Les règles européennes sur la transparence de l’IA arrivent Êtes-vous prêt ?

Le règlement européen sur l’IA fait de la divulgation liée à l’IA une exigence métier

Le 2 août est la date clé. À partir de ce moment, les règles de transparence de l’AI Act de l’UE imposent aux fournisseurs et aux déployeurs de systèmes d’IA concernés d’informer les personnes lorsqu’elles interagissent avec une IA. Cette exigence couvre également des usages et des résultats spécifiques, notamment les deepfakes, les systèmes de reconnaissance des émotions, la catégorisation biométrique, ainsi que certains contenus générés ou manipulés par l’IA sur des sujets d’intérêt public.

Cela ne se limite pas aux entreprises dont le siège est en Europe. La vraie question est de savoir où le système d’IA est mis sur le marché, mis en service, ou où son résultat est utilisé. Une entreprise non européenne peut donc relever de ces règles dès lors que ses produits ou résultats d’IA atteignent le marché européen.

Pour les dirigeants, la première tâche est la classification. Une entreprise doit savoir quels systèmes interagissent directement avec des personnes et quel rôle elle joue pour chacun d’eux. Parmi les exemples concernés figurent les chatbots d’IA, les agents conversationnels, les compagnons IA et les agents de codage. L’organisation doit ensuite relier chaque système concerné au bon mécanisme de divulgation.

Le périmètre est important, car les règles ne s’appliquent pas de manière uniforme à tous les usages de l’IA. Les systèmes de recommandation, les filtres anti-spam, les outils d’authentification, la recherche et la récupération d’information, la transcription, l’autocomplétion de texte et de code, ainsi que la maintenance prédictive figurent parmi les outils qui n’entrent pas dans cette exigence spécifique d’interaction directe. Une politique trop large qui traite chaque fonctionnalité d’IA de la même manière peut donc créer un travail inutile sans améliorer la conformité.

Le calendrier exige la même précision. La plupart des exigences de transparence commencent à s’appliquer le 2 août. Les systèmes mis sur le marché avant cette date bénéficient d’un délai supplémentaire pour certaines obligations, avec une date de conformité fixée au 2 décembre. Les entreprises ne devraient pas bâtir leurs plans autour de cette extension. Elle s’applique à un groupe plus restreint de systèmes.

Henna Virkkunen, vice-présidente exécutive de la Commission européenne chargée de la souveraineté technologique, de la sécurité et de la démocratie, a déclaré que les lignes directrices de la Commission visent à soutenir l’« application fluide et efficace de l’AI Act » et à rendre des systèmes tels que les chatbots et les agents IA « plus transparents et plus dignes de confiance ».

Sanchit Vir Gogia, Chief Analyst chez Greyhound Research, explicite clairement le point territorial : « Les systèmes mis sur le marché européen, mis en service sur ce marché, ou produisant des résultats utilisés sur ce marché entrent dans le champ d’application, quel que soit l’endroit où se trouve le développeur. » Sa recommandation est également pratique. Les entreprises devraient se préparer pour le 2 août et considérer tout allègement ultérieur comme une marge supplémentaire.

Pour la direction générale, le livrable immédiat est clair : établir un inventaire précis des systèmes concernés, déterminer le rôle de l’entreprise en tant que fournisseur ou déployeur, identifier la divulgation requise et désigner un responsable clairement identifié. La difficulté n’est pas de publier un avis. Elle consiste à savoir où un avis est juridiquement requis et à garantir qu’il reste opérationnel à travers les produits, les fournisseurs et les marchés.

Les labels IA doivent fonctionner à la fois au niveau humain et au niveau machine

L’exigence de transparence ne se limite pas à afficher un message aux utilisateurs. Les textes, images, fichiers audio et vidéos générés par l’IA concernés doivent également comporter un marquage lisible par machine. Cela signifie que les informations identifiant le contenu comme généré ou modifié par l’IA doivent pouvoir être détectées par un logiciel.

