Secteur

La conformité passe au premier rang

La conformité fut longtemps un sujet de second rideau. Elle devient un prérequis d’usage, et pas seulement réglementaire.

Pendant dix-huit mois, la conformité dans l’IA juridique a été traitée comme un sujet de second rideau. Les conversations stratégiques portaient sur la performance, l’usage, la productivité. La conformité venait après, à la signature, dans les annexes, dans des onglets de comité que peu lisaient en détail. Une case à cocher, pas un sujet structurant. Cette place, tout le monde la trouvait normale, parce qu’on raisonnait encore comme si la conformité était une formalité à régler une fois l’essentiel décidé.

Cette situation change rapidement, et pas seulement à cause de l’AI Act ou des cadres réglementaires émergents. Elle change parce que la conformité devient, pour les organisations sérieuses, un prérequis d’usage : la condition sans laquelle un déploiement ne peut tout simplement pas avoir lieu. Ce n’est plus le dernier point qu’on vérifie avant de signer, c’est le premier qu’on pose avant même d’envisager un déploiement. La conformité a changé de place dans l’ordre des décisions, et ce déplacement change tout ce qui vient après.

La conformité cesse d’être ce qu’on vérifie à la fin. Elle devient ce qui autorise à commencer.

Pourquoi elle ne pouvait plus rester en annexe

Il faut comprendre pourquoi ce renversement se produit maintenant, et non plus tôt ou plus tard. Tant que l’IA restait cantonnée à des usages expérimentaux, sur des périmètres restreints, la conformité pouvait attendre : peu de dossiers sensibles, peu d’enjeux, peu de regards extérieurs. Dès que l’IA entre dans la production réelle, sur des matières qui comptent, à l’échelle de l’organisation, chaque livrable produit avec son aide devient un livrable dont il faudra peut-être un jour rendre compte. Le volume et la sensibilité franchissent ensemble un seuil, et à ce seuil, la conformité cesse d’être différable.

Ce basculement suit une logique simple : la conformité devient prioritaire au moment précis où son absence devient irréversible. Tant qu’on expérimente, un défaut de conformité se rattrape, parce que peu de choses en dépendent encore. Quand l’IA est déployée à l’échelle et intégrée aux processus, un défaut de conformité contamine rétroactivement des mois de production : tous les livrables produits sans gouvernance deviennent, d’un coup, des livrables non défendables. Attendre pour traiter la conformité, c’est laisser grossir une dette qui devient, passé un certain point, impossible à combler après coup.

C’est pourquoi les organisations lucides cessent de traiter la conformité comme un point d’arrivée pour en faire un point de départ. Non parce que la réglementation les y force, même si elle y contribue, mais parce qu’elles ont compris qu’une conformité rétroactive n’existe pas : on ne rend pas gouvernable, après coup, ce qui a été produit sans gouvernance. La seule conformité qui vaille est celle qui est en place avant que la production ne commence, ce qui la déplace, mécaniquement, du dernier au premier rang des préoccupations.

Cinq interlocuteurs, une même question

La pression ne vient pas d’une seule direction, elle vient de partout à la fois, et c’est ce qui la rend impossible à ignorer. Un client qui confie un dossier sensible veut savoir comment son cabinet utilise l’IA. Un comité de risques qui valide un déploiement veut comprendre quelles données sont traitées, où, par quels modèles. Un régulateur qui s’intéresse au secteur veut une chaîne de preuves. Un assureur veut des garanties opérationnelles. Une direction juridique qui répond à son groupe veut justifier ses choix. Cinq interlocuteurs différents, avec des motivations différentes, convergent vers une même exigence.

Chacun de ces interlocuteurs, indépendamment des autres, pose la même question : sur quoi repose votre conformité IA, concrètement, dans le détail ? Et cette question, posée cinq fois par cinq acteurs différents, ne se satisfait pas d’une réponse de principe. Elle attend une démonstration. La convergence de ces cinq pressions, venues d’horizons sans coordination, est ce qui fait basculer la conformité du second rideau au premier plan : quand la même exigence monte de cinq côtés à la fois, elle cesse d’être un sujet qu’on peut traiter en annexe.

