Trois fonctions, trois horloges

Une discussion revient chaque fois que nous envisageons un nouveau marché, et elle ne se règle jamais proprement.

Le produit demande si le marché vaut la peine d'être abordé. Le juridique demande de quoi nous serions responsables. L'ingénierie demande ce qu'il faudrait construire. Chaque fonction donne une réponse juste en elle-même et incomplète à côté des deux autres. Le produit peut vouloir un marché que le juridique n'a pas cadré. Le juridique peut décrire une obligation que l'ingénierie mettrait un an à satisfaire. L'ingénierie peut construire pour un régime qui n'arrive jamais.

La façon habituelle de trancher consiste à laisser une perspective mener. Cela fonctionne quand le terrain est stable. En ce moment il ne l'est pas.

Ce qui a changé cet été

Deux choses se sont produites à quelques semaines d'intervalle, dans des directions opposées.

L'Union européenne a adopté un paquet de simplification entré en vigueur le 27 juillet 2026. Il a reporté les obligations à haut risque de l'annexe III du règlement sur l'IA du 2 août 2026 au 2 décembre 2027, et les systèmes intégrés à un produit relevant de l'annexe I au 2 août 2028. C'est le volet coûteux : systèmes de gestion des risques, évaluation de la conformité, marquage CE, système de management de la qualité, enregistrement, surveillance après commercialisation. La raison avancée : les organismes européens de normalisation n'avaient pas terminé les normes harmonisées. On ne peut pas se faire certifier au regard d'une norme qui n'a pas été publiée.

Dans le même temps, l'article 50 est devenu applicable le 2 août 2026. Il n'a pas été reporté. Il vise tout système qui interagit directement avec une personne, quel que soit son niveau de risque, et il exige que cette personne sache qu'elle s'adresse à une IA. Les contenus générés doivent être marqués. Le plafond est de 15 millions d'euros ou 3 % du chiffre d'affaires mondial.

Le Canada a pris l'autre direction. La LIAD est morte avec le projet de loi C-27 lors de la prorogation du Parlement en janvier 2025 et n'a pas été redéposée. Le ministre responsable a indiqué qu'elle ne reviendrait pas sous sa forme initiale, et que tout cadre futur devrait rester léger. Les véhicules fédéraux actifs relèvent de la vie privée et de la sécurité numérique plutôt que d'une loi générale sur l'IA. Aucune loi canadienne sur l'IA n'est en vigueur.

Cela ne veut pas dire qu'il n'y a rien à respecter. La Loi 25 du Québec est pleinement en vigueur depuis septembre 2024, avec des sanctions pouvant atteindre 25 millions de dollars, et ses dispositions sur les décisions automatisées ressemblent beaucoup aux dispositions européennes : informer la personne, expliquer la logique et les critères, lui permettre de présenter ses observations, prévoir une intervention humaine sur demande. Au Canada, les obligations contraignantes arrivent par le droit provincial de la vie privée, et elles ressemblent davantage au modèle européen qu'à la posture fédérale au-dessus d'elles.

« Sommes-nous conformes » a une date de péremption

Mises côte à côte, ces deux évolutions n'enseignent rien sur l'une ou l'autre juridiction en particulier.

Une organisation qui a bâti tout le dispositif haut risque pour août 2026 a dépensé seize mois trop tôt, au regard de normes non publiées. Une organisation qui n'a rien bâti a manqué une obligation de transparence devenue applicable et assortie d'une sanction réelle. Aucune des deux ne relève d'un manque de rigueur. Les deux commettent la même erreur. Chacune a traité une exigence mouvante comme une exigence fixe et s'est engagée trop tôt dans la mauvaise direction.

« Sommes-nous conformes » n'est donc pas une question dont la réponse tient dans la durée. Sa validité se compte en mois.

La question qui dure

La question qui survit à ces mouvements est une question de livraison :

Quand le prochain changement substantiel arrivera, sommes-nous en mesure d'y répondre, ou quittons-nous ce marché ?

Les deux réponses sont légitimes. Décider qu'un marché ne vaut pas la maintenance qu'il exige est un vrai choix stratégique, et il vaut mieux le poser délibérément que le découvrir au milieu d'un appel d'offres. Ce qui ne l'est pas, c'est de constater qu'on ne peut pas absorber un changement à cause d'une décision prise des années plus tôt pour des raisons sans aucun rapport avec la réglementation.

Répondre à cette question ne consiste pas à prédire le droit. Il s'agit de savoir où la charge se pose quand elle change, et de garder ces points-là souples.

Où la charge se pose

Pour une fonction d'IA à l'intérieur d'un système opérationnel, nous surveillons une liste courte. Chacun de ces points est un endroit où un changement de règle ferait peser du poids.

