Un soupir de soulagement circule ces jours-ci chez ceux qui construisent du logiciel pour la santé. Le Digital Omnibus a été adopté définitivement fin juin, et les obligations de l’AI Act sur les systèmes à haut risque glissent au 2 décembre 2027, avec une queue supplémentaire en août 2028 pour l’intelligence artificielle intégrée dans des produits déjà réglementés comme les dispositifs médicaux. Le soulagement, il faut le dire, a des arguments sérieux de son côté. La Commission elle-même a implicitement admis que le calendrier d’origine n’était pas tenable : les normes harmonisées n’existent pas encore, les lignes directrices sur la classification sont arrivées en projet à la veille de l’échéance, les organismes notifiés sont rares et la capacité de certification du continent n’aurait pas tenu le choc. Reporter était la chose rationnelle à faire, et celui qui recalibre aujourd’hui ses budgets en conséquence ne fait rien d’irresponsable. Il lit un signal que le législateur lui-même a envoyé.
Le problème, c’est que ce signal dit autre chose que ce que le marché y lit. Le report concerne une échéance. Le soulagement concerne la pression. Et la prémisse cachée du soulagement, celle que personne n’explicite parce qu’elle semble évidente, c’est que la pression venait de l’échéance. Dans le logiciel de santé, cette prémisse est fausse, et cela vaut la peine de la démonter calmement, parce que c’est sur elle que se prennent en ce moment des décisions de budget, de roadmap et d’effectifs que quelqu’un regrettera.
La pression, dans ce secteur, vient de trois horloges différentes. Aucune des trois n’a été touchée par le Digital Omnibus.
La première horloge tourne déjà
La première horloge est celle de l’enforcement, et elle indique le temps présent. Ceux qui font de la compliance le savent déjà, mais cela vaut la peine de le dire à l’intention de ceux qui regardent les règlements depuis la passerelle de commandement : l’autorité qui contrôle un système d’intelligence artificielle traitant des données cliniques n’est pas celle de l’AI Act, qui entrera en service dans un an et demi. C’est le Garante, l’autorité italienne de protection des données, qui applique le RGPD depuis huit ans avec des outils éprouvés, une jurisprudence consolidée et un pouvoir de sanction dont il vient de démontrer qu’il sait s’en servir même contre des acteurs de tout premier plan. Et le Garante a passé les derniers mois à dire avec une netteté remarquable où il regarde : il a publiquement rappelé le secteur de la santé à un usage responsable des données et de l’intelligence artificielle, et il a formellement averti une startup pour un système qui prétendait détecter les émotions et le niveau de stress des salariés. Cette seconde mesure mérite un moment d’attention, parce que la reconnaissance des émotions au travail est l’une des pratiques que l’AI Act interdit. L’autorité n’a pas attendu que l’interdiction devienne actionnable avec les outils du nouveau règlement : elle a utilisé ceux qu’elle avait déjà. C’est un aperçu de la façon dont tout le reste fonctionnera. Les deux réglementations ne sont pas en séquence, la seconde prenant le relais de la première ; elles se superposent, et la plus ancienne couvre déjà aujourd’hui l’essentiel du terrain que la nouvelle formalisera demain. Un modèle qui traite des données de santé sans base juridique solide, sans minimisation démontrable, sans transparence envers les personnes concernées n’est pas un problème de 2027. C’est un problème de ce trimestre, avec des sanctions de ce trimestre.
Il y a un principe du RGPD qui rend cette superposition particulièrement insidieuse pour qui s’est détendu, et c’est l’accountability. Être conforme ne suffit pas : il faut pouvoir le démontrer, à tout moment, sur demande. Quiconque a géré une instruction sait que la différence entre une procédure qui se clôt en un mois et une qui dégénère tient presque entièrement à la qualité des preuves qu’on parvient à produire dans les premières semaines. Et les preuves nous amènent à la deuxième horloge.
