La conformité IA devient un produit, les règles restent fragmentées et les échéances glissent

La conformité se vend désormais par module. Quick Heal a lancé Seqrite NOVA Data Privacy, une offre assistée par IA pour les petits bureaux, les PME et les entreprises de taille intermédiaire qui doivent se mettre en règle avec la loi indienne DPDP.

Pour les acheteurs, l'argument déplace la question. Le test utile n'est plus de savoir si un outil est conforme. Il porte sur l'exigence précise, nationale ou propre à un État, à laquelle l'outil répond, et sur qui paie quand il passe à côté. Aucune des deux sociétés n'a indiqué le prix des nouveaux modules.

NOVA est proposé en trois niveaux : Lite, Essentials et Professional. Son moteur de traduction restitue les formulaires de consentement et les menus de cookies dans 22 langues officiellement reconnues en Inde. Quick Heal affirme que la plateforme repère et classe les données personnelles sur les postes de travail, dans les applications cloud, les bases de données et les fichiers non structurés, y compris le texte contenu dans des images scannées. La société soutient que les petits acheteurs n'ont pas les effectifs pour faire ce travail eux-mêmes. « Naviguer dans la conformité DPDP de l'Inde ne devrait pas être une épreuve complexe et lourde en ressources pour les entreprises en croissance », a déclaré Harish Kumar GS, directeur général de Quick Heal.

Fusemachines a fait un pari comparable quatre jours plus tôt. Le 29 octobre 2026, l'entreprise a déployé un module de consentement à l'usage de l'IA dans HireFoundry.ai, destiné aux employeurs qui recrutent dans les 50 États américains. Les candidats qui refusent passent quand même l'entretien. L'agent d'entretien ne rejoint alors pas l'appel, ne l'écoute pas, ne le transcrit pas et ne l'analyse pas. « Les entreprises devraient pouvoir se concentrer sur le recrutement des bons profils sans avoir à bâtir un processus de consentement IA distinct pour chaque État où elles recrutent », a déclaré Giovanni Lemus, vice-président produit chez Fusemachines.

La prévision repose sur le volume réglementaire plutôt que sur une loi unique. ResearchAndMarkets attribue à l'IA et au cloud une baisse des coûts et la possibilité d'une surveillance en temps réel entre juridictions. Le cabinet cite le RGPD, la CSRD et DORA parmi les moteurs de la demande.

En Inde, l'échéance DPDP crée l'urgence

Le calendrier indien est le plus serré. L'Inde a notifié les règles DPDP en novembre 2025. Les dispositions clés entrent en vigueur par étapes jusqu'en mai 2027.

La préparation reste faible. Une enquête EY publiée en janvier a montré que plus de 83 % des organisations n'avaient pas commencé à mettre en œuvre les exigences dans les processus et systèmes concernés. Cet écart est l'ouverture commerciale que vise Quick Heal. Reste à savoir si une petite entreprise peut ainsi convaincre un régulateur : personne ne l'a testé. L'entrée en vigueur progressive fait arriver les obligations une par une.

L'Europe allonge le calendrier des bacs à sable

L'Europe a pris le chemin inverse, en gardant sa loi et en s'accordant du temps. Le règlement AI Omnibus est entré en vigueur dans toute l'UE le 27 juillet 2026.

Son changement le plus concret est un report. Les États membres ont désormais jusqu'au 2 août 2027 pour disposer d'au moins un bac à sable réglementaire national sur l'IA, soit un an de plus que l'échéance initiale. Le règlement crée aussi un bac à sable au niveau de l'UE, que l'AI Office peut mettre en place avec les autorités compétentes.

Un bac à sable n'est pas un laissez-passer de dérégulation. Les entreprises y testent des systèmes sous supervision et apprennent ce que les régulateurs attendent avant le lancement.

Aux États-Unis, les règles restent fragmentées et les tribunaux comblent les vides

Washington n'a pas de loi fédérale sur l'IA. La Californie a adopté la SB 53 en septembre 2025, et un projet de loi fédéral FRONTIER a été déposé en juillet 2026, selon une analyse de note.com citant Newsweek Japan. L'AI Act lui-même est entré en vigueur le 1er août 2024 et applique ses obligations par phases.

Là où les législateurs tardent, les tribunaux avancent. En octobre 2026, des plaignants ont déposé des recours collectifs potentiels devant le district nord de l'Illinois contre Grok, de xAI. Les plaintes allèguent que la plateforme a traité des photographies téléversées par les utilisateurs sans les informations ni les autorisations écrites requises. Le BIPA, adopté en 2008, compte le scan de la géométrie du visage comme identifiant biométrique mais exclut expressément les photographies. Les plaignants affirment que le traitement a franchi cette limite. Les allégations ne sont pas prouvées et les affaires en sont à un stade précoce.

La surveillance reste aux mains des employeurs

Dans chaque cas, le fournisseur vend le flux de travail et l'acheteur conserve la responsabilité. Fusemachines précise que les recruteurs choisissent les questions posées et restent responsables de l'évaluation des candidats et des décisions d'embauche.

Les échéances restent ouvertes. Les plaignants n'ont pas établi leurs demandes au titre du BIPA.