Gouvernance de l’IA : ce que le règlement exige vraiment d’une organisation

« Gouvernance de l’IA » désigne, sur le marché, à peu près tout : un comité, une charte, un registre, un responsable désigné. Le règlement, lui, est beaucoup plus économe, et beaucoup plus précis là où il exige quelque chose.

Cette page traite l’organisation interne. Le document de charte a sa propre page, et la norme ISO/IEC 42001 la sienne.

Le règlement impose-t-il une gouvernance de l’IA ?

Il n’impose ni comité ni politique sous ce nom, et il en impose pourtant les éléments. Le mot « gouvernance » existe dans le règlement — c’est l’intitulé de son chapitre VII, et l’article 27 parle de « gouvernance interne » — mais aucune disposition n’exige un « comité IA » ni une « politique IA ». Ce que le texte exige, ce sont des choses précises : un système de gestion de la qualité chez le fournisseur, des personnes dotées de l’autorité nécessaire chez le déployeur, des durées de conservation, et une analyse d’impact pour certains.

Une seule ligne est exigible aujourd’hui. Toutes les autres relèvent des sections 2 et 3 du chapitre III, reportées au 2 décembre 2027 pour l’annexe III et au 2 août 2028 pour l’annexe I, et l’article 111, paragraphe 2 en exonère les systèmes déjà sur le marché tant qu’ils ne subissent pas d’importantes modifications de conception, sauf s’ils sont destinés à être utilisés par des autorités publiques : ceux-là doivent en tout état de cause être conformes au 2 août 2030.

Faut-il créer un comité IA ?

Le règlement ne demande pas un comité, il demande une autorité. L’article 26, paragraphe 2 impose de confier le contrôle humain à des personnes qui ont les « compétences, la formation et l’autorité nécessaires ainsi que le soutien nécessaire ». Un organigramme ne remplit pas cette condition ; le pouvoir de refuser une sortie du système, oui.

C’est la disposition de gouvernance la plus concrète du règlement, et elle est rarement citée. L’article 26, paragraphe 2 impose au déployeur d’un système à haut risque de confier le contrôle humain à des personnes physiques qui disposent des « compétences, de la formation et de l’autorité nécessaires ainsi que du soutien nécessaire ».

Quatre conditions, donc, et les deux dernières sont celles qui manquent presque toujours. Une organisation qui désigne un opérateur pour « valider » les sorties d’un système sans lui donner le pouvoir de les refuser, ni le temps ni l’appui pour le faire, ne remplit pas cette condition, quel que soit son organigramme.

C’est aussi ce qui distingue le contrôle humain réel de la case à cocher : le premier suppose une autorité, la seconde une procédure.

Qu’est-ce que le système de gestion de la qualité de l’article 17 ?

Pour le fournisseur d’un système à haut risque, l’article 17 impose un système de gestion de la qualité documenté « sous la forme de politiques, de procédures et d’instructions écrites », couvrant treize aspects, de la stratégie de conformité réglementaire au « cadre de responsabilisation définissant les responsabilités de l’encadrement ».

C’est la seule disposition qui touche à l’organisation de la direction. Elle ne dit pas qui doit être responsable ; elle dit que la répartition doit être écrite.

Deux tempéraments, et un seul vient de l’omnibus. La mise en œuvre « est proportionnée à la taille de l’organisation du fournisseur, en particulier si le fournisseur est une PME, y compris une jeune pousse, ou une petite entreprise à moyenne capitalisation », sans que cela abaisse « le degré de rigueur et le niveau de protection requis » : c’est l’apport de l’omnibus, marqué comme tel dans le texte consolidé. Le second relève du texte de base de 2024 — les établissements financiers déjà soumis aux exigences de gouvernance interne du droit européen des services financiers sont réputés satisfaire à l’obligation, sauf sur trois points : gestion des risques, surveillance après commercialisation et signalement des incidents graves.

Qui doit l’analyse d’impact sur les droits fondamentaux ?

Pas tous les déployeurs, contrairement à ce qu’on lit souvent. L’article 27 ne vise que les déployeurs qui sont des organismes de droit public ou des entités privées fournissant des services publics, et tous les déployeurs des systèmes des points 5 b) et 5 c) de l’annexe III — solvabilité et tarification en assurance vie et santé.

L’article 27 est souvent présenté comme une obligation générale des déployeurs. Elle ne l’est pas.