La Commission propose trois labels : « IA », « Entièrement généré par l’IA » et « Partiellement modifié par l’IA ». Le choix indique comment l’IA a contribué au résultat. Un résumé d’actualité, un morceau de musique, une œuvre d’art ou une vidéo créés par l’IA sans supervision humaine au-delà du prompt peuvent être étiquetés « Entièrement généré par l’IA ». Une photographie authentique dans laquelle l’IA a remplacé le visage d’une personne est un exemple de contenu « Partiellement modifié par l’IA ». Les icônes correspondantes sont disponibles gratuitement aux formats PNG et SVG.

L’objectif est simple. L’IA générative rend la création de contenus synthétiques réalistes peu coûteuse à grande échelle. La vérification, elle, n’est pas devenue aussi peu coûteuse. Sanchit Vir Gogia, Chief Analyst chez Greyhound Research, décrit directement ce déséquilibre : « Les systèmes génératifs ont fait s’effondrer le coût de production de contenus convaincants, tandis que le coût de leur évaluation est resté là où il a toujours été. » Il qualifie l’exigence de marquage de « tentative de réintroduire de la friction dans ce déséquilibre ».

Les dirigeants devraient distinguer deux contrôles qu’il est facile de confondre. Le premier est la divulgation à l’utilisateur. Une personne doit recevoir un signal clair et accessible indiquant que l’IA est impliquée. Le second est la provenance technique, c’est-à-dire l’information qui permet aux systèmes d’identifier l’origine d’un contenu ou la manière dont il a été modifié. Un processus de conformité mature doit gérer les deux lorsque l’Act l’exige.

La mise en œuvre ne peut pas s’arrêter une fois qu’un filigrane ou un champ de métadonnées a été ajouté lors de la génération. Le contenu circule. Les images sont recadrées et compressées. Le texte est modifié ou traduit. L’audio peut être transcrit. Les fichiers passent entre systèmes internes, fournisseurs, plateformes sociales et outils de publication. Chaque transformation peut affaiblir ou supprimer les informations de provenance.

Cela crée une exigence technique mesurable pour le management : tester si le marquage survit au cycle de vie réel du contenu.

La priorité pour les dirigeants doit donc être la durabilité. Les équipes produit, juridique, sécurité, marketing et achats ont besoin de preuves que les labels requis sont présents lorsque les utilisateurs reçoivent le contenu et que les signaux lisibles par machine survivent au traitement normal. Lorsque ce n’est pas le cas, l’entreprise doit disposer d’un chemin d’échec documenté et d’un contrôle correctif.

La norme pratique est simple. Une divulgation doit être visible là où l’utilisateur rencontre l’IA ou son contenu. Un marqueur de provenance doit rester détectable malgré les transformations attendues. Et l’entreprise doit conserver des preuves que les deux contrôles fonctionnent. Cela transforme la transparence d’un exercice de conception de labels en une exigence opérationnelle testable.

Tous les systèmes d’IA ou résultats assistés par l’IA ne nécessitent pas une divulgation

Les exigences de transparence de l’AI Act de l’UE sont spécifiques. Elles ne signifient pas que chaque usage de l’IA doit porter le même avis. Les entreprises doivent classifier les systèmes selon leur fonction, leur audience, le type de contenu et le niveau de supervision humaine avant de décider si une divulgation est requise.

Les règles applicables au contenu dépendent aussi du contexte. Shashi Bellamkonda, Principal Research Director chez Info-Tech Research Group, souligne trois caractéristiques pertinentes pour les exigences relatives au contenu : si le contenu a été publié, s’il informe le public et s’il porte sur des sujets d’intérêt public. En conséquence, certains contenus B2B ou articles de blog d’entreprise peuvent ne pas nécessiter de divulgation liée à l’IA lorsqu’ils ne remplissent pas les critères applicables.

