AI Act : les usages interdits, impossible à rendre conformes

La confidentialité de l’AI Act : contraintes et opportunités

La confidentialité des données s'impose comme l'enjeu central de l'AI Act à l'approche de l'échéance d'août 2026, selon Laurent Attali, fondateur et dirigeant d'IA Confidential. Malgré le report de certaines dispositions du règlement européen, la trajectoire réglementaire reste inchangée et impose trois obligations concrètes aux dirigeants d'entreprise : localiser précisément où et comment l'IA est utilisée dans leur organisation, identifier quelles données sont confiées à ces systèmes, et démontrer une maîtrise complète de ces processus. Sur le terrain, Attali pointe un phénomène déjà massif et largement sous-estimé, le « Shadow AI », c'est-à-dire l'usage non encadré d'outils d'intelligence artificielle par les salariés en dehors de tout cadre défini par l'entreprise. Une étude citée par Attali indique que 27% des collaborateurs y ont recours, injectant parfois sans le savoir des contrats, des dossiers RH ou des documents stratégiques dans des modèles génératifs susceptibles de réutiliser ces données pour leur propre entraînement. Ce constat a des conséquences directes pour les entreprises manipulant quotidiennement des informations sensibles, cabinets d'avocats, directions financières, services RH, cabinets de conseil ou industries détentrices de brevets, pour qui une fuite via un outil d'IA non maîtrisé peut effacer un avantage concurrentiel construit sur des années. Plutôt que de recommander l'interdiction pure et simple de ces outils, jugée contre-productive au regard des gains de productivité qu'ils permettent, Attali plaide pour un accompagnement structuré transformant la contrainte réglementaire en levier de confiance. Il établit un parallèle avec le RGPD : les entreprises ayant pris au sérieux la protection des données personnelles en ont tiré un gain de crédibilité auprès de leurs clients, et il anticipe une dynamique similaire avec l'AI Act sur le terrain de la confidentialité. Pour les organisations concernées, l'enjeu n'est donc plus seulement défensif mais devient un argument commercial et un signal de fiabilité vis-à-vis de partenaires et de clients de plus en plus attentifs à la gouvernance des données. Selon Attali, l'erreur la plus fréquente commise par les entreprises n'est pas technique mais humaine et organisationnelle : déployer des outils d'IA générative sans avoir défini au préalable de règles d'usage claires pour les équipes. La solution qu'il préconise passe par un dialogue interne et une co-construction des politiques d'utilisation avec les collaborateurs eux-mêmes, plutôt qu'une imposition descendante de règles techniques. Cette approche vise à combler un angle mort à la fois sociologique et stratégique, la méconnaissance par les directions des usages informels de l'IA en interne, en associant les salariés à la définition d'un cadre sécurisé. À l'approche de l'échéance réglementaire d'août 2026, cette question de gouvernance humaine des outils d'intelligence artificielle s'annonce donc comme un chantier prioritaire pour les entreprises manipulant des données sensibles, bien avant les aspects purement techniques de mise en conformité.

