation des risques à haut niveau
est devenu une série de décisions opérationnelles continues.
Des questions telles que le déploiement d’un modèle, le choix d’un fournisseur, la structuration de l’accès aux données ou le niveau de risque acceptable ne sont plus abstraites. Elles trouvent une réponse quotidienne, souvent sous contrainte de temps et avec des informations incomplètes.
Il s’agit de la gouvernance dans sa forme la plus concrète : non pas un document, mais l’enregistrement de décisions prises dans un contexte donné.
Les évolutions récentes renforcent ce changement. Lorsque les régulateurs interagissent directement avec les entreprises pendant le développement — en examinant le comportement des modèles, l’utilisation des données et les garanties — l’effet est de déplacer la conformité en amont. La gouvernance ne suit plus la décision produit ; elle la façonne de plus en plus en temps réel.
- L’adoption de l’IA n’est plus facultative
Dans les organisations, une réalité s’impose : l’adoption de l’IA n’est pas discrétionnaire. Qu’il s’agisse de multinationales technologiques ou de PME, les organisations subissent une pression pour améliorer la productivité, enrichir leurs produits et services et rester compétitives.
En pratique, cela crée des rythmes d’adoption différents au sein d’une même organisation :
- les outils de productivité internes sont largement déployés, souvent de manière informelle,
- l’IA intégrée aux produits progresse rapidement, portée par des impératifs commerciaux,
- les fonctions d’ingénierie comme le développement logiciel opèrent déjà sur une base assistée par l’IA.
Le résultat n’est pas seulement un changement rapide, mais un changement inégal et fragmenté.
Le principal risque de gouvernance n’est pas la vitesse excessive, mais la fragmentation. L’adoption de l’IA est décentralisée, non structurée et souvent invisible. Les équipes expérimentent des outils (y compris open source), les modèles sont remplacés sans gestion du changement ni contrôle des versions, et la visibilité organisationnelle reste incomplète.
On ne peut pas gouverner ce que l’on ne voit pas. Il en résulte une tension fondamentale : l’innovation s’accélère, mais la supervision ne suit pas.
- La donnée est le point focal du risque
La gouvernance de l’IA est, fondamentalement, une gouvernance des données. Les questions clés restent :
- D’où viennent les données ?
- Où vont-elles ?
- Comment sont-elles traitées ?
- Quels droits obtiennent les fournisseurs tiers ?
Y répondre exige plus qu’une analyse juridique : une compréhension fine des systèmes techniques et des flux de données est nécessaire, notamment lorsque plusieurs modèles, API et agents interagissent. Vérifier des affirmations telles que « aucune conservation des données » est souvent techniquement complexe.
Le rôle des données d’entraînement ajoute une complexité supplémentaire. Le droit d’auteur croise de plus en plus l’utilisation de données publiques pour l’entraînement de l’IA.
Le règlement européen sur l’IA impose déjà aux fournisseurs de modèles à usage général de préparer des résumés des données d’entraînement selon un format de la Commission européenne, incluant modalités, échelle et description des sources.
Parallèlement, les obligations pour les systèmes à haut risque exigent des pratiques adaptées à la finalité du système.
Cela crée une exigence non seulement de conformité, mais de traçabilité : comprendre quelles données ont été utilisées, comment, et avec quelle justification.
En pratique, la gouvernance des données d’entraînement ressemble de plus en plus à celle des chaînes d’approvisionnement.
Pour les organisations développant des systèmes d’IA, les données ne peuvent plus être considérées comme une entrée fermée. Elles doivent désormais être gérées comme un actif partagé et responsabilisé, avec des implications pour l’architecture, la gouvernance, la stratégie de propriété intellectuelle et le positionnement concurrentiel.
- De l’IA de conseil aux systèmes agentiques
Pour comprendre où les cadres de gouvernance existants commencent à atteindre leurs limites, il est nécessaire de distinguer entre différents types de systèmes d’IA.
