Dans quelle mesure les entreprises européennes sont-elles préparées à l'EU AI Act ? Une analyse d'informations publiques portant sur 27 États membres, 7 secteurs d'activité et 10 villes.
Alors qu'il ne reste que 46 jours avant l'entrée en vigueur des obligations principales de l'EU AI Act le 2 août 2026, les entreprises européennes font face à une crise de préparation qui traverse tous les secteurs, toutes les tailles d'entreprises et toutes les frontières nationales.
Cette analyse synthétise des données publiquement disponibles issues de 14 enquêtes indépendantes, de publications gouvernementales, de rapports sectoriels et de bases de données de recrutement afin de construire la première évaluation de préparation à l'AI Act axée sur les entreprises. Contrairement aux indices existants qui suivent la capacité d'application des gouvernements, l'indice MmowW de préparation à l'EU AI Act mesure ce qui compte pour les dirigeants d'entreprise : Votre organisation est-elle prête à se conformer ?
La réponse, pour la plupart des entreprises européennes, est non.
L'enquête 2026 de Vision Compliance a révélé que 78 % des entreprises n'ont pris aucune mesure significative en vue de la mise en conformité. La Cloud Security Alliance rapporte que plus de la moitié ne dispose pas d'un inventaire de base des systèmes d'IA. Seules 8 % des organisations à l'échelle mondiale disposent d'un cadre de gouvernance de l'IA complet, selon les données du secteur, alors même que 88 % utilisent activement l'IA dans leurs fonctions métiers.
L'écart entre l'adoption de l'IA et sa gouvernance constitue le défi majeur de 2026. Ce rapport cartographie cet écart selon les pays, les secteurs et les villes, et identifie les organisations qui font face aux plus grands risques et aux opportunités les plus évidentes.
L'indice MmowW de préparation à l'EU AI Act évalue la préparation des entreprises sur une échelle de 100 points selon cinq dimensions. Les scores sont établis à partir de données publiquement disponibles, notamment des résultats d'enquêtes, des publications gouvernementales, des bases de données de recrutement, des divulgations d'entreprise et des rapports sectoriels.
Les pays et secteurs sont classés en quatre bandes de préparation : Prêt (75-100), Avancé (50-74), Émergent (25-49) et Critique (<25).
Limites importantes : Il s'agit d'une analyse d'informations publiques (recherche documentaire). Les scores sont dérivés de données d'enquête agrégées et de signaux publics, et non d'une recherche primaire directe auprès d'entreprises individuelles. Les scores au niveau des secteurs et des villes utilisent des composites pondérés des sources de données disponibles. Lorsque les données sont rares, les scores reflètent des estimations prudentes. Toutes les sources sont listées à la Section 10.
Le paradoxe de la gouvernance : 88 % utilisent l'IA, mais seulement 8 % la gouvernent.
Les organisations européennes ont massivement adopté l'IA, mais l'infrastructure de gouvernance n'a pas suivi le rythme. 76 % des organisations disposent désormais d'un titre de Chief AI Officer, contre 26 % en 2025, pourtant seulement 8 % disposent d'un cadre de gouvernance complet. Le titre existe ; le cadre, non.
Les services financiers en tête ; les RH et l'éducation dangereusement en retard.
Les services financiers obtiennent le score le plus élevé de notre indice (62/100, Avancé), porté par une culture réglementaire préexistante. Les technologies RH et l'éducation, bien que classées à haut risque au titre de l'Annex III, obtiennent respectivement 28/100 et 22/100. Ces secteurs font face aux obligations de conformité les plus élevées avec la préparation la plus faible.
Le clivage nordique-méridional est réel, mais pas là où l'on pense.
La préparation gouvernementale (désignation de l'NCA, opérations de bacs à sable) favorise également l'Europe du Nord et du Sud : le Danemark, l'Espagne, la Finlande et la Lituanie mènent la marche. Mais la préparation des entreprises suit un schéma différent : les pays nordiques (Danemark, Finlande, Suède) mènent avec 55-62/100, tandis que l'Europe du Sud et de l'Est accuse un retard avec 18-35/100. La France, deuxième économie de l'UE, n'a pas désigné d'autorités nationales de l'IA et n'obtient que 38/100 en préparation des entreprises.
