AI Act, RGPD, souveraineté : le vrai coût de la conformité IA en 2026
Le cadre AI Act entre en pleine application en 2026. Voici les 3 postes de coût réels que les directions IT et juridiques sous-estiment encore, et la façon dont nous les chiffrons en mission de cadrage.
L'AI Act européen est entré en vigueur en août 2024. Ses obligations principales s'appliquent progressivement entre 2025 et 2027. Les directions juridiques s'y préparent. Les directions IT, elles, découvrent souvent en cours de projet le coût opérationnel réel, qui dépasse largement le périmètre purement légal.
Poste 1 : la cartographie des systèmes IA en place
Avant de qualifier un système (risque inacceptable, élevé, limité, minimal), il faut savoir ce que l'on a en production. Or la plupart des grandes entreprises n'ont pas d'inventaire à jour. Les modèles ont été déployés par les métiers, parfois via des SaaS tiers, sans visibilité centrale. Compter 4 à 12 semaines de cartographie pour une organisation de 1 000 personnes.
Poste 2 : la documentation technique et la traçabilité
Pour les systèmes qualifiés à haut risque, l'AI Act impose une documentation technique détaillée : jeux de données utilisés, méthodologie d'entraînement, métriques de performance, journaux d'utilisation. Cela exige une chaîne d'outils MLOps que peu d'organisations ont. Pour un système haut risque, le coût d'instrumentation est significatif dès la première année.
- Registre des modèles avec métadonnées versionnées
- Logs d'inférence horodatés et conservés 6 ans minimum
- Pipeline d'évaluation continue des biais et de la dérive
- Procédure documentée de supervision humaine
Poste 3 : la souveraineté des données et le choix des modèles
Pour les données sensibles (santé, RH, financier, secret industriel), l'usage de modèles US grand public devient juridiquement risqué, ou simplement contractuellement interdit par les clients grands comptes. La parade : routage intelligent vers des modèles européens hébergés (Mistral, Pléiade, déploiements Azure EU) pour les flux sensibles, modèles globaux pour le reste. Le surcoût d'infrastructure varie selon le mix.
« Le coût de la conformité IA n'est pas une amende potentielle. C'est une ligne d'opex récurrente qu'il faut intégrer au TCO de chaque projet dès le cadrage. »
Comment le chiffrer en cadrage
Notre méthode : pour chaque cas d'usage envisagé, nous produisons une fiche conformité en 1 page (catégorie de risque AI Act, données concernées, modèle recommandé, surcoût annuel estimé). Elle est jointe au business case dès le go/no-go. Ce qui évite les mauvaises surprises 6 mois plus tard, quand le DPO bloque le déploiement.
L'AI Act n'est pas un frein. C'est une grille de lecture qui force les organisations à arrêter de lancer des projets IA en aveugle. Bien menée, la conformité devient un atout commercial, surtout face à des clients grands comptes qui exigent désormais une attestation de gouvernance IA dans leurs RFP.