Le 2 août, l’AI Act avance et recule à la fois

Le règlement UE 2026/1744, qui modifie l'AI Act et vise à le « simplifier », est entré en vigueur le 27 juillet 2026 et devient largement applicable ce dimanche 2 août. Il confère à la Commission européenne, via le Bureau européen de l'IA, de nouveaux pouvoirs directs de surveillance, d'enquête et de sanction. Bruxelles devient ainsi l'autorité compétente lorsqu'un système d'IA constitue lui-même une très grande plateforme en ligne (VLOP) ou un très grand moteur de recherche (VLOSE) au sens du règlement sur les services numériques (DSA), ou lorsqu'il est intégré à l'un de ces services, comme Gemini dans la recherche Google ou l'assistant Meta AI dans Instagram et Facebook. Dans le même texte, les obligations applicables aux systèmes à haut risque listés à l'annexe III (recrutement, éducation, accès aux services essentiels, maintien de l'ordre, migration, justice) sont repoussées de seize mois, du 2 août 2026 initialement prévu au 2 décembre 2027. Pour les produits réglementés et composants de sécurité, comme les dispositifs médicaux, équipements industriels, ascenseurs ou jouets, l'échéance est fixée au 2 août 2028. Ce dimanche marque en revanche l'entrée en application de l'article 50 sur la transparence. Ce double mouvement a des conséquences très concrètes. D'un côté, la Commission consolide son emprise sur les grands acteurs du numérique en pouvant superviser directement les fonctions d'IA intégrées aux VLOP et VLOSE, en plus des pouvoirs déjà exercés au titre du DSA, même quand modèle et système exploitant sont développés par des entités juridiques distinctes d'un même groupe. De l'autre, les entreprises qui déploient des systèmes à haut risque, dans le recrutement, la santé, l'éducation ou la justice, gagnent un répit important avant de devoir se conformer aux exigences de gestion des risques, de qualité des données, de documentation, de journalisation, de supervision humaine et d'évaluation de conformité. Pour le grand public, en revanche, les protections avancent : toute interaction avec une IA devra en principe être signalée si elle n'est pas évidente, les deepfakes diffusés par des médias, agences ou partis politiques devront être identifiés comme tels, de même que les textes générés par IA sur des sujets d'intérêt général, et les personnes exposées à la reconnaissance des émotions ou à la catégorisation biométrique devront en être informées. Ce calendrier fragmenté illustre les tensions qui traversent la mise en œuvre de l'AI Act depuis son entrée en vigueur progressive amorcée en février 2025. La Commission justifie le report des règles sur le haut risque par la nécessité de disposer au préalable des normes techniques et outils d'accompagnement adéquats, un argument avancé dès mai dernier dans le cadre du « Digital Omnibus ». Ce paquet de simplification a fait l'objet d'un lobbying intense de la part des industriels du secteur, désireux d'assouplir un calendrier jugé trop contraignant. L'équilibre recherché par Bruxelles, entre allègement des contraintes pour les entreprises et renforcement du contrôle sur les grandes plateformes et de la transparence pour les citoyens, restera à l'épreuve des prochaines échéances, en décembre 2027 puis en août 2028.

💬 Bruxelles renforce sa main sur les géants (Gemini, Meta AI), mais lâche du lest sur le recrutement, la santé, la justice, seize mois de sursis. Sur le papier ça ressemble à un compromis équilibré, en vrai c'est surtout les entreprises qui déploient du haut risque qui gagnent le plus gros cadeau. Retiens ça : dans l'AI Act version 2026, la surveillance des plateformes avance plus vite que la protection des citoyens face aux systèmes qui décident de leur embauche ou de leur dossier judiciaire.

L’AI Act : le cadre Européen qui redéfinit l’Impact sociologique de l’IA en entreprise

L'Union européenne a adopté l'AI Act, un règlement dont l'entrée en vigueur progressive s'étend désormais jusqu'en 2028, après que le calendrier initial prévoyait une application complète dès 2026. Ce texte impose des obligations sur l'entraînement des modèles d'IA, protège la propriété intellectuelle et introduit un système de classification des risques. Pour décrypter ses effets concrets, Mathieu Changeat, cofondateur de Dydu et directeur des opérations du groupe Zaion Dydu, livre une analyse de terrain. Selon lui, le glissement des délais ne doit pas masquer le vrai problème : le déficit de financement européen face aux géants américains et chinois. Malgré la valorisation milliardaire d'acteurs comme Mistral AI, la force de frappe financière nécessaire au développement et à la démocratisation des modèles d'IA générative reste insuffisante à l'échelle du continent. L'AI Act aura néanmoins un impact structurant sur la perception de confiance des utilisateurs et des entreprises. Le label de conformité qu'il introduit atteste d'un entraînement sur des données éthiques et renforce la transparence, sans pour autant éliminer les hallucinations algorithmiques, qui relèvent de l'architecture technique des modèles. Son effet le plus tangible se manifeste dans la quête de souveraineté numérique : grands groupes et secteur public privilégient désormais des solutions européennes, parfois au détriment de la performance pure, sous l'effet des tensions géopolitiques actuelles. Cette tendance à l'autorégulation précède le règlement lui-même, ce qui signifie que l'AI Act ne bouleversera pas les pratiques des acteurs déjà engagés dans cette direction, mais formalisera des comportements qui s'imposaient déjà de fait. Une fracture technologique se dessine cependant entre grandes entreprises et PME. Si les grands groupes disposent des ressources pour investir dans des solutions souveraines sur mesure, les petites structures risquent de rester dépendantes de solutions standards, souvent américaines, faute de moyens et de capacité à suivre la cadence réglementaire. En parallèle, l'émergence des agents IA autonomes, capables de collaborer sur des tâches complexes, soulève de nouvelles questions de gouvernance que l'AI Act n'avait pas anticipées dans sa version originelle, élaborée avant l'explosion de ChatGPT fin 2022. L'Europe se trouve ainsi dans une position ambivalente : pionnière sur le plan réglementaire, mais en retard sur le plan industriel, avec un règlement qui définit les règles du jeu sans garantir les moyens d'y jouer à armes égales.

