5 signes que votre organisation a besoin d'une politique IA

Mise à jour du 18 août 2026. Cet article a été rédigé avant le Digital Omnibus. Le règlement (UE) 2026/1744 a été publié au Journal officiel le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026. Les cinq signes ci-dessous n'en sont pas modifiés. En revanche, les exigences applicables aux systèmes à haut risque ne s'appliquent qu'à partir du 2 décembre 2027 pour les systèmes autonomes relevant de l'Annexe III et du 2 août 2028 pour l'IA intégrée aux produits réglementés, tandis que l'article 4 s'applique depuis le 2 février 2025 et l'article 50 depuis le 2 août 2026.

Les outils d'IA se sont installés discrètement dans le travail quotidien de presque toutes les organisations. Souvent sans que la direction en ait une vue claire, sans politique formelle, et sans règles vraiment explicites. Ce n'est pas un reproche. C'est simplement le rythme habituel de la technologie : elle évolue plus vite que les cadres internes.

Mais l'EU AI Act est là. Et pas « bientôt ». L'obligation relative à la littératie en IA, prévue par l'article 4, s'applique déjà depuis le 2 février 2025. Ce que recouvre l'obligation de littératie en IA sous l'article 4, nous l'expliquons à part. Beaucoup d'organisations pensaient avoir du temps jusqu'en août 2026. Cette image n'est plus exacte : les exigences renforcées pour les systèmes d'IA à haut risque ont été reportées par le Digital Omnibus on AI au 2 décembre 2027 (et au 2 août 2028 pour l'IA intégrée à des produits réglementés). L'obligation de base relative à la littératie en IA, elle, est déjà en vigueur, et l'obligation de transparence de l'article 50 s'applique depuis le 2 août 2026. Le report des exigences les plus lourdes n'est donc pas une raison de rester immobile. La vraie question est donc simple : votre organisation a-t-elle réellement mis de l'ordre dans son usage de l'IA ? Voici cinq signes qui montrent que la réponse est probablement non.

1. Vous ne savez pas quels outils d'IA vos collaborateurs utilisent

C'est de loin le problème le plus fréquent. Demandez à dix collaborateurs s'ils utilisent l'IA au travail, et une bonne partie répondra spontanément non. Demandez ensuite s'ils ont déjà utilisé ChatGPT pour rédiger un e-mail, demandé à Copilot de les aider dans un document, ou utilisé un outil de résumé IA pour des notes de réunion. L'image change immédiatement.

L'usage de l'IA reste souvent invisible parce qu'il est intégré dans des outils existants. Le correcteur qui reformule automatiquement des phrases ? IA. La fonction de recherche de votre CRM qui propose des suggestions « intelligentes » ? IA. L'outil de recrutement qui classe les CV ? IA.

Si votre organisation ne sait pas quels outils sont réellement utilisés, elle ne peut ni évaluer les risques, ni encadrer cet usage de manière responsable, ni démontrer sa conformité à l'EU AI Act. L'ampleur de cet usage non validé dans les organisations plus petites, nous l'avons étudiée dans un livre blanc distinct. Le Scan d'Adoption IA gratuit en dresse un inventaire anonyme, et si vous préférez déléguer l'inventaire complet, c'est ce que propose l'AI Adoption Assessment.

2. Personne ne sait clairement ce qui est autorisé et ce qui ne l'est pas

Dans beaucoup d'organisations sans politique IA, une règle implicite s'installe : si l'outil fonctionne, on l'utilise. Or, l'EU AI Act distingue clairement ce qui est permis de ce qui ne l'est pas.

La reconnaissance des émotions sur le lieu de travail ? Interdite. Le social scoring appliqué aux collaborateurs ? Interdit. L'usage de l'IA dans le recrutement sans supervision humaine ? Usage à haut risque, avec des exigences strictes applicables à partir du 2 décembre 2027. Un chatbot sur votre site sans indiquer qu'il s'agit d'une IA ? Cela pose un problème de transparence.

Sans politique claire, personne ne connaît la limite. Et lorsqu'une limite n'est pas connue, elle finit presque toujours par être dépassée. Nous avons détaillé séparément les cas où vous devez signaler l'usage de l'IA aux personnes concernées. C'est dans le recrutement et la sélection que l'enjeu est le plus vif.

3. Des informations sensibles sont partagées avec des outils d'IA publics

C'est souvent le risque qui peut s'aggraver le plus vite. Un collaborateur colle des données clients dans ChatGPT pour formuler une réponse. Un responsable RH introduit des données de candidature dans un outil d'IA pour générer un e-mail d'évaluation. Un administrateur IT partage du code avec un assistant IA public.

À ce moment-là, ces données quittent votre organisation. Elles sont traitées sur des serveurs hors de votre contrôle, potentiellement en dehors de l'Union européenne, et peuvent, selon l'outil ou la version utilisée, être exploitées dans des processus d'amélioration de modèles. Ce n'est pas seulement une question liée à l'EU AI Act. C'est aussi un enjeu GDPR.