La supervision humaine peut également changer le résultat. Un texte publié, généré par l’IA, portant sur des sujets d’intérêt public, ne nécessite pas le même étiquetage lorsqu’il a fait l’objet d’une revue humaine ou est soumis à un contrôle éditorial. Le contrôle éditorial a ici un sens précis : une personne doit assumer la responsabilité juridique ultime de la publication. L’ajout d’une étape d’approbation purement formelle ne doit pas être considéré comme une preuve suffisante d’une supervision significative.

Les deepfakes exigent une autre distinction. L’Act impose généralement une divulgation pour les contenus image, audio ou vidéo générés ou manipulés par l’IA qui constituent un deepfake. Toutefois, il existe des exigences plus limitées ou des exemptions pour les œuvres artistiques, créatives, satiriques et fictionnelles. Cette distinction est importante pour les entreprises des médias, de la publicité, du divertissement et de la communication.

Pour les dirigeants, le principal risque est une mauvaise classification. Appliquer une divulgation à chaque processus assisté par l’IA peut créer une complexité inutile et affaiblir la valeur des avis en les rendant omniprésents. Appliquer les exemptions de manière trop large crée une exposition réglementaire. La meilleure approche consiste à maintenir des règles documentées reliant chaque cas d’usage de l’IA à sa fonction, son audience, son résultat, son processus de revue humaine et l’obligation de transparence qui en découle.

Bellamkonda recommande également une pratique plus large allant au-delà de la conformité juridique minimale. Les entreprises devraient divulguer les contenus générés par l’IA et indiquer, lorsque c’est approprié, si une personne les a examinés. Cela peut fournir un contexte utile aux clients même lorsqu’une divulgation particulière n’est pas juridiquement obligatoire.

La décision pour les dirigeants n’est donc pas simplement de savoir si l’entreprise « utilise l’IA ». Presque toutes les grandes entreprises le feront. Les vraies questions sont ce que fait le système, qui rencontre son résultat, si ce résultat entre dans une catégorie réglementée et si une revue humaine significative modifie l’exigence applicable.

Les manquements à la transparence de l’IA peuvent entraîner des sanctions se chiffrant en millions d’euros ou en pourcentage du chiffre d’affaires mondial

Les conséquences financières font de la transparence de l’IA un enjeu de risque d’entreprise plutôt qu’une exigence produit limitée. Le non-respect peut entraîner des sanctions allant de 750 000 €, soit environ 856 000 $, à 15 millions d’euros, soit environ 17 millions de dollars. Selon l’infraction, les sanctions peuvent atteindre jusqu’à 3 % du chiffre d’affaires annuel mondial total.

Les sanctions fondées sur un pourcentage modifient sensiblement l’exposition des grandes multinationales. Les dirigeants devraient donc évaluer la transparence de l’IA au même titre que d’autres risques réglementaires susceptibles d’affecter la performance financière au niveau du groupe. Le coût de la conformité doit être mis en regard de la sanction potentielle, mais l’exposition financière n’est qu’une partie de la décision. Les enquêtes réglementaires peuvent aussi exiger des preuves sur la manière dont une entreprise a classifié ses systèmes, mis en œuvre ses contrôles et géré ses fournisseurs.

Le calendrier est critique. La plupart des règles de transparence commencent à s’appliquer le 2 août. Certains systèmes d’IA mis sur le marché avant cette date disposent d’un délai supplémentaire, le 2 décembre étant identifié comme date de conformité ultérieure. Cette extension ne doit pas être interprétée comme un report de quatre mois pour l’ensemble de l’organisation.

Sanchit Vir Gogia, Chief Analyst chez Greyhound Research, explicite cette distinction. Une tolérance de quatre mois sur une obligation limitée et une population restreinte de systèmes, a-t-il déclaré, « n’est pas une stratégie ». Sa recommandation est de se préparer pour le 2 août et de « considérer tout allègement accordé comme une marge ».

Cette approche est opérationnellement solide, car les entreprises ont besoin de temps pour découvrir où l’IA concernée existe déjà. Des fonctions d’IA peuvent être intégrées dans les plateformes clients, les logiciels des employés, les systèmes marketing, les outils de développement et les services tiers. Les équipes juridiques ne peuvent pas déterminer avec précision les obligations de divulgation sans un inventaire reliant ces systèmes à leurs propriétaires, utilisateurs, fournisseurs et résultats.

