Les autorités sont désignées. Ce qu'elles peuvent demander.

Le 2 août, trois obligations du règlement européen sur l'intelligence artificielle sont devenues exigibles pour les cabinets et les directions juridiques : l'interdiction de certaines pratiques, une obligation de moyens sur la compétence des équipes, et les obligations de transparence de l'article 50.

Six semaines plus tôt, un règlement modificatif avait reporté à décembre 2027 les obligations du régime à haut risque. Beaucoup ont retenu le report et en ont conclu qu'il n'y avait rien à faire cet automne. C'est l'erreur la plus répandue de la rentrée : deux blocs distincts ont été confondus.

Mais l'événement du 2 août n'est pas la liste des obligations, dont deux existaient depuis février 2025. C'est le dispositif qui les fait respecter. Les autorités nationales compétentes sont désormais désignées, avec leurs pouvoirs d'instruction et de sanction.

Pour un cabinet, cela déplace la question. Le montant théorique d'une amende n'est pas ce qui compte : ce qui compte est qu'une autorité qui vous interroge sur vos usages attend une réponse documentée. Et qu'une absence de documentation constitue en soi un signal.

Trois travaux en découlent, aucun ne dépendant d'un calendrier réglementaire. L'inventaire des usages, sachant que les usages non déclarés sont toujours plus nombreux que les déclarés. La qualification au regard du régime à haut risque, qui prend quelques heures et produit un document daté. Et la gouvernance, qui se posait déjà avant ce règlement, du seul fait du secret professionnel.

Aucun de ces trois travaux ne concerne le choix d'un outil. Tous concernent la capacité à décrire ce qu'on fait.