Acte IA de l'UE : près de la moitié des entreprises qui l'invoquent n'y sont pas légalement tenues, mais ses règles influencent déjà le monde entier
Il apparaît que la propension de Bruxelles à ce que beaucoup perçoivent comme une surréglementation produit des effets d’entraînement bien au-delà des frontières de l’UE.
PUBLICITÉ
PUBLICITÉ
Près de la moitié des entreprises qui mentionnent le règlement sur l’intelligence artificielle de l’UE (AI Act) dans leurs rapports de gouvernance ne sont pas du tout établies dans l’UE, selon une nouvelle recherche, ce qui suggère que Bruxelles commence à fixer une norme mondiale de gouvernance de l’IA avant même que les règles les plus strictes du bloc ne soient pleinement applicables.
Cette analyse, publiée par la Thomson Reuters Foundation à partir des données de son AI Company Data Initiative (AICDI), s’appuie sur plus de 100 000 points de données recueillis auprès de 2 973 entreprises dans le monde.
Elle révèle que 47 % des sociétés citant le règlement dans leurs déclarations ont leur siège hors de l’UE.
Le rapport y voit la preuve d’un "Brussels Effect" dans la gouvernance de l’IA, un terme utilisé pour décrire la tendance des réglementations européennes à devenir une référence mondiale, comme ce fut le cas pour le RGPD.
Selon ces résultats, cet effet "n’est pas encore généralisé, mais il est visible, significatif et concentré là où les incitations de marché à s’aligner sont les plus fortes".
Le règlement, qui sera pleinement applicable à partir d’août 2026, constitue la première loi globale et transsectorielle de ce type sur l’IA.
Sa portée dépasse les frontières de l’UE, puisqu’il s’applique à toute organisation dont les systèmes d’IA sont utilisés dans le bloc ou dont les résultats affectent des citoyens, des entreprises ou des institutions publiques de l’UE.
Des années de préparation
Le règlement est en vigueur depuis 2024, mais ses obligations sont mises en œuvre progressivement plutôt que d’un seul coup.
Les interdictions visant les usages les plus risqués de l’IA et les règles de transparence pour les modèles d’IA à usage général étaient déjà en vigueur en décembre 2025. Ce sont plus particulièrement les règles applicables aux systèmes à haut risque, couvrant des domaines comme le recrutement, le crédit ou la santé, qui deviendront pleinement contraignantes en août 2026.
Comme pour le RGPD, cette portée extraterritoriale signifie que même les entreprises non européennes sont soumises aux mêmes obligations contraignantes, avec des sanctions pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial en cas de manquements les plus graves.
Cela ne doit toutefois pas être confondu avec une tendance généralisée des entreprises à reconnaître leur usage de l’IA ou à disposer de cadres formalisés d’utilisation de l’IA.
Tous secteurs confondus, seules 13 % des entreprises disposent d’un cadre formel de gouvernance de l’IA, qu’elles mentionnent ou non l’AI Act.
Parmi ces 13 % qui ont mis en place un cadre, un peu plus de la moitié, 53 %, font explicitement référence au règlement européen sur l’IA. Et, au sein de ce groupe qui cite le règlement, 47 % ont leur siège en dehors de l’UE.
Le secteur technologique montre l’exemple
L’engagement vis-à-vis du règlement varie fortement selon le secteur et la zone géographique.
Les entreprises des technologies de l’information représentent à elles seules près de 40 % de l’ensemble des sociétés non européennes qui citent le règlement, tandis que les services de communication et les services financiers en ajoutent ensemble 29 % supplémentaires.
À l’échelle régionale, l’Amérique du Nord arrive en tête des acteurs non européens, avec un peu moins de 40 %, portée en grande partie par des entreprises américaines de la tech et de la santé disposant d’une forte présence sur le marché européen.
Les entreprises européennes non membres de l’UE — notamment britanniques, suisses et norvégiennes — suivent avec environ 24 %, ce qui reflète des liens commerciaux et réglementaires étroits avec le bloc.
Les entreprises asiatiques affichent un taux de citation d’environ 28 %, concentré surtout parmi les sociétés technologiques intégrées aux chaînes d’approvisionnement mondiales de l’IA.
Les États-Unis offrent un exemple particulièrement frappant au regard de leur propre approche très peu interventionniste de la régulation de l’IA.
Le pays ne dispose d’aucune loi fédérale d’ensemble sur l’IA, et pourtant les entreprises américaines représentent 35 % de toutes les sociétés non européennes qui se réfèrent au règlement européen, soit la contribution nationale la plus importante.
Aux États-Unis, 53 % des entreprises qui citent le règlement appartiennent au secteur des technologies de l’information, et une entreprise américaine de la tech sur cinq incluse dans le jeu de données y fait référence, le taux le plus élevé de tous les secteurs au niveau national.
De grands groupes technologiques américains comme Microsoft, Google, OpenAI et xAI se sont volontairement alignés sur certains éléments du code de bonnes pratiques de l’UE en matière d’IA, selon le rapport, motivés par la perspective de conserver l’accès au marché européen.
Les lacunes derrière les bons résultats
Les entreprises qui mentionnent le règlement maîtrisent généralement bien les fondamentaux. Elles disposent d’une stratégie IA claire, d’un contrôle au niveau du conseil d’administration et d’une transparence sur les données qu’elles utilisent. Sur ces aspects, les entreprises non européennes qui citent l’AI Act font même mieux que les sociétés de l’UE.
À l’inverse, les entreprises européennes prennent la tête en matière de formation des salariés, 49,4 % proposant des programmes de reconversion ou de sensibilisation à l’IA, contre 40,6 % des entreprises non européennes.
Mais superviser la stratégie est une chose ; vérifier concrètement, cas par cas, ce que fait l’IA en est une autre. Seules 12,4 % des entreprises dans le monde disposent d’une politique imposant à un humain de revoir les décisions prises individuellement par l’IA, et, même parmi elles, près de la moitié n’a pas encore déterminé comment ce contrôle fonctionne en pratique.
Les vérifications relatives aux droits sont plus rares encore. Moins d’une entreprise sur quatre évalue si son IA peut porter atteinte aux droits des salariés, y compris parmi celles qui sont les plus engagées vis-à-vis du règlement.
Ce volet va bientôt prendre une importance bien plus grande. À partir d’août 2026, les entreprises utilisant de l’IA à haut risque, dans le recrutement, le crédit ou la santé, seront légalement tenues d’effectuer ce contrôle avant le déploiement et d’en communiquer les résultats aux autorités de régulation.