Les dirigeants devraient donc définir une position minimale de conformité pour le 2 août. L’entreprise doit identifier les systèmes concernés, établir son rôle de fournisseur ou de déployeur, mettre en œuvre les divulgations requises dans les cas d’usage prioritaires et désigner la personne responsable de chaque contrôle. Les preuves de ces décisions doivent être conservées.

L’objectif ne doit pas être d’éliminer chaque risque théorique de conformité avant l’échéance. Il doit être d’établir un processus opérationnel défendable qui identifie les systèmes concernés, applique les bons contrôles, les teste, enregistre les preuves et corrige les défaillances. Cette capacité restera nécessaire après le 2 août, car les produits d’IA, les fournisseurs et les interprétations réglementaires continueront d’évoluer.

Le code de bonnes pratiques volontaire de l’UE offre une voie de conformité plus claire

La Commission européenne a introduit un code de bonnes pratiques volontaire en parallèle de ses lignes directrices sur la transparence de l’IA. Ce code donne aux fournisseurs et aux déployeurs un moyen structuré de démontrer comment ils respectent les obligations de transparence de l’AI Act. Selon la Commission, le fait de le signer peut apporter une plus grande « sécurité juridique » et une voie « simple et pratique » pour démontrer la conformité.

La participation donne également aux entreprises accès à la Signatory Taskforce. Ce groupe permet aux signataires de partager des pratiques de mise en œuvre et de travailler sur les technologies de marquage et d’étiquetage de l’IA. Cela peut être utile alors que les méthodes techniques de provenance, de filigrane et d’identification des contenus continuent d’évoluer.

Le mot clé est volontaire. Une entreprise n’est pas obligée de signer le code pour se conformer à l’AI Act. Les non-signataires peuvent utiliser d’autres méthodes techniques et organisationnelles. Toutefois, ils doivent être en mesure de démontrer aux autorités de surveillance que les méthodes choisies sont adéquates.

Sanchit Vir Gogia, Chief Analyst chez Greyhound Research, résume clairement le compromis : les non-signataires « conservent leur flexibilité, et feront l’objet en contrepartie d’un examen plus poussé au cas par cas ». Cette distinction doit guider la décision des dirigeants. Une entreprise qui choisit son propre framework de conformité gagne en liberté, mais assume une charge plus lourde pour prouver que ses contrôles fonctionnent.

La signature doit donc être une décision de gouvernance. Le management devrait comparer le code avec la gouvernance IA existante, les contrôles produit, les processus de risque et l’infrastructure technique. Si les méthodes internes fournissent déjà des preuves plus solides et des contrôles de transparence fiables, conserver de la flexibilité peut se justifier. Si les pratiques varient fortement d’une business unit à l’autre, un framework commun pourrait réduire les écarts de mise en œuvre et simplifier les échanges avec les régulateurs.

Les dirigeants devraient également éviter de considérer la participation comme une preuve automatique que chaque produit est conforme. Les obligations juridiques sous-jacentes demeurent. Les systèmes doivent toujours être correctement identifiés, les divulgations mises en œuvre au bon endroit, les marqueurs lisibles par machine maintenus lorsque cela est requis, et les preuves justificatives conservées.

La question pratique est de savoir quelle voie donne à l’entreprise les preuves les plus solides pour un coût opérationnel acceptable. Les régulateurs s’intéresseront en fin de compte à l’existence de la transparence requise et à la capacité de l’organisation à la démontrer. Un processus documenté et testable compte davantage qu’une déclaration de politique générale.

Les grandes entreprises technologiques prennent déjà en charge l’étiquetage de l’IA, mais les entreprises restent responsables de leur propre conformité

Google, Adobe, LinkedIn et Meta disposent déjà de mécanismes permettant d’identifier ou d’étiqueter les contenus générés par l’IA. Leur travail montre que les capacités de provenance et de divulgation liées à l’IA s’intègrent dans des plateformes technologiques largement utilisées. Cela ne signifie pas que les entreprises peuvent déléguer leur responsabilité réglementaire à ces plateformes.

