Quand les règles évoluent plus vite que vos cycles de livraison
Le droit de l'IA et de la vie privée change plus vite que la plupart des cycles produit. La question durable est de savoir si vous pouvez absorber le prochain changement, ou si vous quittez ce marché. Voici comment nous abordons cette décision.
Trois fonctions, trois horloges
Une discussion revient chaque fois que nous envisageons un nouveau marché, et elle se règle rarement proprement.
Le produit demande si le marché vaut la peine d'être abordé. Le juridique demande de quoi nous serions responsables. L'ingénierie demande ce qu'il faudrait construire. Chaque fonction donne une réponse juste en elle-même et incomplète à côté des deux autres. Le produit peut vouloir un marché que le juridique est encore en train de cadrer. Le juridique peut décrire une obligation que l'ingénierie mettrait un an à satisfaire. L'ingénierie peut construire pour un régime qui n'arrive jamais.
Une façon de trancher consiste à laisser une perspective mener. Cela fonctionne quand le terrain est stable. En ce moment, le terrain bouge.
Ce qui a changé cet été
Deux événements se sont produits à quelques semaines d'intervalle, dans des directions opposées.
L'UE a adopté un paquet de simplification entré en vigueur le 27 juillet 2026. Il reporte les obligations à haut risque de l'annexe III de l'AI Act du 2 août 2026 au 2 décembre 2027, et celles des systèmes intégrés à des produits relevant de l'annexe I au 2 août 2028. C'est le palier coûteux : systèmes de gestion des risques, évaluation de la conformité, marquage CE, gestion de la qualité, enregistrement, surveillance après commercialisation. La raison invoquée tient au calendrier. Les organismes européens de normalisation rédigeaient encore les normes harmonisées, et une certification a besoin d'une norme publiée.
Au même moment, l'article 50 est devenu applicable le 2 août 2026, à sa date d'origine. Il s'applique à tout système qui interagit directement avec une personne, quel que soit son niveau de risque, et exige que la personne soit informée qu'elle a affaire à une IA. Le contenu généré doit être marqué. Le plafond est de 15 millions d'euros ou trois pour cent du chiffre d'affaires mondial.
Le Canada a pris la direction inverse. La LIAD est morte avec le projet de loi C-27 lors de la prorogation du Parlement en janvier 2025. Le ministre responsable a déclaré que tout cadre futur devrait être léger. Les véhicules fédéraux actifs sont les lois sur la vie privée et la sécurité numérique.
Au Canada, les obligations contraignantes arrivent par le droit provincial de la vie privée. La Loi 25 du Québec est pleinement en vigueur depuis septembre 2024, avec des pénalités allant jusqu'à 25 millions de dollars, et ses dispositions sur les décisions automatisées ressemblent beaucoup aux dispositions européennes : informer la personne, expliquer la logique et les critères, lui permettre de présenter ses observations, offrir une révision humaine sur demande.
« Sommes-nous conformes » a une date de péremption
Mettez les deux côte à côte et la leçon utile se situe au-dessus de chaque juridiction.
Une organisation qui a bâti tout l'appareil à haut risque pour août 2026 l'a payé seize mois trop tôt, contre des normes encore à l'état de projet. Une organisation qui n'a rien bâti a manqué une obligation de transparence devenue applicable avec une vraie pénalité. Les deux ont commis la même erreur. Chacune a traité une exigence mouvante comme une exigence fixe et s'est engagée tôt dans une seule direction.
« Sommes-nous conformes » a une réponse dont la durée de vie se compte en mois.
La question qui dure
La question qui survit aux remous est une question de livraison :
Quand le prochain changement important arrive, sommes-nous en mesure d'y répondre, ou quittons-nous ce marché ?
Les deux réponses sont légitimes. Décider de quitter un marché est un vrai choix stratégique, et il se prend au mieux de façon délibérée, tôt et par écrit. L'issue à éviter est de découvrir qu'un changement est hors de portée à cause d'une décision prise des années plus tôt pour des raisons sans lien avec la réglementation.