La deuxième horloge ne se rembobine pas
La deuxième horloge est celle de l’ingénierie, et elle a une propriété que les calendriers réglementaires n’ont pas : on ne peut pas la rembobiner. Les obligations qui glissent à 2027 ressemblent à des formalités documentaires, le genre de chose qu’une organisation de bonne volonté expédie en un trimestre de rattrapage avec deux bons consultants. Vues de près, c’est autre chose. Ce sont des logs immuables qui doivent exister dès le premier jour d’exploitation du système, parce qu’un log reconstruit n’est pas un log, c’est un témoignage. C’est le lineage des datasets d’entraînement : quelles données, de quelle source, avec quelle base juridique, dans quelle version, transformées par quel pipeline. C’est la documentation des décisions de conception prises au moment où elles se prenaient, pas remémorées des années plus tard par des gens qui ont entre-temps changé d’entreprise. C’est le dessin de la surveillance humaine, qui est dans l’architecture du système ou n’est nulle part, parce qu’ajouter un point de contrôle humain à un flux décisionnel déjà en production, c’est reconcevoir le flux, pas accrocher un module.
Tout cela ne se rattrape pas. La documentation produite après coup n’est pas de la documentation, c’est de l’archéologie : on creuse, on trouve quelques vestiges, on invente le reste avec la meilleure bonne foi possible. Qui a essayé de reconstruire la provenance des données d’un modèle entraîné deux ans plus tôt connaît la sensation exacte : les gens qui savaient sont partis, les scripts qui généraient les datasets ont été réécrits, les buckets intermédiaires ont été nettoyés pour économiser du stockage, et ce qui reste est une chaîne de déductions plausibles que personne ne signerait devant un inspecteur. La dette de conformité se comporte comme la dette technique, avec une circonstance aggravante qui la rend plus dangereuse : le code peut se refactoriser, le passé non. Un CTO peut toujours décider de réécrire un composant mal fait. Il ne peut pas décider d’avoir loggé ce qu’il n’a pas loggé.
La date fixe n’est pas un cadeau
Il y a aussi un détail, dans l’histoire de ce report, que le soupir de soulagement a manqué et que quiconque planifie des roadmaps devrait noter. Dans la proposition initiale de la Commission, les nouvelles échéances étaient conditionnelles : les obligations se seraient déclenchées six mois après la confirmation de la disponibilité des normes harmonisées, 2027 n’étant qu’une date butoir. La négociation a retiré la condition, et les dates sont désormais fixes. Cela ressemble à un cadeau pour ceux qui remettent à plus tard, et c’est le contraire. Pendant deux ans, la justification officielle de l’attente a été qu’on ne peut pas se conformer à des normes qui n’existent pas ; les dates une fois découplées des normes, cette justification est morte. Et les normes, pendant ce temps, arrivent quand même : le projet de lignes directrices sur la classification vient de clore sa consultation publique, les normes harmonisées sont attendues bien avant l’échéance, et chaque pièce publiée entre dès le lendemain dans les cahiers des charges et les due diligence, sans attendre 2027. Planifier une mise en conformité qui démarre à la mi-2027, c’est parier qu’on peut absorber en six mois un étalon que les concurrents auront eu dix-huit mois pour métaboliser. Cela peut marcher. Mais construire sa position réglementaire sur un pari de ce genre est une stratégie qui a un nom, et le nom n’est pas stratégie.
La troisième horloge n’attend personne
La troisième horloge est celle du marché, et c’est celle qui, à mon avis, est la plus sous-estimée, notamment parce qu’elle ne figure dans aucun journal officiel. Pendant que les obligations de l’AI Act glissaient, tout le reste du cadre réglementaire européen est resté exactement où il était. Les mesures de sécurité prévues par la transposition italienne de NIS2 entrent pleinement en vigueur à l’automne, et à partir de ce moment l’agence nationale de cybersécurité peut inspecter. Les obligations de signalement des vulnérabilités du Cyber Resilience Act se déclenchent en septembre, et elles valent aussi pour les produits déjà sur le marché, pas seulement pour les futurs. Et il y a une formalité passée presque inaperçue qui change la position de quiconque vend du logiciel à des hôpitaux, des régions ou de grands groupes : les entités NIS viennent de finir de communiquer à l’autorité la liste de leurs fournisseurs pertinents. Qui fournit des plateformes à ces entités est désormais, formellement, dans leur périmètre de risque. Avec nom et prénom.
