Régulation de l’IA : l’Europe reporte, Washington veut préempter — ce que la divergence transatlantique impose aux entreprises
En une semaine, les deux principales juridictions de régulation de l’IA ont pris des directions distinctes. Le 13 mars, le Conseil de l’UE a adopté sa position pour simplifier l’AI Act, reportant jusqu’à 16 mois l’entrée en vigueur des obligations pour les systèmes à haut risque. Le 20 mars, l’administration Trump a publié un cadre législatif national demandant au Congrès de préempter les lois d’États par une loi fédérale unique. Au Pentagone, le conflit entre le secrétaire à la Défense et Anthropic, doublé de l’adoption de Maven (Palantir) comme programme officiel, illustre les tensions concrètes entre exigences gouvernementales et principes de sûreté des fournisseurs.
Pour les entreprises opérant des deux côtés de l’Atlantique, cette séquence ne simplifie rien : elle multiplie les calendriers de conformité, les incertitudes et les arbitrages de gouvernance.
AI Act : le report change le calendrier, pas les obligations
La position adoptée le 13 mars par le Conseil de l’UE s’inscrit dans le paquet « Omnibus VII », volet IA de l’effort de simplification législative lancé à la suite des rapports Letta et Draghi sur la compétitivité européenne. Le constat de départ est pragmatique : les normes harmonisées nécessaires à la conformité ne sont pas prêtes. Les deux organismes de normalisation chargés de les élaborer (CEN et CENELEC) ont manqué leur échéance de 2025 et visent désormais fin 2026. La Commission européenne elle-même a raté la date limite du 2 février 2026 pour publier ses lignes directrices sur la classification des systèmes à haut risque (article 6). (Source : Conseil de l’UE)
La position du Conseil fixe de nouvelles dates : 2 décembre 2027 pour les systèmes autonomes à haut risque (Annexe III), 2 août 2028 pour les systèmes à haut risque intégrés dans des produits (Annexe I). Le mécanisme est un « stop-the-clock » : les obligations s’appliqueront 6 ou 12 mois après que la Commission aura confirmé la disponibilité de mesures de soutien adéquates (normes, lignes directrices, spécifications), mais pas plus tard que ces dates butoirs.
Ce que le Conseil ajoute
La position ne se limite pas au report. Le Conseil a ajouté plusieurs dispositions substantielles : une interdiction de générer des contenus sexuels non consensuels et des contenus d’abus sexuels sur mineurs par IA, un renforcement des obligations d’enregistrement des systèmes à haut risque, et une extension des exemptions réglementaires réservées aux PME vers les small mid-caps. L’ensemble constitue un mandat de négociation : le Parlement européen doit voter sa propre position (un vote en commission LIBE/IMCO a eu lieu ; le vote en plénière est attendu le 26 mars), avant l’ouverture des trilogues. L’objectif affiché est un accord au printemps 2026 — un calendrier serré mais nécessaire pour que le mécanisme « stop-the-clock » soit adopté avant que les échéances initiales de l’AI Act ne prennent effet.
Le message pour les entreprises est clair : le report donne du temps mais ne supprime aucune obligation de fond. Les organisations qui interprètent ce report comme un signal de pause prennent un risque. Si les trilogues échouent ou prennent du retard, les échéances originales restent en vigueur. Le chapitre 14 du livre Réussir l’IA en entreprise (conformité opérationnelle et AI Act readiness) détaille la démarche de suivi par jalons adaptée à ce type d’incertitude réglementaire : identifier les systèmes concernés, constituer le dossier d’évidence, mettre en place les contrôles opérationnels, sans attendre la date définitive.
Washington : un cadre fédéral contre les lois d’États
Le 20 mars, l’administration Trump a publié son National Policy Framework for Artificial Intelligence, un document de recommandations législatives adressé au Congrès. Le cadre couvre six objectifs : protection des enfants, soutien aux communautés (infrastructures, centres de données, lutte contre les arnaques), propriété intellectuelle, lutte contre la censure, éducation et développement de la main-d’œuvre, et approche réglementaire light-touch. (Source : White House)
Le fil conducteur est la préemption fédérale des lois d’États. Le cadre affirme que les États ne devraient pas pouvoir réglementer le développement de l’IA, qualifié de « phénomène intrinsèquement interétatique avec des implications clés en matière de politique étrangère et de sécurité nationale ». L’objectif est de remplacer le patchwork actuel — Colorado (AI Act entré en vigueur en février 2026, obligation de diligence raisonnable contre la discrimination algorithmique), Californie (SB 53, obligations de transparence), Utah, Texas, New York — par un standard national minimal.
Le cadre recommande explicitement de ne pas créer de nouvelle agence fédérale de régulation de l’IA, de s’appuyer sur les régulateurs sectoriels existants et sur les standards industriels, et de limiter la responsabilité des développeurs pour les usages illicites de leurs modèles par des tiers. Sur le copyright, l’administration affirme que l’entraînement de modèles sur du matériel protégé ne viole pas les lois sur le droit d’auteur, tout en recommandant de laisser les tribunaux trancher. Le cadre inclut également la codification du Ratepayer Protection Pledge — engagement signé le 4 mars par Amazon, Google, Meta, Microsoft, OpenAI, Oracle et xAI — garantissant que les coûts d’infrastructure des centres de données ne seront pas répercutés sur les factures d’électricité résidentielles.