Répondre à cette question demande de savoir où la charge se pose quand la loi change, et de garder ces points précis souples.
Où la charge se pose
Pour une fonction d'IA au sein d'un système opérationnel, nous suivons une courte liste. Chaque élément est un endroit où un changement de règle ajouterait du poids.
Le fournisseur du modèle. Chez nous, c'est un paramètre qu'un administrateur choisit. Il est stocké dans la base de données, et le reste du pipeline fonctionne avec tout fournisseur configuré.
Où résident les données, et quelle loi les régit. Ce sont deux questions différentes. Une instance et une base de données par client, dans la juridiction que le client choisit, permettent d'y répondre séparément.
Si une personne est dans la boucle. L'assistant propose, et une personne applique ou écarte. La supervision humaine figure dans presque tous les régimes que nous avons examinés, et elle s'intègre bien plus facilement dès la conception.
Ce qui quitte l'instance. Les noms, courriels et numéros de téléphone sont remplacés par des jetons déterministes avant l'envoi d'une requête. La table de correspondance reste dans la base de données du client.
Ce que vous pouvez prouver après coup. Un journal d'audit enregistre qui a fait quoi et quand. Chaque régime que nous avons lu exige des registres. Ils diffèrent sur la conservation et le format, et la conservation et le format se modifient facilement une fois les registres en place.
La divulgation. C'est l'obligation applicable en Europe aujourd'hui, et c'est aussi la moins coûteuse à satisfaire. Elle demande une chaîne de texte dans chaque langue prise en charge et un marquage sur le contenu généré. Notre assistant indique sur chaque réponse le nom du fournisseur d'IA qui l'a produite.
La moitié organisationnelle
La liste ci-dessus est une liste d'architecture, et l'architecture est la moitié la plus facile. C'est dans son pendant organisationnel que les équipes sont souvent plus verrouillées qu'elles ne le pensent.
Un contrat client nomme-t-il un fournisseur de modèle précis ? Un accord de traitement des données signé fixe-t-il un pays qu'il faudrait renégocier pour partir ? Si un régulateur demandait de la documentation, la produiriez-vous à partir des registres, ou serait-ce un projet à doter en personnel ? Qui surveille le prochain article 50, et comment l'apprendrait-il ? Et quand un marché n'en vaut plus la peine, qui porte cette décision ?
La partie difficile est organisationnelle.
Les pièces qui prouvent que vous prenez la gouvernance au sérieux sont souvent les mêmes qui réduisent votre capacité à changer. Une certification a un périmètre. Un engagement contractuel a une durée. Une garantie de résidence nomme un lieu. Chacune semblait rigoureuse le jour de la signature, et chacune restreint ce que vous pourrez faire l'an prochain. Cette tension se résout dans une conversation où le juridique et l'ingénierie tiennent compte des deux côtés ensemble.
Le dernier interrupteur appartient au client
Nous vendons un logiciel opérationnel. L'IA facilite une partie de ce travail.
Cela a une conséquence de conception que nous jugeons juste dans n'importe quel climat réglementaire. L'assistant est livré désactivé sur une nouvelle instance et reste éteint jusqu'à ce qu'un administrateur l'active. Le client tient cet interrupteur. Si ses propres obligations changent, si son conseil prend position, ou s'il préfère s'en passer, il l'éteint lui-même, sans version de notre part et sans demande.
Ce que « agile » veut dire ici
L'agilité est d'ordinaire décrite comme une propriété de la façon dont une équipe planifie son travail. Dans un environnement comme celui-ci, elle ressemble davantage à une comparaison entre deux vitesses : la vitesse à laquelle le terrain bouge, et celle à laquelle vous pouvez réagir.
Quand le terrain bouge plus vite, le processus doit changer. Quitter un marché est un résultat légitime de cette comparaison. L'erreur est d'arriver à la décision sans avoir remarqué qu'elle était en train de se prendre.