Cette exigence de démonstration révèle une distinction lourde de conséquences, entre deux manières d’être conforme. Une certification est un état, attesté à un instant donné par un tiers ; elle dit que le dispositif était conforme le jour de l’audit. Une trace est un flux, produit en continu par l’usage réel ; elle dit ce qui s’est effectivement passé, dossier par dossier, jour après jour. Un régulateur ou un client averti sait que la première ne garantit pas la seconde, et c’est de plus en plus la seconde qu’il réclame. On ne demande plus « êtes-vous certifié », on demande « montrez-moi ».

Une certification dit que vous êtes conforme en théorie. Une trace montre que vous l’êtes en pratique. Le marché veut désormais la seconde.

Cette bascule de la certification vers la trace a une conséquence que les fournisseurs sous-estiment encore. Une certification s’obtient une fois et s’exhibe ; une trace se produit en continu et ne peut pas se fabriquer après coup. Un fournisseur peut décrocher toutes les certifications du marché et rester incapable de montrer, sur un dossier réel choisi au hasard, comment son outil a été employé, par qui, avec quelles vérifications. La certification rassure sur les intentions et l’architecture générale ; la trace, seule, prouve l’usage réel. Et l’écart entre les deux est exactement celui qui sépare une conformité affichée d’une conformité effective.

Une question d’architecture, pas de fournisseur

Les outils pris séparément ne peuvent pas répondre à cette question. Ils peuvent produire des engagements contractuels, des certifications, des descriptions techniques. Mais ils ne peuvent pas produire, à la demande, une démonstration opérationnelle de leur usage réel dans une organisation, parce que la conformité opérationnelle ne se loge pas dans un outil. Elle se loge dans la manière dont les outils sont articulés, gouvernés, tracés et contrôlés au sein de l’organisation, c’est-à-dire dans quelque chose qui existe entre les outils et au-dessus d’eux, jamais dans l’un d’eux.

Cela en fait une question d’architecture, pas de fournisseur. Les organisations qui veulent tenir dans le temps ne peuvent pas s’en remettre à la qualité individuelle de chacun de leurs outils ; elles doivent porter une couche unifiée au-dessus de la pile, qui sait ce qui se passe, peut le tracer, le présenter, le défendre. C’est cette couche que MAX construit comme Legal Semantic Layer : non pas un module de conformité ajouté, mais une architecture dans laquelle la gouvernance opérationnelle est une propriété structurelle. La conformité n’est pas portée par les modèles ; elle est portée au-dessus d’eux.

Il y a là un avantage que les organisations commencent à percevoir : une conformité inscrite dans l’architecture ne se refait pas à chaque nouvel outil. Quand on remplace un modèle ou qu’on ajoute une brique, la couche de gouvernance reste en place et continue de tracer. La conformité cesse d’être un travail recommencé à chaque évolution de la pile ; elle devient un acquis stable au-dessus d’une pile mouvante. C’est une économie considérable, et surtout une sécurité : on ne redécouvre pas, à chaque changement d’outil, qu’on a perdu sa capacité à rendre des comptes.

Cette trajectoire a une implication stratégique que les dirigeants commencent à intégrer, et qui renverse le sens même du mot conformité. Construire une architecture conforme n’est pas un coût de mise en règle, c’est un actif commercial. Le cabinet qui peut démontrer, à la demande, la gouvernance de son usage de l’IA gagne un avantage concret face au client sensible, au régulateur, à l’assureur. La conformité opérationnelle cesse d’être une contrainte défensive pour devenir un argument offensif, et c’est ce renversement, plus encore que la pression réglementaire, qui va accélérer son adoption. Les organisations qui survivront au prochain cycle de gouvernance n’auront pas les outils les plus conformes ; elles auront une architecture conforme.

On mesure mal, aujourd’hui, la vitesse à laquelle cette exigence se durcit. Il y a un an, présenter une certification suffisait à clore la discussion sur la conformité. Aujourd’hui, les interlocuteurs les plus avertis demandent à voir, sur un dossier réel, comment le travail a été conduit et gouverné. Demain, cette démonstration opérationnelle sera la norme, et les organisations qui ne pourront pas la produire seront écartées non pour défaut de qualité, mais pour défaut de preuve. Ce durcissement ne laisse pas le temps de s’équiper au dernier moment : quand l’exigence deviendra la norme, il sera trop tard pour construire rétroactivement la gouvernance qui aurait dû être là depuis le début.

La conformité n’est plus une contrainte défensive à subir. Elle devient un argument offensif à faire valoir.