💬 L'AI Act réglemente un marché de 2022, les agents autonomes et tout ce qui a explosé depuis ChatGPT ne sont pas vraiment dedans. Le label de conformité va rassurer les grands comptes, ça oui, mais les PME vont rester sur AWS et GPT faute de moyens pour faire autrement. On crée le cadre réglementaire sans s'assurer qu'il y a une industrie derrière pour jouer le jeu.

La Norvège va interdire les chatbots IA aux écoliers

Le Premier ministre norvégien Jonas Gahr Støre a annoncé l'interdiction des chatbots d'intelligence artificielle pour les écoliers de 6 à 13 ans, une mesure qui entrera en vigueur dès la prochaine rentrée scolaire. Les élèves de 14 à 16 ans pourront y accéder uniquement sous supervision des enseignants, tandis que les 17-19 ans devront apprendre à les utiliser de manière responsable. « Nous devons donner la priorité à l'essentiel : les élèves doivent apprendre à lire, à écrire et à compter avant de se familiariser avec l'IA », a déclaré Støre lors d'une conférence de presse. La mesure s'accompagne d'un financement public pour l'achat de manuels scolaires imprimés, signal fort d'un retour partiel au papier après trois décennies de numérisation accélérée de l'enseignement. Cette décision touche directement plusieurs millions d'élèves et repositionne l'école comme espace de préservation des apprentissages fondamentaux face à des outils qui, selon Oslo, risquent de court-circuiter des étapes cognitives essentielles. L'interdiction s'inscrit dans un tournant plus large : depuis 2024, les smartphones sont déjà bannis des établissements scolaires norvégiens, et les réseaux sociaux vont être bloqués pour les moins de 16 ans. Une étude de Sara Abrahamsson, publiée dans The Journal of Human Resources, avait démontré les effets positifs de l'interdiction des téléphones dans plusieurs collèges entre 2010 et 2018, notamment chez les filles : moins de consultations pour problèmes psychologiques, moins de harcèlement signalé, de meilleures notes et une plus grande probabilité d'opter pour une filière générale au lycée. Ces résultats ont visiblement pesé dans la balance politique. La Norvège, pourtant pays pionnier en matière d'adoption technologique, ordinateurs en classe dès les années 1990, tablettes à partir de 2010, opère ainsi une forme de rétropédalage assumé, reconnaissant que la numérisation massive de l'enseignement a peut-être sacrifié des fondamentaux pédagogiques. D'autres pays observent cette trajectoire avec attention. La France, elle, a choisi une voie plus pragmatique : un cadre publié en mai 2025 par le ministère de l'Éducation nationale autorise l'IA à partir de la quatrième, laissant les enseignants expérimenter avec une large liberté d'interprétation sur le terrain. L'enjeu dépasse les frontières : alors que ChatGPT et ses concurrents s'imposent dans tous les foyers, les gouvernements doivent décider si l'école doit adopter ces outils ou les tenir à distance pour protéger la formation intellectuelle de base. La Norvège a tranché, et ses résultats seront scrutés par les chercheurs comme par les ministères de l'éducation du monde entier.

💬 Qu'un pionnier du numérique comme la Norvège admette que trente ans de numérisation à l'école ont peut-être sacrifié les fondamentaux, c'est le genre d'aveu qui devrait faire réfléchir bien au-delà d'Oslo. Bon, interdire les chatbots en primaire c'est une chose, mais l'intéressant c'est le financement des manuels papier qui va avec : ils assument le retour en arrière, sans s'en excuser. La France fait l'inverse, laisse les profs expérimenter l'IA dès la quatrième, et dans dix ans on aura une vraie comparaison.