L'Article 4 (culture en IA) est l'obligation la plus ignorée alors qu'elle s'applique déjà.
L'Article 4 est en vigueur depuis le 2 février 2025. Pourtant, seules 35 % des organisations disposent d'un programme mature de perfectionnement en IA (DataCamp 2026). 42 % des employés déclarent que leur employeur attend d'eux qu'ils apprennent l'IA par eux-mêmes. 34 % se sentent mal préparés aux changements induits par l'IA. L'obligation est en vigueur. Les mesures d'application pourraient débuter à tout moment.
Le précipice de conformité des PME : des coûts allant de quasi nul à plus de 600 000 euros.
Pour les PME déployant une IA non à haut risque, les coûts de conformité annuels sont inférieurs à 2 000 euros. Mais pour les PME FinTech, HealthTech et HR Tech fournissant des systèmes d'IA à haut risque, les coûts initiaux atteignent 200 000 à 600 000 euros, avec 80 000 à 150 000 euros par an. La plupart des PME ne savent pas dans quelle catégorie elles se trouvent, car elles n'ont pas réalisé d'inventaire de leurs systèmes d'IA.
Le répit de l'Omnibus : les échéances à haut risque reportées à décembre 2027, mais pas l'Article 4 ni la transparence.
L'accord provisoire du Digital Omnibus du 7 mai 2026 reporte les obligations à haut risque de l'Annex III d'août 2026 à décembre 2027. Toutefois, l'Article 4 (culture en IA), l'Article 5 (pratiques interdites) et l'Article 50 (transparence) restent soumis au calendrier du 2 août 2026. De nombreuses organisations ont mal interprété l'Omnibus comme un répit général. Ce n'est pas le cas.
Aucun État membre de l'UE n'a publié de modèles officiels pour la conformité à l'AI Act.
Malgré l'échéance d'août 2026, la Commission européenne n'a pas publié de modèles de conformité normalisés. Aucune autorité nationale ne propose de modèles prêts à remplir pour la politique de gouvernance de l'IA, de formulaires d'évaluation des risques ou de programmes de formation à la culture en IA. Il s'agit là de la lacune du marché qui définit l'opportunité pour les fournisseurs d'infrastructures de conformité.
Les classements suivants évaluent la préparation au niveau des entreprises, et non la capacité d'application des gouvernements. Un pays peut disposer d'une infrastructure gouvernementale solide mais d'une préparation faible des entreprises, ou inversement.
| Pays | Réglementaire (20) | Gouvernance (25) | Culture (20) | Conformité (20) | Écosystème (15) | Total | Bande |
|---|---|---|---|---|---|---|---|
| Danemark | 18 | 15 | 13 | 8 | 8 | 62 | Avancé |
| Finlande | 17 | 14 | 13 | 7 | 8 | 59 | Avancé |
| Suède | 12 | 14 | 14 | 7 | 9 | 56 | Avancé |
| Pays-Bas | 14 | 13 | 12 | 7 | 8 | 54 | Avancé |
| Espagne | 18 | 10 | 9 | 7 | 8 | 52 | Avancé |
Divergence notable : l'Espagne se classe la plus élevée sur l'environnement réglementaire (18/20) grâce à AESIA, la première agence de supervision de l'IA dédiée en Europe, et à un bac à sable opérationnel depuis 2025. Mais la gouvernance et la culture des entreprises accusent un retard par rapport aux pays nordiques. À l'inverse, les entreprises suédoises affichent une gouvernance et une culture solides malgré une infrastructure réglementaire plus faible. Cela suggère que la préparation des entreprises dépend davantage de la culture d'entreprise et de la maturité numérique que de l'action gouvernementale.
La préparation des entreprises varie considérablement selon les secteurs. Les services financiers, déjà habitués à une réglementation stricte (MiFID II, PSD2, DORA), démontrent l'infrastructure de conformité la plus solide. Les secteurs nouvellement soumis à la classification à haut risque au titre de l'Annex III affichent la préparation la plus faible.
81 % des entreprises de services financiers utilisent l'IA à un certain niveau. 40 % déclarent une adoption avancée de l'IA. La détection de fraude, le scoring de crédit et le trading algorithmique stimulent l'adoption. L'infrastructure réglementaire préexistante (équipes de conformité MiFID II, cadres de gestion des risques, validation des modèles) se traduit directement par une préparation à l'AI Act. 59 % font état de gains de productivité mesurables grâce à l'IA.
