AI Act : sanctions jusqu'à 35 M€ et nouvelles guidelines — pourquoi les secteurs régulés doivent structurer leur gouvernance IA dès maintenant

Le règlement européen sur l'intelligence artificielle (AI Act) entre dans sa phase la plus concrète. En 2026, les obligations pour les fournisseurs de modèles à usage général se durcissent, la Commission publie ses guidelines d'application, et le régime de sanctions devient pleinement dissuasif : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les manquements les plus graves, comme le déploiement de systèmes interdits. Le message aux directions générales est clair : l'IA n'est plus un terrain d'expérimentation libre, mais un domaine soumis à obligation de traçabilité, de documentation et de contrôle du risque.

Pour les secteurs déjà fortement régulés — aéronautique et défense, O&G, énergie — cette évolution résonne avec des réflexes existants. Ces industries maîtrisent depuis longtemps la certification, la gestion documentaire et l'audit de sûreté. Le risque n'est donc pas culturel mais organisationnel : les systèmes d'IA se sont souvent déployés en marge des processus qualité historiques, dans des poches d'innovation ou via des fournisseurs SaaS, sans classification de risque ni cartographie centralisée. L'AI Act oblige à recoller ces usages épars à une gouvernance formelle.

L'erreur serait de traiter la conformité comme une contrainte défensive. Les entreprises qui structurent tôt leur inventaire de cas d'usage IA, leur classification par niveau de risque et leur chaîne de responsabilité obtiennent un double dividende : elles réduisent leur exposition aux sanctions, mais surtout elles accélèrent leurs déploiements futurs, car chaque nouveau projet s'appuie sur un cadre déjà validé plutôt que sur une négociation juridique à recommencer. Dans des environnements où un système IA peut toucher à la sûreté d'un vol ou à l'intégrité d'une installation industrielle, cette discipline devient un argument commercial et assurantiel.

L'analyse Cardan-AI : la fenêtre d'action est maintenant, avant que les guidelines ne se figent en pratiques d'audit contraignantes. Un cadrage pragmatique — inventaire des systèmes IA, classification AI Act, désignation des responsabilités, plan de mise en conformité priorisé par le risque — se mène en quelques semaines et évite des mois de rattrapage subi. Pour les dirigeants des secteurs régulés, la vraie question n'est pas s'il faut s'y mettre, mais qui, en interne, porte déjà cette gouvernance de l'IA de bout en bout.