AI Act, CRA, refonte CEMAC : faire d'un empilement de textes un seul plan d'action

Le calendrier réglementaire de juillet 2026 ressemble à un condensé de la décennie. Le 2 août, une nouvelle étape du règlement européen sur l'intelligence artificielle entre en application : obligations de transparence de l'article 50 (signalement des contenus générés, systèmes conversationnels, hypertrucages) et pouvoirs de sanction de la Commission sur les modèles à usage général, avec des amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial.

Trois semaines plus tôt, le 13 juillet, l'ENISA publiait un modèle d'auto-évaluation de la maturité cyber-résilience des PME, aligné sur le Cyber Resilience Act : cinq domaines évalués, de la gouvernance au cycle de vie produit, un outil téléchargeable, un classement en maturité basique, intermédiaire ou avancée. Et à Libreville, la COBAC ouvrait les offres d'un appel international pour réviser ses textes organiques et élaborer une loi bancaire unique pour les six pays de la CEMAC, appelée à remplacer le cadre issu des conventions de 1990 et 1992.

L'agence a depuis précisé le dispositif de signalement lui-même : une fiche et deux guides pas à pas de sa plateforme unique, publiés en juillet 2026 et mis à jour le 31, alors que la plateforme n'est pas encore ouverte. Elle doit l'être le 11 septembre, le jour même où l'obligation s'applique. La conséquence pratique pour un fabricant tient en une ligne : le compte EU Login qui ouvre l'accès se crée dès maintenant, la période d'essai, elle, ne se commande pas.

Trois régulateurs, trois géographies, trois sujets. Vus d'une direction générale, trois nouveaux chantiers qui s'ajoutent à ceux qui existent déjà : NIS2, CSRD, EUDR, selon le secteur. C'est ce que les directions de la conformité appellent, avec une lassitude croissante, l'empilement.

Face à chaque nouveau texte, le réflexe institutionnel est toujours le même : un projet dédié, un responsable dédié, un cabinet dédié, un tableur dédié. Ce réflexe a une logique, chaque texte ayant son régulateur et ses sanctions propres. Il a surtout un coût, que peu d'organisations mesurent.

Le premier coût est la redondance : les mêmes équipes répondent trois fois aux mêmes questions, à quelques formulations près. Qui est responsable de ce système ? Où est l'inventaire ? Comment gérez-vous les incidents ? Un RSSI de PME industrielle peut passer une partie significative de son année à alimenter des questionnaires qui se recouvrent aux deux tiers.

Le second coût est l'incohérence : trois chantiers séparés produisent trois états des lieux séparés, qui divergent vite. La direction générale reçoit trois niveaux de gravité, trois budgets, trois calendriers, sans moyen de les arbitrer entre eux. Et le troisième coût est stratégique : à force de courir après chaque échéance, l'organisation ne construit jamais le socle qui lui permettrait d'absorber la suivante.

Relisons pourtant les trois signaux de juillet avec un œil de praticien. L'AI Act exige d'abord un inventaire des systèmes d'IA et de leurs usages, une gouvernance claire, une documentation prouvable. Le CRA, tel que le décline le modèle de l'ENISA, évalue la gouvernance, la gestion des risques, le traitement des vulnérabilités, le cycle de vie des produits, les compétences. Un futur cadre prudentiel CEMAC exigera, comme tous les cadres bâlois, une gouvernance des risques, des dispositifs documentés, un contrôle interne démontrable.

Autrement dit : sous des vocabulaires différents, une large part des exigences se recouvre. Savoir ce que l'on opère (inventaire des systèmes, des produits, des processus). Savoir qui décide (gouvernance, responsabilités). Savoir ce qui peut mal tourner (gestion des risques). Savoir réagir (incidents, vulnérabilités, continuité). Savoir le prouver (documentation, traçabilité). Cinq capacités de socle, que chaque texte décline ensuite dans son domaine.

C'est précisément parce que ce socle est commun que le traitement en silo est un gaspillage : chaque chantier séparé reconstruit, à ses frais, un inventaire, une cartographie des risques et une gouvernance que le chantier voisin vient de payer.

L'alternative n'est pas de fusionner les conformités en un dossier unique, les régulateurs ne le permettraient pas. Elle est de séparer deux choses que le réflexe en silo confond : le socle, qui se mesure une fois, et les vues réglementaires, qui se déclinent par texte.

Concrètement : un diagnostic de maturité unique évalue les capacités de socle, inventaire, gouvernance, risques, incidents, documentation. Chaque critère évalué est rattaché aux textes qu'il sert : tel contrôle d'inventaire alimente à la fois l'AI Act et le CRA ; telle exigence de gouvernance des risques sert le CRA et le futur cadre CEMAC. La mesure révèle alors ce que les silos cachent : les collisions, ces actions uniques qui font progresser deux ou trois conformités d'un coup.

C'est le principe du croisement d'audits : au lieu d'empiler les évaluations, on les fait se parler. Une organisation qui se mesure sur trois référentiels avec un socle commun découvre presque toujours que son vrai retard tient en une poignée de capacités transverses, pas en trois cents exigences distinctes.

Reste à ordonner le plan d'action. Deux critères suffisent, à condition de les croiser. L'échéance d'abord : le 2 août 2026 est passé ou imminent selon la lecture, les obligations principales du CRA arrivent fin 2027, le futur texte CEMAC suivra sa procédure d'adoption. Le rendement ensuite : une action qui sert trois textes vaut, à effort égal, trois fois une action qui n'en sert qu'un.

Le croisement donne un séquencement naturel. En tête, les capacités de socle à haut rendement : l'inventaire des systèmes d'IA et des produits logiciels, la gouvernance des risques, le dispositif d'incidents. Ensuite, les deltas spécifiques par échéance : le marquage de transparence de l'article 50 pour l'IA, les exigences produit du CRA, les ajustements prudentiels quand le texte CEMAC sera publié. En queue, ce qui peut attendre sans risque, documenté comme tel.

Ce séquencement a une vertu politique autant que technique : il donne à la direction générale un seul arbitrage budgétaire, une seule trajectoire, au lieu de trois demandes concurrentes dont chacune se prétend prioritaire.

Piloté ainsi, l'empilement change de nature. Le diagnostic de socle devient un actif réutilisable : quand le prochain texte arrivera, et il arrivera, l'organisation ne repartira pas de zéro, elle mesurera le delta. Les restitutions se déclinent par interlocuteur depuis la même donnée : la vue AI Act pour le régulateur concerné, la vue CRA pour les acheteurs qui la demanderont, la vue prudentielle pour le superviseur, la vue consolidée pour le comité de direction.

Et la mesure répétée dans le temps transforme la conformité en trajectoire : on ne dit plus « nous sommes conformes », affirmation invérifiable et périssable, mais « voici notre maturité, sa progression et son plan », démonstration datée et opposable.

L'empilement réglementaire est une réalité qui ne ralentira pas ; la fragmentation des réponses, elle, est un choix. Les organisations qui font le choix inverse, un socle mesuré, des vues par texte, un seul plan priorisé, ne subissent pas moins de textes que les autres. Elles les absorbent mieux, et moins cher.