Risque clé : le scoring de crédit par IA est classé à haut risque au titre de l'Annex III. Malgré une forte culture de gouvernance, 61 % ne disposent toujours pas de processus de documentation technique requis pour les systèmes à haut risque.
Les systèmes de suivi des candidatures basés sur l'IA qui notent, classent ou filtrent les candidats sont explicitement à haut risque au titre de l'Annex III. Pourtant, seules 21 % des organisations RH disposent d'un cadre de gouvernance pour l'IA, et 67 % citent le manque de sensibilisation aux capacités de l'IA comme principal obstacle. 46 % des organisations utilisent ou prévoient d'utiliser l'IA en RH, mais l'infrastructure de conformité est minimale.
Risque clé : de nombreux services RH utilisent des outils d'IA (tri de CV, notation automatisée) sans les reconnaître comme des systèmes d'IA à haut risque. Le Digital Omnibus reporte les obligations à haut risque de l'Annex III à décembre 2027, mais les obligations de culture en IA de l'Article 4 pour les équipes RH utilisant ces outils sont déjà en vigueur.
Les systèmes d'IA déterminant l'accès à l'éducation, évaluant les résultats d'apprentissage et surveillant le comportement des élèves sont à haut risque. Les établissements d'enseignement européens disposent d'une infrastructure de gouvernance de l'IA minimale. Aucune orientation spécifique au secteur n'a été publiée par une quelconque autorité nationale compétente.
Risque clé : les universités et les écoles déploient de plus en plus l'IA pour la notation, le tri des candidatures et la détection du plagiat, sans cadre de conformité en place.
Aucune enquête existante ne fournit de données de préparation à l'AI Act au niveau des villes. Cette analyse construit des estimations au niveau des villes en combinant les scores de préparation nationaux avec les données régionales d'adoption de l'IA d'Eurostat, les offres d'emploi en gouvernance de l'IA sur LinkedIn par zone métropolitaine, et les indices d'innovation au niveau des villes.
Le paradoxe parisien : malgré l'écosystème de recherche en IA de classe mondiale de la France (Mistral AI, INRIA, le service IA dédié de la CNIL), la préparation des entreprises à Paris accuse un retard par rapport aux capitales nordiques. La cause profonde en est l'incertitude réglementaire : la France n'a pas désigné d'autorités nationales de l'AI Act, laissant les entreprises sans orientation claire en matière de conformité. L'innovation n'équivaut pas à la préparation à la conformité.
Le statut atypique de Dublin : les 15 régulateurs sectoriels désignés par l'Irlande créent une complexité, mais la concentration de multinationales technologiques américaines (Google, Meta, Microsoft, Apple) donne aux entreprises de Dublin un accès à des ressources de conformité mondiales dont les villes européennes plus petites ne disposent pas.
Dans tous les pays et secteurs, quatre écarts critiques ressortent de manière constante.
Plus de la moitié des organisations n'ont pas réalisé un inventaire de base de leurs systèmes d'IA. Sans inventaire, une organisation ne peut pas déterminer lesquels de ses systèmes d'IA relèvent des catégories interdites, à haut risque, à risque limité ou à risque minimal. Il s'agit du prérequis le plus fondamental à la conformité, et la majorité n'a pas encore commencé.
61 % des organisations n'ont aucun processus pour générer la documentation technique requise pour les systèmes d'IA à haut risque, notamment les registres de gouvernance des données, les indicateurs de performance des modèles et les procédures de supervision humaine. Même les organisations ayant entamé un travail de conformité s'arrêtent souvent à la politique de gouvernance et n'atteignent jamais la documentation technique.
82 % des organisations déclarent proposer une forme de formation à l'IA. Mais seules 35 % disposent d'un programme mature, à l'échelle de l'organisation. L'écart entre « nous avons une formation » et « notre personnel est formé à l'IA comme l'exige l'Article 4 » est considérable. 42 % des employés déclarent que leur employeur attend d'eux qu'ils apprennent l'IA par eux-mêmes.