Shashi Bellamkonda, Principal Research Director chez Info-Tech Research Group, cite Google, Adobe et LinkedIn comme des entreprises ayant mis en place des moyens d’identifier les images marquées comme générées par l’IA. Il note également que Meta a fait de l’étiquetage de l’IA une exigence dans les cas pertinents, même si le créateur peut être responsable de l’ajout du label indiquant que le contenu a été généré par l’IA.

Cette différence est importante. Une plateforme peut fournir une fonctionnalité d’étiquetage sans garantir qu’une entreprise l’utilise correctement. Un créateur peut ne pas déclarer l’usage de l’IA. Les métadonnées peuvent disparaître pendant le traitement. Le contenu peut aussi passer d’une plateforme à l’autre avec des normes techniques et des politiques de divulgation différentes. La conformité dépend donc de l’ensemble du processus de publication.

Bellamkonda a qualifié les exigences de transparence de « bonne avancée pour mettre en place des garde-fous autour de l’information publique », ajoutant que les entreprises dotées d’une forte conformité et d’une supervision éthique solide ont peut-être moins de raisons de s’inquiéter. Il recommande que les entreprises divulguent généralement les contenus générés par l’IA et précisent s’ils ont fait l’objet d’une revue humaine.

Pour la direction générale, la principale contrainte est le contrôle à travers les systèmes. Les grandes entreprises créent et diffusent rarement du contenu via une seule plateforme. Les équipes marketing peuvent générer du contenu avec un service, le modifier avec un autre, le stocker en interne, puis le publier via plusieurs canaux externes. Chaque étape peut affecter les labels, les métadonnées et les autres informations de provenance.

Les dirigeants devraient donc distinguer la capacité du fournisseur du contrôle de l’entreprise. Les équipes achats doivent savoir quels mécanismes d’étiquetage un fournisseur propose, à quel moment ils sont appliqués, à quelles transformations ils résistent et quelles preuves le fournisseur met à disposition. Les équipes produit et conformité doivent ensuite vérifier ces affirmations dans les workflows réels de l’entreprise.

Les capacités existantes du secteur peuvent réduire le travail de mise en œuvre, mais elles ne doivent pas définir la norme de conformité. L’exigence de l’UE constitue la référence pertinente. Une entreprise doit déterminer si l’utilisateur final reçoit bien la divulgation requise et si les marquages lisibles par machine applicables restent présents.

Cela crée aussi une opportunité de standardiser les pratiques internes. Les entreprises peuvent définir une politique commune pour les contenus générés par l’IA, la revue humaine, l’étiquetage et la conservation des preuves à travers les fournisseurs technologiques approuvés. Des règles claires facilitent l’adoption par les employés tout en donnant au management une vision plus cohérente de l’exposition réglementaire.

Les labels IA peuvent échouer après une modification normale du contenu, les entreprises doivent donc les tester dans des workflows réels

L’ajout d’un filigrane, d’un champ de métadonnées ou d’un autre marqueur lisible par machine au moment de la génération ne prouve pas que le contrôle fonctionnera lorsque les utilisateurs recevront le contenu. Le problème technique central est la durabilité. Les contenus IA sont régulièrement recadrés, compressés, traduits, transcrits, redimensionnés, reformatés et modifiés. Chacune de ces opérations peut affaiblir ou supprimer les signaux de provenance.

Meta a déclaré que son filigrane invisible avait été conçu pour résister au recadrage. Pourtant, un test publié a montré que le détecteur de prévisualisation de Meta manquait 55 % des images recadrées. C’est un résultat important pour les dirigeants. Un contrôle peut fonctionner comme prévu dans un environnement donné et malgré tout échouer après un traitement de contenu ordinaire.