La conséquence pratique de ce recensement, c’est que les exigences descendront le long de la chaîne d’approvisionnement par la voie contractuelle bien avant la voie législative. Un hôpital ou un prime contractor qui doit démontrer en octobre la sécurité de sa chaîne de fourniture n’attendra pas 2027 pour demander à ses fournisseurs des preuves, des clauses de notification des incidents, des droits d’audit, des processus de gestion des vulnérabilités. Il le fait déjà, ou il le fera au premier renouvellement. Et ici la perspective du CEO devient plus intéressante que celle du juriste, parce que le mécanisme d’enforcement de la filière ne prévoit pas de sanctions, il prévoit des remplacements. Le fournisseur qui se présente à la table sans un dossier technique présentable ne reçoit pas une amende, qu’on peut contester, échelonner, provisionner. Il reçoit un non-renouvellement, qui ne prévoit pas de recours. Le premier vrai audit ne sera pas mené par une autorité : il sera mené par un service achats, et les services achats n’accordent pas de circonstances atténuantes.
Le revers que personne ne calcule
L’inverse vaut aussi, et c’est la partie qui n’entre presque jamais dans les discussions sur le coût de la compliance. Dans un marché où la majorité des fournisseurs lit le report comme une permission de ralentir, le fournisseur qui se présente avec des logs, du lineage, des décisions documentées et un processus de notification testé ne démontre pas sa conformité : il raccourcit le cycle de vente. Chaque question du client qui se clôt par un lien plutôt que par une réunion, c’est de la marge. Chaque due diligence qui dure une semaine au lieu de deux mois, c’est un deal qui ne refroidit pas. La conformité construite pendant le développement a un coût presque invisible, parce qu’il se confond avec le coût de bien faire les choses ; celle construite après a une ligne budgétaire à son nom, et entre les deux il y a un écart qu’au niveau du système quelqu’un a estimé à des centaines de milliers d’euros pour une PME qui part de zéro sur le haut risque. Mais le chiffre compte moins que la forme de la courbe : le coût du report ne croît pas linéairement avec le temps, il croît avec le volume de passé non documenté qui s’accumule. Chaque sprint sans preuves est un sédiment de plus à excaver.
Une seule question, trois pièces
Si les trois horloges convergent vers quelque chose, c’est vers une seule question, la même pour les trois rôles qui se partagent d’ordinaire ce problème sans se parler. Le responsable compliance se l’entend poser par une autorité : pouvez-vous le démontrer ? Le CTO se l’entend poser dans une architecture review : pouvons-nous le démontrer ? Le CEO se l’entendra poser dans une due diligence, le jour où l’entreprise cherchera des capitaux ou un acquéreur, et dans cette pièce la mauvaise réponse ne produit pas une sanction mais une décote sur le prix. La question est identique parce que le cadre européen, sous les sigles, ne demande qu’une chose : la preuve de la diligence. L’AI Act la demande sur les modèles, le RGPD sur les données, le CRA sur les vulnérabilités, et la nouvelle directive sur la responsabilité du fait des produits, qui arrive en décembre et inclut explicitement le logiciel, la demandera devant un juge civil. On peut discuter à l’infini de quelle échéance glisse et laquelle ne glisse pas. La direction du système, elle, n’est pas en discussion, et cette direction est que la parole de celui qui produit du logiciel vaut de moins en moins et que son archive vaut de plus en plus.
Le dossier ou le récit
Dix-sept mois, c’est exactement le temps qu’il faut pour faire ce travail sans urgence, dans les cycles normaux de développement, en l’étalant là où il coûte peu. C’est aussi exactement le temps qu’il faut pour se convaincre qu’il en reste encore. Le report n’a pas déplacé le travail : il a déplacé l’excuse. Qui commence maintenant arrivera en décembre 2027 avec un dossier qui a grandi avec le produit. Qui commence à la mi-2027 arrivera avec un récit, et les récits, devant un inspecteur, un service achats ou un fonds en due diligence, ont un taux de conversion très bas.
Ce qu'il faut retenir
Le report au 2 décembre 2027 concerne une échéance de l’AI Act, pas la pression réglementaire. Dans le logiciel de santé, la pression vient de trois horloges différentes (enforcement, ingénierie, marché) et le Digital Omnibus n’en a touché aucune.
L’autorité qui contrôle aujourd’hui un système d’IA traitant des données cliniques n’est pas celle de l’AI Act : c’est le Garante, l’autorité italienne de protection des données, qui applique le RGPD depuis huit ans et vient d’avertir formellement une startup qui détectait les émotions au travail, avec les outils qu’elle a déjà. Les deux réglementations se superposent, elles ne se succèdent pas.
Logs immuables, lineage des datasets, décisions de conception documentées au moment où elles se prennent et surveillance humaine dessinée dans l’architecture ne se rattrapent pas après coup. La documentation produite plus tard est de l’archéologie : le code se refactorise, le passé non.