Une bonne politique IA commence souvent par une règle très simple : quelles données peuvent être introduites, dans quels outils, et dans quelles conditions ? Il ne faut pas forcément un document de trente pages. Deux pages claires, concrètes et connues de tous font déjà une différence considérable. Pour ne pas partir d'une page blanche, vous pouvez vous appuyer sur notre modèle de deux pages.

4. Personne n'est réellement responsable de l'IA dans votre organisation

Dans beaucoup de PME et d'administrations locales, il n'existe pas de responsable IA clairement désigné. L'IT gère les systèmes, mais ne se sent pas toujours responsable de la manière dont les collaborateurs utilisent les outils d'IA. Les RH considèrent souvent qu'il s'agit d'un sujet technique. La direction n'a pas encore structuré le sujet.

Résultat : personne n'a une vue d'ensemble, personne ne signale les risques à temps, et personne ne prend réellement la main lorsqu'un problème survient.

L'EU AI Act n'impose pas de créer un service dédié à l'IA, mais une organisation qui déploie de l'IA a besoin de quelqu'un qui attribue les responsabilités, soutienne la littératie en IA, veille aux obligations de transparence et consigne ce qui se passe. Une seule personne peut suffire, à condition qu'elle ait le mandat nécessaire pour inventorier les usages, proposer une politique, coordonner les actions et servir de point de contact. Savoir si votre organisation agit comme fournisseur ou comme déployeur change ce que l'on attend d'elle, et ce qu'exige la loi elle-même figure sur notre page pilier consacrée à l'article 4.

5. Vous ne pouvez pas démontrer, en cas d'audit, ce que vous avez réellement mis en place

Imaginons qu'un incident survienne. Un candidat se plaint d'une discrimination liée à un outil de sélection assisté par IA. Un citoyen estime qu'un système a influencé de manière injuste une décision concernant son dossier. Un régulateur pose des questions sur l'usage de l'IA dans votre organisation.

La première question sera presque toujours la même : qu'avez-vous fait pour prévenir cela ? Avez-vous formé vos collaborateurs ? Avez-vous une politique ? Avez-vous évalué les risques ?

Si la réponse est : « nous n'y avions pas encore vraiment réfléchi », vous avez un problème. Pas seulement sur le plan juridique, mais aussi en matière de réputation et de crédibilité. En Belgique, la Gegevensbeschermingsautoriteit / Autorité de protection des données (GBA/APD) joue un rôle de plus en plus visible, en particulier lorsque des fuites de données ou des usages imprudents d'outils publics apparaissent. Et l'analyse ne s'arrête pas au seul GDPR : elle s'inscrit de plus en plus dans le contexte plus large de la gouvernance de l'IA.

Un certificat par collaborateur, une politique documentée, un inventaire des systèmes d'IA : voilà ce qui permet de démontrer que votre organisation agit sérieusement. Tout ne doit pas être parfait. Mais tout doit être démontrable. Ce que « démontrable » recouvre concrètement, vous le parcourez étape par étape avec notre checklist de conformité EU AI Act gratuite. Ce qui a changé et ce qui n'a pas changé au niveau du contrôle le 2 août 2026, nous l'avons décrit séparément.

Que faire maintenant ?

Si vous vous reconnaissez dans un ou plusieurs de ces signes, ce n'est pas une raison de paniquer. C'est une raison de commencer. La majorité des organisations en sont encore là.

Commencez par inventorier vos usages de l'IA. Désignez un responsable. Faites suivre à vos collaborateurs une formation de base adaptée à leur rôle. Et documentez ce que vous faites. Comment faire ensuite vivre cette politique, du papier à la pratique, avec un rythme de contrôle fixe : nous l'expliquons dans notre article sur la formation en littératie en IA dans la pratique.

L'EU AI Act n'est pas une destination finale. C'est un point de départ vers un usage plus responsable de l'IA. Et les organisations qui commencent tôt n'ont pas seulement une meilleure conformité : elles ont aussi des collaborateurs qui utilisent l'IA de manière plus sûre, plus pertinente et plus efficace.

Une politique devient nettement plus défendable dès lors que vos collaborateurs ont été formés de manière démontrable, de préférence avec un certificat indiquant les objectifs pédagogiques couverts. C'est toute la différence entre une intention et une preuve. Notre formation à la littératie en IA au titre de l'EU AI Act est construite pour cela, et le prix par personne est indiqué en toute transparence sur la page des tarifs. Ce que la formation rapporte, nous l'avons calculé séparément. Les évolutions du cadre réglementaire, nous les suivons chaque jour ouvré via notre Moniteur EU AI Act. Et sinon, contactez-nous.

Rédigé par Rob Ummels en collaboration avec Claude (Anthropic). Responsabilité éditoriale : AIAdopt.