Sanchit Vir Gogia, Chief Analyst chez Greyhound Research, identifie la durabilité comme la partie la plus difficile de la mise en œuvre, car le marquage peut bien fonctionner dans des conditions contrôlées mais « mal dans la vie courante ». Son conseil aux responsables technologiques est direct : « Les DSI devraient demander quelle plateforme peut réellement fournir des preuves avant de croire à son dashboard. »

Cela change la manière dont les entreprises devraient évaluer les produits de transparence IA. La documentation fournisseur et les indicateurs de dashboard sont utiles, mais ils ne constituent pas des preuves suffisantes. Une entreprise devrait prendre des résultats représentatifs et les tester à travers les mêmes outils, plateformes, transformations et processus de publication que ceux utilisés en production. Le résultat final devrait ensuite être vérifié à la fois pour la divulgation visible et pour la provenance lisible par machine lorsque cela est requis.

Ces tests devraient couvrir les changements prévisibles. Les images devraient être recadrées et compressées. Les textes devraient être traduits et modifiés. L’audio et la vidéo devraient passer par les processus normaux de production et de distribution. La transcription devrait également être testée lorsque c’est pertinent. L’objectif est d’établir quelles transformations préservent un marqueur, lesquelles le dégradent et lesquelles le suppriment entièrement.

Gogia recommande d’auditer les résultats réels depuis la génération jusqu’à la modification et à la publication. À chaque étape, l’organisation devrait identifier qui est responsable, si le marquage requis survit et quelles preuves étayent le résultat ou toute exception invoquée. Lorsqu’un label disparaît, les équipes devraient consigner la cause racine et déterminer si le problème peut se reproduire.

Pour les dirigeants, cela fait de la fiabilité de la provenance une exigence de service mesurable. Les contrats d’achat devraient préciser les méthodes de marquage prises en charge, les modes de défaillance connus, l’accès aux preuves et la notification en cas de changement du comportement technique. Les équipes internes devraient définir des taux de détection acceptables et des processus d’escalade fondés sur l’exigence juridique applicable, plutôt que de supposer qu’une fonctionnalité fournisseur est suffisante.

L’objectif est une transparence durable au point où le contenu atteint l’utilisateur. Tester uniquement le système de génération ne permet pas d’établir ce résultat. Les entreprises ont besoin de preuves issues de l’ensemble du workflow de production.

La transparence de l’IA exige une responsabilité claire, des preuves durables et des contrats fournisseurs plus solides

Le plus grand problème organisationnel est la fragmentation des responsabilités. Un contenu généré par l’IA peut passer par un fournisseur d’IA, une application d’entreprise, un système d’édition, une agence et une plateforme de publication. Aucun participant ne contrôle nécessairement toutes les étapes. Les entreprises doivent donc définir qui est propriétaire de chaque obligation de transparence et quelles preuves chaque partie doit conserver.

Sanchit Vir Gogia, Chief Analyst chez Greyhound Research, regroupe les principales préoccupations autour de la « responsabilité, la durabilité et la preuve ». Il identifie les contrats comme le « point de pression », car de nombreux accords technologiques existants ont été conçus pour fournir du logiciel et ne disent « presque rien » sur la persistance de la provenance, l’accès à la vérification ou la conservation des preuves.

Cette lacune est importante pour les dirigeants de la direction générale. Une entreprise peut porter la responsabilité réglementaire sans avoir, contractuellement, accès aux informations nécessaires pour prouver sa conformité. Si un fournisseur contrôle la technologie de filigrane ou le système de détection, l’entreprise peut dépendre de ce fournisseur pour les enregistrements techniques, les informations sur les défaillances, les changements système et les preuves d’audit.

Les conditions d’achat devraient traiter explicitement ces dépendances. Les contrats devraient définir quelle technologie de marquage est utilisée, où la divulgation est appliquée, comment les informations de provenance sont conservées, quelles transformations sont connues pour les endommager et quelles preuves le client peut obtenir. Les fournisseurs devraient également notifier tout changement de ces mécanismes ou de leurs limites connues.