Elle pèse sur : les déployeurs de systèmes de l’annexe III qui sont des organismes de droit public ou des entités privées fournissant des services publics ; et tous les déployeurs des systèmes de l’annexe III, points 5 b) et 5 c) (évaluation de la solvabilité ou établissement de la note de crédit, et évaluation des risques et tarification en assurance-vie et assurance maladie). Les systèmes du point 2, les infrastructures critiques, en sont exclus.

Elle contient : la description des processus concernés, la période et la fréquence d’utilisation, les catégories de personnes et de groupes concernés, les risques spécifiques de préjudice, la mise en œuvre du contrôle humain, et les mesures en cas de matérialisation des risques, « y compris les dispositifs relatifs à la gouvernance interne et aux mécanismes de plainte internes ». C’est là, et seulement là, que le règlement nomme la gouvernance interne.

Elle se fait à la première utilisation, se réutilise pour des cas similaires, se met à jour si un élément change, et ses résultats sont notifiés à l’autorité de surveillance du marché.

Et elle s’articule avec le RGPD sans s’y substituer. Lorsqu’une obligation est déjà remplie par l’analyse d’impact relative à la protection des données, le déployeur « peut […] inclure des renvois aux sections pertinentes de cette analyse d’impact […] ou en intégrer les parties pertinentes ». Des renvois, donc, pas une dispense.

Peut-on s’appuyer sur sa gouvernance RGPD ?

Sur son organisation, oui. Sur ses qualifications, non. Le piège est simple à énoncer et coûteux à commettre : une qualification au titre de l’IA Act ne détermine aucune qualification au titre du RGPD.

Être fournisseur au sens de l’article 3, point 3 ne dit rien de la qualité de responsable de traitement, de responsable conjoint ou de sous-traitant. Les critères sont différents, les textes sont différents, et les deux analyses se mènent séparément. Une gouvernance qui déduit l’une de l’autre (parce que c’est plus simple sur un tableau) se trompera dans les deux sens.

Que faut-il tracer, et pendant combien de temps ?

Six mois au moins pour le déployeur, dix ans pour le fournisseur. Le déployeur conserve les journaux générés automatiquement qui sont sous son contrôle, article 26, paragraphe 6. Le fournisseur conserve la documentation technique, celle du système qualité, les décisions des organismes notifiés et la déclaration UE de conformité, article 18.

Deux durées, qui ne se confondent pas et ne pèsent pas sur le même acteur.

Six mois au moins, pour les journaux générés automatiquement et se trouvant sous le contrôle du déployeur d’un système à haut risque (article 26, paragraphe 6).

Dix ans après la mise sur le marché ou la mise en service, pour le fournisseur : documentation technique, documentation du système de gestion de la qualité, documentation des modifications approuvées, décisions des organismes notifiés, et déclaration UE de conformité (article 18).

S’y ajoute, pour le déployeur employeur, une obligation qui n’est pas de conservation mais de séquence : informer les représentants des travailleurs et les travailleurs concernés avant de mettre en service ou d’utiliser un système à haut risque sur le lieu de travail (article 26, paragraphe 7).

Par quoi commencer une gouvernance IA utile ?

Rien de ce qui précède n’impose d’attendre décembre 2027. Mais l’ordre des priorités n’est pas celui que le marché propose.

Ce qui est exigible se traite d’abord : les pratiques interdites, la maîtrise de l’IA, et l’article 50. Aucune des trois ne suppose un comité ; toutes les trois supposent de savoir quels systèmes existent, ce qui renvoie au recensement.

Ce qui ne l’est pas se prépare, en le disant. Documenter un cadre de responsabilisation ou un système de gestion de la qualité avant qu’il ne soit dû est raisonnable : ces chantiers se comptent en trimestres. Le présenter comme une conformité acquise ne l’est pas.

Sur quoi cette page s’appuie

Les articles 4, 17, 18, 26 et 27 du règlement (UE) 2024/1689 dans sa version consolidée au 27 juillet 2026, telle que modifiée par le règlement (UE) 2026/1744, le texte qui fait foi restant celui publié au Journal officiel. Les dates d’exigibilité viennent des articles 111 et 113. L’articulation avec le RGPD est traitée au niveau où elle est établie : la séparation des qualifications. Le modèle de questionnaire que le Bureau de l’IA doit élaborer au titre de l’article 27 n’a pas été trouvé publié au 23 août 2026, et cette page n’en décrit donc pas le contenu.

Sources. Règlement (UE) 2024/1689, version consolidée au 27 juillet 2026 et règlement (UE) 2026/1744, consultés le 27 août 2026.

Ce contenu est une ressource d’information technique et réglementaire. Il ne constitue pas un conseil juridique.