Il existe une différence fondamentale entre les systèmes qui recommandent et ceux qui agissent. Cette distinction est analogue à celle qui existe entre un système de navigation par satellite et un véhicule autonome.
À mesure que les systèmes d’IA commencent à exécuter des actions, déclencher des transactions et interagir avec des systèmes externes, la gouvernance doit passer de la supervision des résultats au contrôle des comportements.
Cela nécessite des cadres d’autorisation, des seuils d’exécution, des points d’escalade humaine et une auditabilité complète. En d’autres termes, la gouvernance doit être intégrée au sein même du système.
Ce changement n’est pas progressif. Il représente une transformation de la nature des systèmes gouvernés.
- La réglementation évolue — mais n’attend pas
L’environnement réglementaire reflète la même dynamique.
En Europe, le règlement européen sur l’IA annonce une évolution vers une gouvernance structurée. Dans le même temps, les délais de mise en œuvre — y compris les éventuels retards — montrent que la réglementation continue de rattraper la technologie.
Cela crée une réalité pratique dans laquelle les organisations doivent se préparer à des régimes de conformité structurés tout en continuant à prendre des décisions dans des domaines où les règles formelles restent incomplètes.
Dans les grandes lignes, l’Union européenne a adopté un cadre prescriptif fondé sur le risque avec une portée extraterritoriale explicite, les États-Unis continuent de s’appuyer sur des approches sectorielles et axées sur l’application, tandis que la Chine a mis en œuvre un régime plus interventionniste, centré sur les plateformes, qui s’applique principalement sur son territoire mais peut, en pratique, s’étendre aux services atteignant des utilisateurs ou des données chinois.
- Règlement européen sur l’IA : calendrier et implications pratiques
Le règlement européen sur l’IA est délibérément progressif, avec des obligations qui s’appliquent par étapes plutôt que comme un événement unique de conformité. Il introduit un système de niveaux de risque assortis d’exigences réglementaires correspondantes. Pour les juristes d’entreprise, la question essentielle n’est pas seulement ce que le règlement exige, mais quand ces obligations prennent effet — et dans quelle mesure ces délais sont certains.
Les premières obligations sont déjà en vigueur. Depuis le 2 février 2025, les interdictions concernant les systèmes d’IA présentant un « risque inacceptable » s’appliquent, ainsi que des exigences en matière de culture de l’IA pour les organisations qui déploient ces systèmes. Cela inclut les systèmes impliquant des pratiques telles que le scoring social ou certaines formes de comportements manipulateurs ou exploitants.
Depuis le 2 août 2025, les obligations relatives aux modèles d’IA à usage général (y compris les modèles fondamentaux) sont également entrées en vigueur. Elles introduisent des exigences en matière de documentation technique, de transparence et de mise à disposition d’informations suffisantes pour les utilisateurs en aval. Pour les fournisseurs de modèles plus avancés — souvent qualifiés de modèles d’IA à usage général « systémiques » — des obligations supplémentaires peuvent s’appliquer, notamment l’évaluation des risques, l’évaluation des modèles et le signalement des incidents.
À ce jour, l’échéance opérationnelle clé reste le 2 août 2026, date à laquelle les principales obligations pour les systèmes d’IA à haut risque doivent s’appliquer. Ces systèmes sont définis de manière large et incluent à la fois : les systèmes d’IA utilisés dans des cas d’usage à fort impact précisés (tels que l’emploi, l’éducation, l’application de la loi et l’accès à des services essentiels), ainsi que les systèmes d’IA faisant partie de produits réglementés soumis aux cadres existants de sécurité des produits dans l’UE, comme par exemple les dispositifs médicaux intégrant de l’IA, les systèmes de conduite autonome et les machines industrielles intégrant de l’IA.
Pour ces systèmes à haut risque, le règlement exige un cadre de conformité complet, comprenant :
- des systèmes de gestion des risques
- la gouvernance des données et des contrôles de qualité des données
- une documentation technique détaillée
- la tenue de registres et la journalisation
- des mécanismes de supervision humaine
- des garanties de robustesse, de précision et de cybersécurité
- la surveillance après mise sur le marché et la déclaration des incidents
Cette phase représente l’aspect le plus exigeant du régime, obligeant les organisations à passer de la conception de politiques à une mise en œuvre opérationnelle, souvent à travers plusieurs fonctions.