Adoption incertaine
Michael Kratsios, conseiller scientifique de la Maison Blanche, a déclaré vouloir convertir ce cadre en loi « cette année ». Les chances d’adoption rapide restent faibles. Les tentatives antérieures de préemption fédérale ont toutes échoué : un moratoire de 10 ans sur les lois d’États, inclus dans un projet de réconciliation budgétaire mi-2025, a été retiré par un vote de 99 contre 1 au Sénat. Une tentative similaire dans le NDAA 2026 a également échoué. Plus de 50 élus républicains ont adressé une lettre à Trump en mars contestant la volonté de bloquer les législations d’États. Les majorités républicaines au Congrès sont étroites, et l’administration a elle-même poussé d’autres priorités législatives (loi sur l’identité des électeurs) en amont des élections de mi-mandat de novembre.
Pour les entreprises, l’incertitude est double : si la loi fédérale est adoptée, elle pourrait annuler des obligations de conformité déjà en place au niveau des États ; si elle ne l’est pas, le patchwork actuel continue de s’épaissir. Dans les deux cas, la prudence commande de se conformer aux exigences les plus strictes en vigueur — un principe déjà formalisé dans le chapitre 12 du livre (gouvernance, conformité et éthique).
Pentagone : quand la politique de sécurité contredit la politique d’adoption
Deux décisions du Département américain de la Défense illustrent les tensions concrètes que la régulation de l’IA génère au sein même de l’État. Le secrétaire à la Défense Pete Hegseth souhaite supprimer l’usage de Claude (Anthropic) dans les systèmes du DoD, invoquant des raisons de chaîne d’approvisionnement. Les utilisateurs militaires résistent : ils jugent Claude supérieur aux alternatives disponibles et redoutent une recertification coûteuse et une perte de productivité.
Parallèlement, un mémo interne révèle que le DoD inscrit Maven — la plateforme d’analyse de données de Palantir — comme programme officiel, avec un financement pérenne et une diffusion dans l’ensemble des forces armées. Le vice-secrétaire Steve Feinberg affirme que Maven doit aider les soldats à « détecter, dissuader et dominer » l’adversaire. La supervision est transférée à l’Office numérique et IA du Pentagone.
Le paradoxe est documenté : Maven s’appuie en partie sur Claude. Écarter Anthropic pour des raisons de chaîne d’approvisionnement tout en institutionnalisant un programme qui dépend de son modèle crée une contradiction opérationnelle dont les conséquences ne sont pas encore stabilisées. Ce conflit — qui fait suite à une demande du Pentagone, rapportée depuis janvier, exigeant la suppression de certains garde-fous de sécurité d’Anthropic, suivie d’une désignation comme risque pour la chaîne d’approvisionnement en février et d’une action en justice d’Anthropic en mars, soutenue par Microsoft — dépasse le cadre bilatéral. Il pose une question de gouvernance systémique : un État peut-il exiger d’un fournisseur IA qu’il abaisse ses garde-fous de sécurité comme condition d’accès au marché de la défense ?
Ce que cela change pour les entreprises
La première conséquence est opérationnelle : les entreprises opérant en Europe et aux États-Unis doivent désormais maintenir deux feuilles de route réglementaires distinctes, avec des calendriers, des logiques et des niveaux d’incertitude différents. En Europe, le cadre est structuré mais les échéances bougent ; aux États-Unis, le cadre n’est pas encore en place mais pourrait, s’il est adopté, annuler des obligations locales déjà respectées. Le chapitre 14 du livre (conformité opérationnelle) fournit une démarche par jalons adaptée à cette double temporalité ; le chapitre 12 (gouvernance et éthique) formalise le principe de conformité au standard le plus exigeant en cas d’incertitude.
La deuxième conséquence est contractuelle. Le report de l’AI Act européen et la position américaine sur la responsabilité des développeurs modifient les termes de négociation entre fournisseurs IA et entreprises clientes. Les clauses de conformité, de garantie et de responsabilité dans les contrats d’API et de déploiement doivent être revues à la lumière des nouvelles échéances et du risque de changement réglementaire. Le chapitre 16 du livre (VendorOps) inclut un guide de négociation des clauses contractuelles IA conçu pour ce type de situation.
La troisième conséquence est stratégique. Le conflit Pentagone-Anthropic montre que les exigences gouvernementales peuvent entrer en collision frontale avec les principes de sûreté des fournisseurs. Pour les entreprises qui déploient de l’IA dans des secteurs réglementés ou sensibles, la question n’est pas théorique : le choix du fournisseur de modèle engage désormais une position sur la gouvernance de la sécurité, pas seulement sur les performances techniques.
La divergence transatlantique ouverte cette semaine ne se refermera pas rapidement. L’Europe ajuste son calendrier mais maintient son architecture d’obligations fondée sur le risque. Washington propose une approche light-touch centrée sur la préemption et l’innovation, dont l’adoption législative reste incertaine. Les entreprises qui attendent la stabilisation de l’un ou l’autre cadre pour structurer leur gouvernance IA parient sur un horizon qui recule — et s’exposent entre-temps à des obligations déjà en vigueur au niveau des États américains, des règles européennes de transparence applicables dès août 2026, et des exigences contractuelles de clients qui, eux, n’attendent pas.