La responsabilité interne est tout aussi importante. Gogia recommande un registre central couvrant les systèmes d’IA, les obligations applicables, les parties responsables et les preuves justificatives. Les entreprises devraient inventorier les systèmes qui communiquent avec des personnes, génèrent du contenu ou évaluent le sentiment. Elles devraient également classifier si l’organisation agit en tant que fournisseur d’IA, déployeur, ou les deux.

La divulgation destinée à l’utilisateur doit également avoir un responsable nommé. Gogia affirme que les avis doivent être « clairs, distinctifs et accessibles ». Une divulgation cachée dans de longues conditions générales ou accessible seulement après plusieurs étapes de navigation a peu de chances de répondre à cette norme. Pour l’IA conversationnelle, la divulgation devrait apparaître dès la première interaction pertinente plutôt que de dépendre du fait que l’utilisateur trouve une documentation séparée.

La revue humaine exige aussi une définition opérationnelle. Il ne suffit pas d’ajouter « revu par un humain » dans la description d’un workflow. Les entreprises devraient documenter ce que les évaluateurs examinent, quelle autorité ils ont pour modifier ou rejeter un résultat, et qui assume la responsabilité juridique lorsque le contrôle éditorial est pertinent. Ces preuves peuvent devenir critiques lorsqu’une exemption de divulgation dépend d’une supervision humaine significative.

L’application des règles peut différer selon les États membres de l’UE. Gogia recommande donc de maintenir une base commune de transparence et d’y ajouter des exigences locales en matière de langue, de règles sectorielles et de pratiques de marché. Cette approche donne aux multinationales des contrôles de base cohérents sans ignorer les obligations propres à chaque juridiction.

Pour les dirigeants, la priorité est une responsabilité démontrable. Chaque système concerné doit avoir un propriétaire. Chaque divulgation requise doit avoir un contrôle. Chaque contrôle doit générer des preuves. Chaque dépendance critique à un fournisseur doit être soutenue contractuellement. Cette structure rend la transparence de l’IA gérable à mesure que les systèmes, les fournisseurs et les exigences réglementaires évoluent.

La transparence de l’IA doit devenir un contrôle opérationnel et achats permanent

Le 2 août est une date de départ, pas la fin du programme de conformité. Les systèmes d’IA évoluent au gré des mises à jour logicielles, des nouveaux modèles, des changements de fournisseurs et des nouveaux usages métier. Une divulgation qui fonctionne aujourd’hui peut devenir incomplète après n’importe lequel de ces changements. Les entreprises ont donc besoin de contrôles continus plutôt que d’une revue de conformité ponctuelle.

Avant le 2 août, la priorité est la visibilité. Sanchit Vir Gogia, Chief Analyst chez Greyhound Research, recommande aux entreprises d’inventorier chaque système qui communique avec des personnes, génère du contenu ou évalue le sentiment. Chaque système devrait ensuite être classifié selon le rôle de l’entreprise comme fournisseur ou déployeur et rattaché à ses obligations de transparence applicables.

Les entreprises devraient prioriser les cas d’usage les plus risqués plutôt que d’attendre un inventaire parfait. Les divulgations requises devraient être actives au point d’interaction, et chaque contrôle devrait avoir un responsable nommé. Les entreprises doivent également définir ce qui constitue une revue humaine substantielle et conserver des preuves montrant quand cette revue a eu lieu.

Les 30 prochains jours devraient être consacrés à la stabilisation et aux tests. Gogia recommande de vérifier les contrôles de transparence là où les utilisateurs les rencontrent réellement. Les équipes devraient tester si les labels visibles et les signaux de provenance lisibles par machine survivent au recadrage, à la compression, à la traduction, à la transcription et aux autres transformations normales.

Les défaillances devraient déclencher un travail correctif. Lorsqu’une divulgation ou un marqueur de provenance disparaît, l’entreprise devrait consigner la cause, identifier le système ou le fournisseur responsable, déterminer si d’autres contenus sont affectés et tester l’action corrective. Cela crée des preuves montrant que les contrôles sont activement surveillés plutôt que simplement documentés.