Le fournisseur de modèle. Si un fournisseur est nommé ailleurs que dans un seul fichier de configuration, en changer suppose de modifier du code. Chez nous c'est un réglage que choisit un administrateur. Il est stocké en base de données, et aucune autre partie du pipeline ne présuppose un fournisseur.

Où résident les données, et quel droit les régit. Ce sont deux questions distinctes. Une instance et une base de données par client, dans le pays choisi par le client, permet d'y répondre séparément.

La présence d'une personne dans la boucle. L'assistant propose et une personne applique ou écarte. Il n'inscrit rien de lui-même. La supervision humaine est presque universelle dans les régimes que nous avons lus, et elle est très difficile à greffer après coup sur un système conçu pour agir de façon autonome.

Ce qui sort de l'instance. Les noms, les courriels et les numéros de téléphone sont remplacés par des jetons déterministes avant tout envoi. La table de correspondance reste dans la base de données du client.

Ce que l'on peut prouver après coup. Un journal d'audit en ajout seul enregistre qui a fait quoi et quand. Tous les régimes que nous avons lus veulent des traces. Ils diffèrent sur la durée de conservation et le format, et cela se change plus facilement que la décision même de conserver des traces.

L'information de l'utilisateur. C'est l'obligation applicable aujourd'hui en Europe, et c'est aussi la moins coûteuse à satisfaire. Il s'agit d'une chaîne de texte dans chaque langue prise en charge et d'un marquage sur les contenus générés. Nous ne vendons pas dans l'Union européenne, donc l'article 50 ne nous lie pas actuellement, et notre portail public ne porte pas de mention d'IA à ce jour. C'est à ajouter avant que cela change, et franchement cela devrait y figurer quel que soit le marché.

La documentation de conformité. Dossiers techniques, fiches de modèle, analyses d'impact formelles. Nous ne les avons pas produits. C'est une décision délibérée plutôt qu'un oubli, parce que leur déclencheur est une entrée sur un marché que nous n'avons pas faite. Ce qui compte, c'est que rien de ce que nous avons construit ne rendra leur production plus difficile plus tard.

La moitié qui n'est pas le produit

La liste ci-dessus est une liste d'architecture, et l'architecture est la moitié la plus simple. Le pendant organisationnel est l'endroit où les équipes sont souvent plus figées qu'elles ne le croient.

Un contrat client nomme-t-il un fournisseur de modèle précis ? Un accord de traitement des données signé fixe-t-il un pays qu'il faudrait ensuite renégocier pour en sortir ? Si un régulateur demandait de la documentation, la produiriez-vous à partir du registre, ou faudrait-il monter un projet et y affecter des gens ? Qui surveille le prochain article 50, et par quel canal l'apprendrait-il ? Et lorsque la réponse est qu'un marché n'en vaut plus la peine, à qui revient cette décision ?

Voici la partie réellement difficile, et ce n'est pas un problème technique.

Les artefacts qui prouvent que vous prenez la gouvernance au sérieux sont souvent les mêmes qui réduisent votre capacité à changer. Une certification a un périmètre. Un engagement contractuel a une durée. Une garantie de résidence nomme un lieu. Chacun de ces éléments faisait figure de rigueur le jour de sa signature, et chacun rétrécit ce que vous pourrez faire l'année suivante. Cette tension ne se résout ni au sein de la fonction juridique ni au sein de l'ingénierie. Elle ne se résout que dans une conversation où quelqu'un tient les deux bouts.

Le dernier interrupteur appartient au client

Nous vendons un logiciel opérationnel. L'IA est un moyen de rendre une partie de ce travail plus facile, et elle n'est pas le produit.

Cela a une conséquence de conception que nous jugeons juste indépendamment de toute réglementation. L'assistant est désactivé sur une nouvelle instance et le reste tant qu'un administrateur ne l'active pas. C'est le client qui tient cet interrupteur, pas nous. Si ses propres obligations changent, si son conseil prend position, ou s'il préfère s'en passer, il n'a besoin ni d'une version de notre part ni de nous le demander.

Rien de tout cela n'est exotique. La plupart des équipes qui construisent dans ce domaine prennent des décisions du même ordre, et beaucoup sont plus avancées que nous sur certains points. Ce qui semble souvent sauté, c'est de nommer les points de pression à voix haute, et d'être honnête sur ceux que l'on a délibérément laissés de côté.

Ce que « agile » veut dire ici

On parle généralement d'agilité comme d'une propriété de la façon dont une équipe planifie son travail. Dans un environnement comme celui-ci, cela ressemble davantage à la comparaison de deux vitesses : celle à laquelle le terrain bouge, et celle à laquelle vous pouvez répondre.

Si la seconde est plus faible que la première, ce n'est pas votre processus qui vous sauvera. Et quitter un marché est un résultat légitime de cette comparaison, pas un aveu d'échec. L'échec, c'est d'arriver à cette décision sans avoir vu qu'on était en train de la prendre.