TRIBUNE D'EXPERT

L'Europe rend l'IA transparente. Pas la dépendance qu'elle crée.

Par Jacky Galicher, consultant, ancien DSI de l'académie de Normandie

Le 2 août 2026, l'article 50 de l'AI Act imposera une nouvelle transparence sur l'usage de l'IA. C'est une bonne nouvelle. Mais attention : une organisation peut parfaitement savoir qu'elle utilise une intelligence artificielle. Elle peut, dans le même temps, avoir déjà perdu la maîtrise de son système d'information.

Le 20 juillet, la Commission européenne a publié ses lignes directrices sur les obligations de transparence de la législation sur l'IA (article 50). Ainsi, à partir du 2 août, les fournisseurs devront signaler qu'un utilisateur dialogue avec une IA. Par ailleurs, les contenus générés devront porter une marque lisible par machine. Une échéance complémentaire, le 2 décembre, imposera enfin cette traçabilité aux systèmes déjà déployés.

C'est une avancée réelle. C'est aussi, si l'on n'y prend garde, un trompe-l'œil. Car certains DSI et RSSI pourraient croire avoir réglé la question de leur dépendance en cochant une simple case de conformité.

Transparence IA : étiqueter n'est pas gouverner

L'Europe demande d'identifier une IA. Elle ne demande pas, en revanche, d'évaluer la dépendance qu'elle crée. Or c'est précisément cette dépendance qui déterminera demain la capacité d'une organisation à rester maîtresse de son système d'information.

La transparence, telle que la définit l'article 50, répond à une question précise : sait-on qu'on interagit avec une IA ? Sait-on qu'un contenu en est issu ? C'est une exigence de loyauté envers l'utilisateur final. Elle ne traite pas, cependant, de la gouvernance de la dépendance au fournisseur. Elle ne dit rien non plus de la réversibilité ou de la maîtrise des choix d'architecture.

Une DSI peut être parfaitement transparente vis-à-vis de ses usagers. Elle peut, dans le même temps, avoir progressivement perdu sa capacité interne à comprendre, faire évoluer ou remplacer les solutions utilisées. En effet, le marquage machine-readable d'un contenu généré ne renseigne en rien sur la réalité du pouvoir de décision. Il ne dit rien de qui détient, concrètement, la capacité de faire évoluer, corriger ou remplacer le système qui l'a produit.

Le risque d'une conformité qui rassure à tort

L'expérience du terrain m'a appris une régularité. J'ai passé 15 ans à la tête du SI de l'académie de Versailles, puis conduit la fusion Caen-Rouen. Ainsi, chaque fois qu'une obligation réglementaire est bien conçue mais circonscrite, elle tend à devenir, dans les organisations, le nouvel horizon de la conformité. Le risque avec l'article 50 est identique à celui que j'ai documenté sur d'autres dossiers. Certaines DSI vont en effet investir dans le marquage et l'étiquetage. Elles obtiendront leur satisfecit d'audit. Et elles considéreront, à tort, la question de leur dépendance à l'IA comme close.

Or la gouvernance précède la technologie. Ce n'est pas le label apposé sur le contenu qui protège une organisation d'une dépendance cognitive croissante envers un éditeur ou un hyperscaler. C'est plutôt la capacité, en amont, à poser les bonnes clauses contractuelles. C'est aussi la capacité à évaluer son indice de capital de maîtrise et à garantir la réversibilité technique. L'actualité VMware-Broadcom a d'ailleurs rappelé cet enjeu critique à nombre de DSI.

Ce que l'article 50 sur la transparence de l'IA devrait déclencher, et ne déclenchera pas seul

Le calendrier est révélateur. Le rapport parlementaire Chatelain-Latombe (n° 3054) sur les dépendances numériques et l'entrée en application de l'article 50 tombent en effet à quelques semaines d'intervalle — quelques semaines à peine après l'adoption de l'AI Omnibus, qui redessine déjà une partie du calendrier de conformité. Les deux textes parlent de souveraineté, mais à des étages différents. L'un se situe à l'étage de l'usager final, l'autre à celui de l'infrastructure et des choix d'architecture. Ainsi, une DSI qui se contenterait de traiter le premier sans avoir engagé le second n'aurait fait qu'un tiers du chemin.

L'obligation de transparence devrait donc être l'occasion, pour chaque DSI, de conduire une véritable analyse de dépendance des systèmes d'IA en production. C'est précisément l'objectif de l'AIDN (Analyse d'Impact des Dépendances Numériques), le cadre d'analyse que je développe pour aider les organisations à évaluer leurs dépendances numériques. Appliquée à chaque système d'IA, elle pose ainsi trois questions :

• Souveraineté juridique & hébergement : qui héberge les modèles, et sous quel droit ?
• Réversibilité & architecture : quelles sont les conditions réelles de sortie ou de migration ?
• Capital de maîtrise : quel degré de dépendance cognitive s'est installé au sein même des équipes métiers et techniques ?

Ce travail ne figure dans aucune ligne directrice de la Commission. Il reste, comme toujours, à la charge de la gouvernance interne.

Une fenêtre à ne pas laisser se refermer sur une simple case cochée

Le code de bonnes pratiques accompagnant les lignes directrices offre une sécurité juridique bienvenue. Mais la sécurité juridique n'est pas la souveraineté cognitive.

Une IA transparente n'est pas nécessairement une IA maîtrisée.

La conformité répond à une question : « Sommes-nous en règle ? ». La gouvernance en pose une autre : « Restons-nous libres de nos choix demain ? »

La souveraineté numérique ne commence pas lorsqu'une IA se déclare. Elle commence lorsqu'une organisation reste capable de s'en passer.

Jacky Galicher est consultant en gouvernance IT et souveraineté numérique, ancien DSI de l'académie de Normandie et de l'académie de Versailles. Il est l'auteur du cadre conceptuel AIDN (Analyse d'Impact des Dépendances Numériques).