Au cours des 90 premiers jours, les achats devraient faire des exigences de transparence une condition standard imposée aux fournisseurs. Gogia recommande d’obtenir des engagements sur les méthodes de marquage, les modes de défaillance connus et l’accès aux preuves. Les contrats devraient également obliger les fournisseurs à notifier les clients lorsque l’un de ces éléments change. C’est important, car une entreprise ne peut pas maintenir des contrôles fiables lorsque des comportements techniques critiques changent sans préavis.

Les achats constituent une contrainte centrale, car une grande partie de la stack IA se situe hors de l’entreprise. Une activité peut dépendre de fournisseurs externes de modèles, de services de génération de contenu, d’outils d’édition, d’applications SaaS et de plateformes de publication. Si ces fournisseurs ne peuvent pas préserver les informations de provenance ou fournir des preuves de vérification, une politique interne ne peut pas, à elle seule, résoudre le problème.

Gogia décrit la conformité durable comme un « contrôle vivant ». Il recommande de maintenir un registre central des systèmes, des obligations et des preuves, de tester les contrôles au point de contact avec l’utilisateur et de vérifier en continu les garanties fournies par les fournisseurs. Cela donne aux dirigeants une vision à jour des systèmes concernés, de leurs responsables et du maintien effectif des contrôles.

Les multinationales doivent également tenir compte des différences d’application. Gogia recommande « une base commune de transparence intégrant traçabilité, responsabilité et preuve, avec des surcouches juridictionnelles pour la langue, les règles sectorielles et les pratiques locales ». Cela permet au modèle de contrôle central de rester cohérent tout en s’adaptant aux exigences nationales ou sectorielles.

L’objectif des dirigeants est un modèle opérationnel reproductible. Avant le 2 août, identifiez les systèmes, déployez les divulgations prioritaires et attribuez les responsabilités. Pendant les 30 premiers jours, testez et stabilisez ces contrôles. Pendant les 90 premiers jours, intégrez les exigences dans les achats. Ensuite, poursuivez la surveillance des systèmes, des fournisseurs, des preuves et des évolutions réglementaires.

Cette approche soutient également l’adoption future de l’IA. Les équipes peuvent introduire de nouveaux systèmes d’IA via un processus établi de classification, divulgation, test, responsabilité et conservation des preuves. La conformité devient alors une composante normale de la gouvernance technologique plutôt qu’un projet supplémentaire à chaque fois que l’entreprise déploie une nouvelle capacité d’IA.

Réflexions finales

Le 2 août fait de la transparence de l’IA une exigence opérationnelle. La tâche immédiate n’est pas d’étiqueter chaque usage de l’IA. Elle consiste à savoir quels systèmes entrent dans le périmètre, quelle divulgation chacun exige, qui est responsable du contrôle et quelles preuves démontrent qu’il fonctionne.

Le problème le plus difficile vient après la mise en œuvre. Les labels peuvent disparaître à mesure que le contenu est modifié. Les systèmes des fournisseurs peuvent changer. Des fonctionnalités d’IA peuvent entrer dans l’entreprise sans supervision centrale. Une politique de conformité ne peut pas gérer seule ces risques. Les entreprises ont besoin de contrôles testés dans des workflows réels et soutenus par des contrats clairs, la conservation des preuves et des responsabilités nominatives.

Les dirigeants devraient utiliser cette échéance pour établir une base durable. Inventoriez les systèmes concernés. Priorisez les divulgations destinées aux utilisateurs. Testez les signaux de provenance après les transformations normales du contenu. Exigez des fournisseurs qu’ils divulguent les modes de défaillance et fournissent des preuves. Puis intégrez ces vérifications dans les achats et la gouvernance IA continue.

Les entreprises qui le font bien obtiennent plus qu’une conformité à l’échéance. Elles créent un processus reproductible pour adopter l’IA tout en maintenant la traçabilité, la responsabilité et la confiance des utilisateurs à mesure que la technologie et sa réglementation évoluent.