AI Act et infrastructures critiques énergie/O&G : le pari asymétrique d'attendre une clarification

Le 2 août 2026, la Commission européenne a commencé à faire appliquer l'AI Act via son AI Office et les autorités nationales des États membres. Le même jour marque, sur le papier, l'entrée en vigueur des obligations les plus lourdes pour les systèmes d'IA à haut risque de l'Annexe III. Mais un mois et demi plus tôt, le 29 juin 2026, le paquet de simplification Digital Omnibus avait déjà repoussé une partie de ce calendrier au 2 décembre 2027 — un report que le marché a lu, globalement, comme des vacances de seize mois pour l'ensemble du haut risque.

Ce n'est pas ce que disent les textes. Les résumés officiels et les analyses juridiques disponibles énumèrent les catégories bénéficiant du report : recrutement et gestion des travailleurs, scoring de crédit, accès aux services essentiels, éducation, application de la loi. Cinq des huit catégories de l'Annexe III. Les infrastructures critiques — point 2 de l'Annexe III, qui couvre les composants de sûreté dans l'électricité, le gaz, le chauffage et les services énergétiques — ne figurent pas explicitement dans ces énumérations publiques, pas plus que la biométrie. Interrogée directement sur ce point, la documentation officielle de la Commission confirme le report « pour certains cas d'usage à haut risque » sans détailler la liste complète des catégories couvertes.

Cette ambiguïté n'est pas un détail juridique pour le secteur O&G et énergie : c'est précisément là que se concentrent ses systèmes d'IA les plus sensibles. Côté amont, contrôle de puits, surveillance de pression et prévention d'éruption. Côté midstream, systèmes intégrés SCADA, détection de fuite, gestion de l'intégrité des infrastructures. En aval, pilotage de procédé de raffinage et détection de danger. En production électrique, gestion de réseau, outils de dispatch et détection de défaut. Selon l'analyse sectorielle de Baker Botts, ces usages basculent en haut risque par deux voies : en tant que composant de sûreté d'une infrastructure critique (Annexe III, point 2), ou parce qu'ils sont intégrés à des produits déjà soumis à évaluation de conformité par tiers — règlement Machines, directive équipements sous pression, directive ATEX (Annexe I).

Les obligations qui en découlent ne sont pas cosmétiques : système de gestion des risques documenté, mécanismes de supervision humaine, gouvernance des données, journalisation, documentation technique, évaluation de conformité avant déploiement et enregistrement dans la base de données européenne. Le régime de sanctions associé atteint 15 M€ ou 3 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu — un niveau comparable, voire supérieur selon les cas, à celui du RGPD.

C'est ici que l'économiste doit intervenir, parce que l'intuition spontanée — « le report existe, autant en profiter » — inverse le bon calcul en situation d'ambiguïté véritable. Ce n'est pas un risque probabilisable au sens classique : ni la Commission ni les cabinets qui suivent le dossier n'ont, à ce stade, confirmé publiquement si les infrastructures critiques entrent ou non dans le périmètre du report. Face à une telle incertitude non probabilisée, la décision rationnelle ne consiste pas à parier sur l'issue la plus favorable, mais à borner la perte maximale. Or la perte maximale d'attendre à tort est une sanction de 15 M€ ou 3 % du chiffre d'affaires, potentiellement cumulée à un risque de sûreté opérationnelle (un incident sur un système de prévention d'éruption non conforme ne se limite pas à une amende réglementaire). Le gain maximal d'attendre à raison n'est, lui, que le report d'une dépense de mise en conformité déjà budgétable. L'asymétrie des issues, pas la probabilité de l'une ou l'autre, doit gouverner la décision.

Un point distributif se dégage, cohérent avec ce que Cardan-AI observe ailleurs dans les secteurs régulés : les opérateurs qui font déjà tourner des régimes de conformité lourds — normes API amont, directive ATEX, gestion de l'intégrité SCADA, culture HSE — supportent un coût marginal d'extension de leur gouvernance existante à l'IA nettement inférieur à celui d'un acteur qui découvre le sujet. Pour eux, cartographier les systèmes d'IA de sûreté face à l'Annexe III, point 2, n'est pas un chantier nouveau : c'est une extension d'un exercice qu'ils font déjà pour d'autres régimes.

L'instruction pratique est donc precise plutôt que prudente au sens attentiste du terme. Cartographier sans délai les systèmes d'IA de sûreté en amont, midstream, aval et production électrique ; obtenir un avis juridique formel, documenté, sur le statut de chaque système au regard du report Digital Omnibus plutôt que de présumer une réponse ; et prioriser la mise en conformité — gestion des risques, supervision humaine, journalisation — sur les systèmes les plus proches de la sûreté physique, indépendamment de l'issue du débat sur le calendrier. C'est le terrain sur lequel Cardan-AI accompagne les opérateurs énergie et O&G : transformer une zone grise réglementaire en feuille de route documentée et défendable, avant plutôt qu'après un contrôle.