Le 2 août 2026, les premières obligations spécifiques aux systèmes IA à haut risque de l'EU AI Act sont entrées en vigueur — conformément au calendrier fixé par le règlement européen. Quarante-huit heures plus tard, le constat est sans appel : la majorité des organisations régulées n'ont pas finalisé leur documentation technique, leurs évaluations de conformité demeurent incomplètes, et la supervision humaine des systèmes concernés reste plus formelle que substantielle. Une enquête de l'ISACA publiée fin juillet 2026 révèle que 61 % des Directeurs GRC dans les organisations de plus de 500 collaborateurs n'avaient pas encore identifié l'intégralité de leurs systèmes IA à risque élevé à trois semaines de la date limite. L'EU AI Act n'est pas une révolution en marche — c'est un révélateur du retard structurel de la gouvernance IA.
Ce que la deadline du 2 août 2026 impose réellement
Il est utile de rappeler ce que la deadline du 2 août n'est pas : ce n'est pas une date de mise en conformité totale. C'est la date à partir de laquelle les obligations de documentation technique, d'évaluation ex-ante de la conformité et de systèmes de supervision humaine deviennent opposables pour les fournisseurs et déployeurs de systèmes IA classifiés à risque élevé selon l'Annexe III du règlement.
Systèmes concernés en priorité : les outils de scoring de crédit, les logiciels de recrutement et d'évaluation des candidats, les systèmes de décision dans les services publics essentiels, les plateformes d'analyse biométrique à des fins de contrôle d'accès, et les systèmes de surveillance de l'infrastructure critique. Pour une organisation mid-market française active dans les services financiers, les RH ou les services aux entreprises, deux à cinq systèmes en production entrent probablement dans le périmètre — sans que leurs équipes IT l'aient formellement documenté.
Les sanctions prévues pour les déployeurs d'IA à risque élevé non conformes atteignent 15 M€ ou 3 % du chiffre d'affaires mondial annuel. La Commission européenne a confirmé que les premières vérifications par les autorités nationales sont prévues au quatrième trimestre 2026.
Les trois lacunes que les premières 48 heures ont exposées
L'observation du marché depuis la deadline révèle trois lacunes structurelles récurrentes, indépendantes du secteur d'activité.
1. L'inventaire des systèmes IA à risque élevé n'est pas finalisé dans la majorité des organisations. La difficulté n'est pas technique — c'est organisationnelle. Les systèmes IA à risque élevé sont rarement étiquetés comme tels dans les inventaires SI existants. Un module de scoring intégré dans un ERP, une fonctionnalité de matching automatique dans un ATS, un algorithme de priorisation dans un outil de ticketing : ces composants ne font pas l'objet d'une fiche d'inventaire distincte. Une étude IBM Security publiée en juin 2026 sur 350 entreprises européennes indique que 67 % d'entre elles ne disposent pas d'un registre IA formalisé au sens de l'EU AI Act. Sans inventaire, toute démarche de conformité reste suspendue dans le vide.
2. La documentation technique exigée est sous-estimée en volume et en complexité. L'EU AI Act impose pour chaque système IA à risque élevé un dossier technique incluant : la description détaillée du système et de ses composants, les données d'entraînement et les critères de qualité utilisés, les résultats des tests de performance et de robustesse, les mesures de supervision humaine prévues, et les procédures de journalisation et d'audit de traçabilité. Pour un système IA fourni par un tiers, une grande partie de cette documentation incombe au fournisseur — mais sa récupération et sa validation incombent au déployeur. Les équipes GRC de la plupart des organisations n'ont ni le template, ni le processus, ni les interlocuteurs fournisseurs identifiés pour collecter ces éléments.
3. La supervision humaine reste déclaratoire plutôt que substantielle. L'Article 14 du règlement impose que les systèmes IA à risque élevé permettent à des opérateurs humains compétents de comprendre les capacités et limites du système, de détecter et corriger les défaillances, et d'intervenir ou d'interrompre le système. Dans la pratique, les "procédures de supervision humaine" documentées se limitent souvent à une case cochée dans le contrat fournisseur ou à une référence générique dans la politique d'utilisation de l'IA. La vérification concrète — est-ce que l'opérateur peut réellement comprendre une décision, identifier une anomalie, et agir en conséquence ? — est rarement testée.
