Où en sont les entreprises dans la mise en conformité de l’AI Act ? « C’est en cours », résume Isabelle Budor, vice-présidente de Capgemni, lors d’une conférence organisée par EQS Group le 24 septembre. Leurs niveaux de maturité varient. « 60 à 80 % des organisations ne seraient pas tout à fait prêtes », estime-t-elle. Autrement dit, à peu près 30 % des entreprises ont bien avancé.
Premier chantier engagé : la gouvernance. A la question de savoir qui doit piloter le programme, plusieurs réponses sont possibles. « Il existe aujourd’hui deux modèles principaux, plus un troisième », explique Isabelle Budor. Le premier est le binôme conformité/IA, fréquent et en pleine croissance. Il s’agit notamment du modèle choisi par La Poste. « Nous avons échangé rapidement avec le CEO pour savoir comment travailler et avancer », témoigne Damien Legoff, DPO du groupe. « Le constat, qui a été très rapidement posé, est que le DPO est le plus à même de piloter le programme mais il ne peut le faire tout seul. Un copilotage assez fort avec la data est nécessaire », poursuit-il.
Option inverse : les équipes Data/IA pilotent le programme et la direction juridique et conformité arrive en renfort. « Ce modèle a pas mal fonctionné au début car la direction Data/IA est en pratique plus experte pour mettre en place les cartographies », précise Isabelle Budor. Enfin, le troisième modèle passe par un comité qui réunit le DPO, la conformité ou le juridique, les responsables Data/IA et les opérationnels tels que les achats. « C’est une gouvernance globale avec décision collégiale car tous les métiers sont touchés », poursuit la vice-présidente.
La cartographie des risques est l’un des chantiers les plus structurants pour les mois à venir. Longue à mettre en place, elle est une « pierre angulaire sur laquelle l’ensemble de la conformité va s’appuyer », déclare Isabelle Budor. Les entreprises ont commencé à recenser leurs systèmes d’IA mais l’exercice ne doit pas se limiter à dresser une liste des outils utilisés. Au contraire, l’entreprise doit s’atteler à classifier les systèmes puis déterminer les obligations applicables. « Nous avons développé un outil interne qui nous permet d’identifier nos fournisseurs, la finalité du système d’IA, les cas d’usage qui y sont associés », déclare Damien Legoff.
Autre point de contrôle : s’assurer que les premières obligations sont inscrites dans les politiques internes et effectivement déployées. « Notre priorité est désormais la transparence. Nous avons des échéances qui courent jusqu’au mois de décembre et nous devons nous assurer que tous les systèmes d’IA nécessitant une obligation de transparence soient conformes », explique Damien Legoff.
Reste une difficulté. Les entreprises doivent construire leur programme de conformité alors que le cadre réglementaire continue de se préciser. Certaines lignes directrices de la Commission européenne sont encore attendues. Les juristes doivent donc arbitrer. « Nous sommes sur un terrain mouvant », rapporte Damien Legoff. « Nos positions seront confirmées ou infirmées par des décisions futures. Nous avons déjà vécu une expérience similaire avec le RGPD. On essaie, on tente, on réussira. L’important est de ne pas prendre du retard et de toujours garder la main », poursuit-il.
Pour les entreprises les moins avancées, des mesures transitoires peuvent permettre de sécuriser les usages dans l’attente d’un dispositif plus mature. Malgré des échéances échelonnées, le principal enjeu reste identique : savoir quels systèmes d’IA sont utilisés dans l’entreprise, quels risques ils présentent et être capable de justifier les choix effectués pour les encadrer.