Cependant, le calendrier n’est plus totalement stabilisé. Des amendements proposés dans le cadre du Digital Omnibus sur l’IA reporteraient l’application des obligations liées aux systèmes à haut risque — potentiellement jusqu’à décembre 2027 pour les systèmes autonomes à haut risque et jusqu’à août 2028 pour l’IA intégrée dans des produits réglementés. Ces propositions reflètent les préoccupations du secteur concernant la disponibilité des normes harmonisées, des organismes d’évaluation de la conformité et des orientations pratiques.
La conséquence pratique est un certain degré d’incertitude réglementaire. Tant que d’éventuels amendements ne sont pas formellement adoptés, la date du 2 août 2026 reste juridiquement contraignante. En pratique, de nombreuses organisations adoptent une approche pragmatique : elles planifient sur la base de l’échéance de 2026 tout en considérant tout report comme un allègement conditionnel plutôt que comme une certitude.
Plus largement, le règlement européen sur l’IA marque une transition vers une gouvernance sur l’ensemble du cycle de vie. La conformité ne se limite pas à une évaluation préalable au déploiement, mais s’étend à la conception, au développement, au déploiement et à la surveillance post-commercialisation. Pour les juristes d’entreprise, cela implique d’intégrer la supervision juridique dans les processus de développement produit, plutôt que de traiter la conformité comme un exercice distinct en aval.
- Lacunes du règlement européen sur l’IA pour l’IA agentique
La complexité du règlement européen sur l’IA est encore accrue par la nature des systèmes qu’il cherche à réguler. À mesure que l’IA évolue vers des comportements plus autonomes et agentiques, les hypothèses sous-jacentes au cadre commencent
à être mises à l’épreuve.
Le règlement a été conçu à une époque où les systèmes d’IA étaient principalement considérés comme des outils produisant des résultats ou soutenant des décisions ponctuelles. L’IA agentique — capable de poursuivre des objectifs et d’exécuter des actions à travers plusieurs systèmes — ne s’intègre pas facilement dans ce modèle.
À un niveau fondamental, le règlement suppose que la performance peut être évaluée à l’aide de critères tels que la précision et la robustesse. Pour les systèmes agentiques, la performance est souvent ouverte et dépendante du contexte, ce qui rend les évaluations ponctuelles moins pertinentes. Cette tension se reflète dans le recours du règlement aux évaluations de conformité ex ante : un système conforme au moment du déploiement peut se comporter différemment dans des environnements dynamiques.
L’attribution des responsabilités devient également plus complexe. Le règlement distingue les fournisseurs et les déployeurs, mais les systèmes agentiques sont souvent construits au sein d’écosystèmes en couches impliquant modèles, API et intégrations. Le risque naît des interactions plutôt que d’un composant unique, ce qui complique la répartition contractuelle et la conformité continue.
Des défis similaires apparaissent en matière de données. Le règlement suppose des ensembles de données identifiables et des finalités définies, tandis que les systèmes agentiques peuvent ingérer et réutiliser des données en continu et en temps réel, y compris à partir de sources externes. Cela complique l’application statique de notions telles que la qualité des données, la traçabilité et la limitation des finalités.
La lacune la plus importante concerne toutefois la supervision. Le règlement suppose que l’intervention humaine est possible et efficace. En pratique, les systèmes agentiques peuvent fonctionner à la vitesse de la machine et déclencher des actions en cascade entre systèmes, ce qui limite l’efficacité du contrôle manuel.
Par conséquent, le contrôle repose de plus en plus sur des garanties techniques intégrées — notamment des contrôles d’accès et d’action, des seuils d’exécution, des mécanismes de journalisation et de détection des anomalies — conçues pour encadrer le comportement du système plutôt que de dépendre d’interventions a posteriori.