Ce que font les organisations qui ont une longueur d'avance
Les organisations qui ont anticipé (environ 15 % dans le mid-market selon Forrester) partagent trois pratiques opérationnelles distinctives.
Elles traitent l'inventaire IA comme un processus continu, pas comme un projet ponctuel. Chaque nouveau système ou mise à jour significative déclenche une évaluation de classification EU AI Act, intégrée dans le processus d'achat et de déploiement. Ce réflexe organisationnel — demander systématiquement "est-ce que ce système prend ou assiste des décisions à fort impact humain ?" — est plus difficile à instaurer qu'il n'y paraît, mais c'est le fondement de tout le reste.
Elles consolident les obligations EU AI Act avec leurs obligations RGPD et NIS2 existantes, plutôt que de créer un troisième programme isolé. Les données d'entraînement des systèmes IA sont couvertes par le RGPD. La supervision des fournisseurs IA relève de NIS2 pour les entités essentielles. Les journaux d'audit IA s'intègrent dans les systèmes de traçabilité DORA pour les entités financières. Une approche convergente réduit de 40 à 50 % le volume de documentation à produire, selon les analyses de Deloitte sur les premières mises en conformité EU AI Act en Europe.
Elles investissent dans la formation des opérateurs humains, pas seulement dans la rédaction de procédures. La supervision humaine substantielle — au sens de l'Article 14 — requiert que les opérateurs comprennent concrètement ce que le système fait, comment il peut se tromper, et dans quelles conditions leur intervention est nécessaire. Une demi-journée de formation ciblée par catégorie d'opérateurs, avec des exercices sur des scénarios de défaillance réels, produit une supervision plus robuste que dix pages de documentation que personne ne consulte. Voir aussi notre analyse sur NIS2, DORA et EU AI Act : cartographier la convergence sans dupliquer vos efforts.
Par où commencer maintenant
Si votre organisation n'a pas encore formalisé son périmètre EU AI Act, voici la séquence qui produit le plus de valeur dans les 30 premiers jours.
Commencez par un inventaire rapide en trois questions pour chaque système IA en production : Ce système prend-il ou assiste-t-il des décisions qui affectent directement des droits ou des opportunités pour des personnes physiques ? Traite-t-il des données biométriques, de santé, ou des données sensibles au sens du RGPD ? Est-il utilisé dans un contexte d'infrastructure critique, de services financiers, d'emploi ou de services publics essentiels ? Trois « oui » consécutifs signalent un système à risque élevé probable.
Ensuite, demandez à vos fournisseurs leur documentation technique EU AI Act. Les fournisseurs conformes doivent être en mesure de la fournir sur demande. L'absence de réponse dans un délai raisonnable est en soi un signal de risque fournisseur à documenter dans votre registre TPRM.
→ Presidio intègre un module de classification EU AI Act qui permet de cartographier votre portefeuille de systèmes IA, de collecter la documentation fournisseur, et de générer le registre de conformité exigé par le règlement : demandez une évaluation de 30 minutes pour qualifier votre exposition.
Conclusion
L'EU AI Act n'est pas une réglementation qui attend. Les autorités nationales ont annoncé leurs premières vérifications pour le quatrième trimestre 2026, et les sanctions pour les déployeurs non conformes sont significatives. Mais au-delà de la conformité réglementaire, le retard de la majorité des organisations révèle un problème de fond : l'IA est entrée dans les organisations par la porte des achats et des projets, sans jamais franchir la porte de la gouvernance. L'EU AI Act est l'occasion — et maintenant l'obligation — de corriger cela. Les organisations qui s'y attellent maintenant ne construisent pas seulement une conformité défensive. Elles construisent une gouvernance IA qui leur permettra de déployer de nouveaux systèmes plus vite, avec une prise de risque maîtrisée. Dans votre portefeuille de systèmes IA actuels, combien n'ont pas encore fait l'objet d'une évaluation de classification ?