Les dates du report sont fixes : la proposition initiale les liait à la disponibilité des normes harmonisées, la négociation a retiré la condition. C’est la fin de l’alibi « on ne peut pas se conformer à des normes qui n’existent pas » : les normes arrivent de toute façon avant l’échéance, et entrent aussitôt dans les cahiers des charges et les due diligence.
NIS2 et le CRA n’ont pas glissé, et les entités NIS viennent de recenser leurs fournisseurs pertinents : les exigences descendront le long de la filière par la voie contractuelle bien avant la voie législative. Le fournisseur sans preuves ne reçoit pas une amende, il reçoit un non-renouvellement. Et les services achats n’accordent pas de circonstances atténuantes.
Questions & réponses
Qu'a exactement reporté le Digital Omnibus pour le logiciel de santé ?
Les obligations de l’AI Act sur les systèmes à haut risque glissent au 2 décembre 2027, avec une queue en août 2028 pour l’intelligence artificielle intégrée dans des produits déjà réglementés comme les dispositifs médicaux. Le report a des arguments sérieux : les normes harmonisées n’existent pas encore, les lignes directrices sur la classification sont arrivées en projet à la veille de l’échéance et les organismes notifiés sont rares. Mais il ne concerne que ces échéances : tout le reste du cadre réglementaire européen est resté où il était.
Pourquoi le report de l'AI Act ne réduit-il pas la pression sur qui traite des données cliniques ?
Parce que l’autorité qui contrôle aujourd’hui un système d’IA traitant des données cliniques n’est pas celle de l’AI Act, qui entrera en service dans un an et demi : c’est le Garante, l’autorité italienne de protection des données, qui applique le RGPD depuis huit ans. Et le Garante vient d’avertir formellement une startup pour un système qui détectait les émotions des salariés, l’une des pratiques que l’AI Act interdit, avec les outils qu’il a déjà. Les deux réglementations se superposent, elles ne se succèdent pas : un modèle qui traite des données de santé sans base juridique solide n’est pas un problème de 2027, c’est un problème de ce trimestre.
Pourquoi la documentation de conformité ne peut-elle pas se reconstruire après coup ?
Parce que les obligations qui ressemblent à des formalités sont en réalité des propriétés du système, qui doivent exister dès son premier jour d’exploitation : logs immuables (un log reconstruit n’est pas un log, c’est un témoignage), lineage des datasets d’entraînement, décisions de conception consignées au moment où elles se prennent, surveillance humaine dessinée dans l’architecture. Qui a essayé de reconstruire la provenance des données d’un modèle entraîné deux ans plus tôt le sait : les gens qui savaient sont partis, les scripts ont été réécrits, les buckets intermédiaires ont été nettoyés. La dette de conformité se comporte comme la dette technique, avec une circonstance aggravante : le code se refactorise, le passé non.
L'échéance du 2 décembre 2027 est-elle définitive ?
Oui, et c’est la différence la plus importante par rapport à la proposition initiale de la Commission, où les obligations se seraient déclenchées six mois après la confirmation de la disponibilité des normes harmonisées, 2027 n’étant qu’une date butoir. La négociation a éliminé la condition : les dates sont fixes. Mais la certitude du calendrier n’est pas une permission de remettre à plus tard. Elle enlève l’alibi de l’attente des normes, et les normes arrivent de toute façon avant l’échéance : le projet de lignes directrices sur la classification a déjà clos sa consultation publique et les normes harmonisées sont attendues bien avant 2027. Chaque pièce publiée entre aussitôt dans les cahiers des charges et les due diligence, sans attendre la date d’application.
Que se passe-t-il sur le marché pendant que les obligations de l'AI Act glissent ?
Tout le reste avance. Les mesures de sécurité de la transposition italienne de NIS2 entrent pleinement en vigueur à l’automne, les obligations de signalement des vulnérabilités du CRA se déclenchent en septembre et valent aussi pour les produits déjà sur le marché, et les entités NIS viennent de communiquer à l’autorité la liste de leurs fournisseurs pertinents. Qui fournit des plateformes à des hôpitaux, des régions ou de grands groupes est désormais formellement dans leur périmètre de risque, et les exigences descendront le long de la filière par la voie contractuelle : preuves, clauses de notification des incidents, droits d’audit. Qui se présente sans dossier ne reçoit pas une amende, il reçoit un non-renouvellement.
L'auteur