Dans leur ensemble, ces enjeux mettent en évidence une tension plus large. Le règlement européen sur l’IA fournit un cadre structuré pour gouverner les systèmes d’IA, mais il est conçu pour des systèmes relativement stables et délimités. L’IA agentique introduit des systèmes dynamiques et en évolution continue, nécessitant des approches de gouvernance opérant en temps réel.
- Le problème de l’inventaire
Un défi récurrent et non résolu est celui de la visibilité. De nombreuses organisations ne peuvent pas indiquer où l’IA est utilisée ni comment elle évolue.
Cela s’opère à deux niveaux :
- l’IA d’entreprise (outils internes)
- l’IA de produit (systèmes destinés aux clients)
L’usage de l’IA évolue en continu. Les modèles sont mis à jour, remplacés ou reconfigurés. Les inventaires traditionnels deviennent rapidement obsolètes. L’attention se porte désormais sur une visibilité dynamique — des systèmes capables de détecter le changement plutôt que d’enregistrer des états statiques.
L’analogie avec le SBOM (Software Bill of Materials) est utile mais incomplète. Les systèmes d’IA sont externes, évolutifs et opaques, ce qui rend un AIBOM nettement plus complexe. Les logiciels open source peuvent être identifiés dans le code source, alors que l’opacité des modèles d’IA impose une dépendance aux informations fournies par les équipes techniques et produit.
En pratique, les modèles peuvent changer sans préavis ou être заменés en cours de développement. Les ingénieurs intègrent souvent des modèles d’IA open source pour des raisons de coût. Le risque évolue sans décisions formelles. Une gouvernance efficace exige donc une vigilance continue, et non des enregistrements statiques.
- Écosystèmes fournisseurs dynamiques
Les fournisseurs d’IA ajoutent une couche de complexité supplémentaire. En pratique, les organisations ne contractent que rarement avec un seul fournisseur. Une fonctionnalité d’IA orientée client peut reposer sur un fournisseur de modèle fondamental ainsi que sur plusieurs outils et services en aval, chacun régi par des cadres contractuels distincts.
Le risque contractuel n’est plus fixé au moment de la négociation. Les équipes juridiques doivent surveiller les conditions en continu, suivre les versions applicables au moment du déploiement et évaluer l’impact des modifications contractuelles sur l’utilisation du système.
Il y a quelques années encore, les juristes d’entreprise exigeaient généralement des conditions stables et négociées. Dans l’écosystème actuel de l’IA, même les petits fournisseurs s’appuient de plus en plus sur des conditions en ligne qui évoluent de manière dynamique. La gouvernance contractuelle s’apparente désormais à la surveillance d’un système en fonctionnement.
- De la politique à la capacité
La gouvernance de l’IA n’est plus un exercice de politique. C’est une capacité organisationnelle qui exige :
- un alignement entre les équipes juridiques, techniques et commerciales
- une itération continue
- une opération dans l’incertitude
Le succès dépend de la capacité à prendre et à documenter des décisions en temps réel.
- Conclusion : le véritable défi de la gouvernance
L’IA n’attend pas que la gouvernance la rattrape. Elle est déjà intégrée dans les outils, les produits et les processus décisionnels. Le défi n’est plus de contenir l’IA, mais de rester suffisamment proche pour comprendre, influencer et maîtriser son impact.
En pratique, la gouvernance ne sera pas jugée à l’aune de l’exhaustivité des politiques ou de l’élégance des cadres, mais selon un critère plus fondamental : la capacité, à tout moment, d’une organisation à démontrer quelle décision a été prise, pourquoi elle l’a été, et sur quelles informations elle reposait. Cela est particulièrement critique, car les décisions prises en amont — concernant la sélection des modèles, l’accès aux données ou les seuils de déploiement — façonnent inévitablement les résultats en aval, souvent de manière difficilement réversible. Le risque déterminant n’est pas d’aller trop vite, mais de perdre de vue des systèmes déjà en mouvement.
Cet article a été rédigé par l’associée et conseil en brevets Susan Keston