74 % des organisations ne disposent pas d'un responsable interne désigné ou d'un organe de gouvernance pour la conformité en matière d'IA. Sans responsabilité claire, les activités de conformité sont fragmentées entre les services juridiques, informatiques et opérationnels, sans point d'imputabilité unique.
| Date | Obligation | Qui est concerné | Statut |
|---|---|---|---|
| 2 févr. 2025 | Article 4 : obligation de culture en IA | Tous les fournisseurs et déployeurs | EN VIGUEUR |
| 2 févr. 2025 | Article 5 : pratiques d'IA interdites | Toutes les organisations | EN VIGUEUR |
| 2 août 2025 | Article 70 : échéance de désignation de l'NCA | États membres | 8/27 RÉALISÉ |
| 2 août 2026 | Article 50 : obligations de transparence | Fournisseurs d'IA interagissant avec des personnes | 46 JOURS |
| 2 août 2026 | Article 57 : bacs à sable réglementaires opérationnels | États membres | 46 JOURS |
| 2 août 2026 | Obligations relatives aux modèles GPAI (Art. 51-56) | Fournisseurs de GPAI (OpenAI, Mistral, etc.) | 46 JOURS |
| 2 déc. 2027 | Obligations à haut risque de l'Annex III (reportées par l'Omnibus) | Fournisseurs/déployeurs d'IA à haut risque (RH, crédit, éducation) | REPORTÉ |
Commencez dès aujourd'hui par l'Article 4. La culture en IA est déjà une obligation légale. Évaluez quel personnel interagit avec des systèmes d'IA, déterminez ses besoins de formation en fonction du rôle et du contexte, et documentez la formation dispensée. Il s'agit de l'action de conformité la moins coûteuse et la moins risquée, et celle susceptible de faire l'objet d'une attention précoce en matière d'application.
Réalisez un inventaire des systèmes d'IA ce trimestre. Recensez chaque outil d'IA utilisé par votre organisation, des chatbots aux outils de prise de décision automatisée. Classez chacun selon les niveaux de risque de l'AI Act. La plupart des organisations découvriront qu'elles utilisent plus d'IA qu'elles ne le pensaient.
Désignez un responsable de la conformité en IA. Qu'il s'agisse d'un CAIO, d'un responsable de la conformité ou d'un comité transversal, quelqu'un doit assumer la gouvernance de l'IA. Sans responsabilité, rien n'avance.
Cartographiez dès maintenant votre exposition à l'Annex III. L'Omnibus reporte les échéances à haut risque à décembre 2027, mais la préparation de l'évaluation de conformité prend de 12 à 18 mois. Commencer au T3 2026 laisse exactement le délai nécessaire.
Engagez-vous auprès de votre bac à sable national. La participation au bac à sable réglementaire est gratuite pour les PME et disponible dans chaque État membre d'ici août 2026. Les tests en bac à sable permettent de détecter les lacunes de conformité avant le déploiement, alors que les coûts de remédiation ne représentent qu'une fraction de ceux d'une refonte post-lancement.
Ne considérez pas l'Omnibus comme un répit général. Les échéances de l'Article 4 (culture), de l'Article 5 (pratiques interdites) et de l'Article 50 (transparence) restent inchangées. Elles concernent toute organisation déployant l'IA.
Surveillez les divergences des lois de mise en œuvre nationales. L'Allemagne (KI-MIG), les Pays-Bas (Uitvoeringswet), l'Espagne (cadre AESIA) et la Finlande (loi 1377/2025) ajoutent chacun des exigences au niveau national. Les entreprises transfrontalières doivent suivre la mise en œuvre dans chaque juridiction où elles opèrent.
Le Vol.2 comprendra des données d'enquête directes auprès des entreprises européennes. Si votre organisation souhaite participer et recevoir le score de préparation de votre entreprise avec des références sectorielles, inscrivez votre intérêt ci-dessous.
Enquêtes de préparation des entreprises :
1. Vision Compliance. « 2026 EU AI Act Readiness Report. » Avril 2026. Constat : 78 % des entreprises non préparées, 74 % sans organe de gouvernance, 61 % sans processus de documentation technique. National Law Review
2. Cloud Security Alliance. « EU AI Act High-Risk Compliance Deadline. » Mars 2026. Constat : plus de 50 % n'ont pas d'inventaire des systèmes d'IA. CSA Labs
3. Deloitte. « State of AI in the Enterprise. » Septembre 2024. Constat : 26 % se préparent activement,