AI Act · 9 min de lecture
AI Act : le vrai risque n'est pas seulement l'amende, c'est l'absence de preuve.
Le débat public se concentre sur les sanctions. Le terrain opérationnel se déplace ailleurs : la capacité, à un moment T, de produire des éléments vérifiables.
Le mauvais centre de gravité
Quand on parle d'AI Act, beaucoup d'organisations regardent en priorité les seuils de sanction. C'est compréhensible, c'est lisible, c'est chiffré. Mais ce n'est pas le bon centre de gravité opérationnel. Le risque qui se matérialise le plus tôt, dans la grande majorité des cas, n'est pas l'amende : c'est l'incapacité à présenter, dans un délai contraint, des éléments vérifiables sur un système d'IA en production.
Ce que demandent réellement les contrôles
Les contrôles, qu'ils émanent d'un régulateur, d'un auditeur, d'un client régulé ou d'un avocat dans un contentieux, ont un point commun. Ils demandent à voir : la version du système concernée, les choix techniques associés, les validations humaines, les éléments de supervision, les décisions documentées. Ils demandent, en somme, une preuve.
L'écart entre intention et capacité
La plupart des organisations ont une vraie démarche de gouvernance interne. Elles produisent des décisions, des revues, des arbitrages. Le problème n'est pas l'intention, c'est la capacité à reconstituer cette démarche après coup, sous pression, dans le bon format.
Pourquoi la documentation par défaut ne suffit pas
Les éléments existent, dans Git, dans Notion, dans Jira, dans les boîtes mail. Ils sont éparpillés, parfois orphelins, rarement liés à une version précise du système. Une grande partie ne porte pas de date d'autorité, ne porte pas d'attribution claire, n'est pas reliée à une décision officielle. Pour un auditeur, ce sont des indices, pas des preuves.
La preuve comme infrastructure
Traiter la preuve comme un livrable ponctuel mène à une production à chaud, coûteuse, fragile. La traiter comme une infrastructure, structurée, versionnée, datée, attribuée, rattachée aux systèmes, change la nature de la conversation avec les contrôleurs internes et externes.
Ce qui ne change pas
La validation finale reste humaine. La qualification juridique du système, l'évaluation de conformité, la signature engagent des personnes, pas un outil. Une couche de preuve bien construite ne dispense pas de cette validation : elle en renforce les fondations.