Gouverner l'IA : ce que le droit impose, ce qu'il laisse à la décision

Cette page établit le cadre. Elle classe chaque obligation selon son statut réel au 5 octobre 2026, distingue les registres qui composent la gouvernance d'une organisation et désigne ce que les textes laissent à la décision des dirigeants. Les qualifications entre crochets indiquent la nature de chaque affirmation.

Que définit l'AI Act, et que laisse-t-il à l'organisation ?

Le règlement (UE) 2024/1689, dit AI Act, s'applique directement en France sans loi de transposition. Il définit des rôles (fournisseur, déployeur, importateur, distributeur), des niveaux de risque et des obligations attachées à chacun. Pour les systèmes à haut risque, ces obligations portent sur la gestion des risques, la gouvernance des données, la documentation, la journalisation, la supervision humaine, la robustesse et la cybersécurité. [Texte légal]

Le mot gouvernance y désigne surtout la gouvernance des données d'entraînement et l'architecture publique de contrôle : Bureau de l'IA, Comité européen de l'IA, autorités nationales. Le règlement attribue des obligations à l'entreprise en tant que fournisseur ou déployeur. La répartition interne de l'autorité, c'est-à-dire la personne ou l'instance qui décide d'introduire, de suspendre ou de retirer un système, relève du choix de chaque organisation. [Texte légal]

Responsable de l'IA, comité IA, charte, registre général des usages : pour une entreprise privée, ces dispositifs relèvent de la pratique et de la décision des dirigeants. Les textes applicables en France laissent ce choix à chaque organisation. [Fait documenté]

Quelles obligations s'appliquent aujourd'hui ?

Le règlement (UE) 2026/1744, adopté le 8 juillet 2026, publié au Journal officiel de l'Union le 24 juillet et entré en vigueur le 27 juillet, a réécrit le calendrier. Le tableau suivant donne l'état exact au 5 octobre 2026.

Le plafond des sanctions pour les pratiques interdites atteint 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial. [Texte légal] En France, la loi qui désigne les autorités chargées de les prononcer attend l'examen de l'Assemblée nationale. Les pouvoirs existants continuent de s'appliquer, ceux de la CNIL au titre du RGPD comme ceux de la DGCCRF au titre du droit de la consommation. [Fait documenté et inférence]

Que change l'omnibus du 8 juillet 2026 ?

L'omnibus déplace des dates et conserve le fond des obligations. Ses considérants rattachent le report au retard pris dans l'élaboration des normes harmonisées et dans la mise en place des cadres nationaux de gouvernance et d'évaluation de la conformité. Le législateur européen constate ainsi lui-même que les autorités nationales sont en construction, ce qui vaut pour la France. [Texte légal et inférence]

Le changement le plus structurant pour une direction porte sur l'article 4. Sa rédaction en vigueur depuis le 27 juillet 2026 est la suivante : « Les fournisseurs et les déployeurs de systèmes d'IA prennent des mesures pour favoriser le développement de la maîtrise de l'IA par leur personnel et les autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte [...]. Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l'IA par un individu. » [Texte légal]

L'obligation devient une obligation de moyens. Elle reste opposable, et elle se prouve par des mesures datées. Le dossier Maîtrise de l'IA en tire les conséquences pour une direction.

Quels autres textes encadrent l'usage de l'IA en France ?

RGPD et doctrine CNIL

Le RGPD apporte la base légale, l'analyse d'impact et l'encadrement des décisions individuelles automatisées (article 22). La CNIL a publié le 19 juin 2025 ses recommandations sur l'intérêt légitime comme base légale du développement de systèmes d'IA, et a finalisé le 22 juillet 2025 l'ensemble de ses fiches sur le développement des systèmes d'IA. [Texte légal, publication institutionnelle]

Code du travail

L'article L. 2312-8 soumet à la consultation du CSE « l'introduction de nouvelles technologies ». Les juges y rattachent les outils d'IA. Voir IA et dialogue social. [Texte légal, fait documenté]

Responsabilité du fait des produits

La directive (UE) 2024/2853 inclut expressément les logiciels dans la notion de produit. Sa transposition est due au 9 décembre 2026. La proposition distincte de directive sur la responsabilité en matière d'IA a été retirée par la Commission, avis publié le 6 octobre 2025. [Texte légal]

Règles sectorielles

Finance, santé, infrastructures critiques et services publics ajoutent leurs exigences propres, portées par l'ACPR, la HAS, l'ANSM, l'ANSSI ou la Cour des comptes. Voir Qui contrôle l'IA en France. [Fait documenté]

Convention-cadre du Conseil de l'Europe

Traité sur l'IA et les droits humains, ouvert à la signature en septembre 2024. L'Union l'a ratifié le 15 mai 2026, première ratification déposée. Son entrée en vigueur requiert cinq ratifications, dont trois États membres du Conseil de l'Europe. Son effet pour une entreprise française passe par l'AI Act. [Texte légal]

Quels registres composent la gouvernance d'une organisation ?

La gouvernance de l'IA se confond facilement avec la conformité, la cybersécurité ou le pilotage de projets. Sept registres se distinguent. Chacun a ses responsables et ses sources de contrainte. Un seul porte la décision d'exposition.

Que doit faire un conseil de ce cadre ?

Un conseil gagne à se faire présenter le cadre sous la forme d'un tableau à quatre colonnes : obligations en vigueur, obligations reportées, textes en projet, recommandations. Cette présentation protège contre deux erreurs symétriques : traiter une recommandation comme une obligation, et lire un report comme une dispense.

Il gagne ensuite à faire écrire, sur une page, la répartition des sept registres dans l'organisation, avec pour chacun un responsable nommé. La décision d'arrêt d'un usage revient à l'autorité qui porte la gouvernance, et cette autorité figure par son nom dans le document.