1. L’AI Act européen entre dans sa principale phase d’application
Depuis le 2 août 2026, l’essentiel de l’AI Act de l’Union européenne est applicable. Le régime impose des obligations graduées selon le niveau de risque, notamment pour les systèmes à haut risque, leur documentation, leur surveillance humaine et leur traçabilité. Certaines dispositions suivent toutefois un calendrier distinct.
Principaux enjeux : classification des systèmes, conformité des fournisseurs, qualité des données, documentation et capacité à expliquer les décisions automatisées.
Pourquoi cela importe : une entreprise canadienne peut être concernée dès qu’elle vend, déploie ou fournit des services d’IA sur le marché européen. Le CA devrait demander à la direction de déterminer quels produits, processus et fournisseurs entrent dans le champ d’application, plutôt que de présumer que cette loi ne concerne que les entreprises européennes.
Action concrète : obtenir une courte note indiquant les systèmes touchés, les écarts de conformité, le responsable désigné et les correctifs requis.
2. Les investisseurs réclament désormais de véritables « étiquettes de risque » pour l’IA
Le 29 juillet, Reuters a présenté les recommandations de Partnership on AI visant à normaliser l’information communiquée aux investisseurs. Les entreprises seraient notamment appelées à préciser l’imputabilité des dirigeants, les risques opérationnels, les mesures d’atténuation et les conséquences financières de leurs systèmes d’IA.
Principaux enjeux : déclarations trop générales, risques importants cachés derrière des principes éthiques, information non comparable et difficulté à évaluer l’exposition réelle d’une organisation.
Pourquoi cela importe : dire que l’entreprise utilise une « IA responsable » ne suffit plus. Les conseils devront probablement fournir des preuves : incidents, contrôles, fournisseurs critiques, coûts, bénéfices et responsabilités clairement attribuées.
Action concrète : intégrer au rapport de gestion un tableau d’une page présentant les principaux usages de l’IA, leurs risques, les incidents constatés et leur valeur mesurable.
3. Ottawa consulte les Canadiens sur la transparence des systèmes d’IA
Le gouvernement fédéral a lancé le 23 juillet une consultation publique qui se poursuivra jusqu’au 23 septembre 2026. Elle porte sur l’information à fournir concernant les systèmes d’IA et leurs productions, afin d’améliorer la confiance, la sécurité et la fiabilité.
Principaux enjeux : divulgation de l’utilisation de l’IA, identification des contenus synthétiques, explication des décisions et équilibre entre transparence et secrets commerciaux.
Pourquoi cela importe : les attentes canadiennes se précisent même en l’absence d’une loi fédérale unique et pleinement établie. Les organisations devraient définir dès maintenant les circonstances dans lesquelles elles signalent qu’un contenu ou une décision a été produit ou influencé par l’IA.
Action concrète : adopter une règle simple : toute utilisation de l’IA susceptible d’influencer les droits, les services ou la confiance d’une personne doit être divulguée et pouvoir faire l’objet d’une révision humaine.
4. La supervision réglementaire de l’IA devient concrète dans le secteur financier
Le 29 juillet, l’autorité allemande des marchés financiers, BaFin, a annoncé qu’elle surveillerait l’utilisation de l’IA par les banques et les assureurs, à la suite d’un élargissement de ses pouvoirs. Les préoccupations comprennent les biais algorithmiques, la protection des données et la transparence.
Principaux enjeux : modèles opaques, décisions automatisées touchant la clientèle, concentration des fournisseurs et risque que des erreurs se propagent rapidement.
Pourquoi cela importe : cette évolution illustre une tendance plus large : les régulateurs ne se contenteront plus de vérifier l’existence d’une politique. Ils examineront probablement les pratiques, les données, les contrôles et les responsabilités effectives.
Action concrète : demander à l’audit interne de vérifier un système d’IA important comme il vérifierait un processus financier critique : autorisations, données d’entrée, contrôles, résultats, anomalies et procédure d’arrêt.
5. Les entreprises déclarent beaucoup plus leurs risques liés à l’IA qu’elles ne renforcent les compétences de leurs conseils
Une analyse du Conference Board révèle que la proportion des entreprises du S&P 500 déclarant l’IA comme facteur de risque est passée de 12 % en 2023 à 83 % en 2025. Pourtant, moins de 3 % indiquent clairement disposer d’une expertise en IA au conseil, contre 51 % pour les compétences technologiques générales.
Principaux enjeux : écart entre les risques reconnus et la capacité du conseil à les surveiller, dépendance excessive envers les spécialistes internes et difficulté à poser les bonnes questions.
Pourquoi cela importe : un CA n’a pas nécessairement besoin d’un informaticien à chaque siège. Il doit toutefois posséder collectivement assez de connaissances pour comprendre les usages, contester les hypothèses et reconnaître les réponses évasives. Le traditionnel « on nous assure que tout est sous contrôle » commence à montrer son âge.
Action concrète : prévoir une formation annuelle du conseil, ajouter l’IA à la matrice des compétences et recourir périodiquement à une expertise indépendante.
Priorité à inscrire à l’ordre du jour
Depuis l’entrée en application de l’AI Act européen, avons-nous déterminé quels systèmes, fournisseurs, clients ou activités pourraient être assujettis — directement ou indirectement — à ses exigences ?
La tendance dominante de la semaine est nette : la gouvernance de l’IA passe des principes aux preuves. Les administrateurs devront demander moins de promesses et davantage d’inventaires, de responsabilités nominatives, d’indicateurs et de contrôles vérifiables.
Gouvernance | Jacques Grisé 