Deux modèles, un seul corpus de règles : ce que la WAICO signifie pour la gouvernance de l'IA hors d'Europe

Qu'est-ce que la WAICO ?

La WAICO est l'Organisation mondiale de coopération sur l'intelligence artificielle (World Artificial Intelligence Cooperation Organization), une organisation intergouvernementale consacrée à l'intelligence artificielle qui n'existait pas il y a un mois. Vingt-neuf États ont signé son accord fondateur à Shanghai le 16 juillet 2026, la veille de la Conférence mondiale annuelle sur l'intelligence artificielle. La Chine en est à l'origine, héberge son secrétariat à Shanghai et l'a orientée délibérément vers les pays du Sud. Le ministre chinois des Affaires étrangères Wang Yi a signé pour la Chine, le Secrétaire général des Nations unies António Guterres assistait à la cérémonie, et Xi Jinping a annoncé l'organisation depuis la scène de la conférence le lendemain.

Si vous n'en avez pas entendu parler, c'est en partie voulu et en partie parce qu'aucun État de votre périmètre réglementaire n'y a adhéré. Aucun État membre de l'UE n'a signé. Pas davantage les États-Unis, le Royaume-Uni, le Japon, la Corée du Sud, le Canada ou l'Australie. La liste fondatrice comprend le Brésil, l'Indonésie, l'Afrique du Sud, le Kenya, la Malaisie, le Vietnam, le Pakistan, la Russie, le Kazakhstan, l'Éthiopie, le Sénégal, l'Algérie, la Serbie, Oman et une douzaine d'autres, aux côtés de la Chine.

Le point le plus important à établir d'entrée est ce que la WAICO n'est pas. Ce n'est pas un régulateur. Elle n'a aucune compétence législative, aucune autorité de surveillance, aucun régime de sanctions et aucun dispositif d'évaluation de la conformité. Personne ne sera jamais sanctionné par la WAICO, audité par la WAICO, ni tenu de détenir un certificat WAICO. Si une ligne de votre feuille de route de gouvernance de l'IA mentionne la conformité WAICO, supprimez-la.

Pourquoi une équipe conformité occidentale doit tout de même s'y intéresser

La presse a présenté la WAICO comme une rivale de la gouvernance occidentale de l'IA, menée par la Chine. Ce cadrage est exact et presque inutile, car il invite à classer l'affaire sous l'étiquette géopolitique et à passer à autre chose. La raison de s'y intéresser est plus étroite et plus concrète.

Deux modèles circulent désormais pour indiquer à un pays qui n'a pas encore légiféré sur l'IA comment le faire. L'Union européenne en fournit un par diffusion : elle a rédigé un corpus de règles détaillé, les multinationales s'y conforment parce qu'elles y sont obligées, et les législateurs d'ailleurs en empruntent la structure parce qu'adapter un cadre éprouvé coûte moins cher que d'en inventer un. Une étude publiée par la Thomson Reuters Foundation le 28 juillet 2026 mesure la distance déjà parcourue par cette diffusion. La WAICO fournit l'autre, et il s'accompagne de places de formation, de centres de coopération et d'un soutien aux infrastructures plutôt que de coûts de mise en conformité.

À mon sens, cette compétition se jouera dans deux endroits peu spectaculaires, dont aucun n'est un communiqué de sommet : les comités techniques de l'ISO et de la CEI, et les projets de loi nationaux sur l'IA actuellement en préparation dans les États membres de la WAICO. Les deux atteignent votre dispositif de contrôle. Aucun ne s'annoncera.

Ce à quoi les textes fondateurs engagent réellement

Deux textes définissent l'organisation. Le premier est le Plan d'action pour la gouvernance mondiale de l'intelligence artificielle, publié le 26 juillet 2025 et diffusé par Xinhua. Il présente l'IA comme un bien public international, invoque le Pacte pour l'avenir des Nations unies et son Pacte numérique mondial, et énonce treize actions fondées sur six principes : servir les populations, respecter la souveraineté, l'orientation vers le développement, la sécurité et la contrôlabilité, l'équité et l'inclusion, et la coopération ouverte. Le second est le discours de Xi de 2026, qui condense la position chinoise en quatre points.

La plupart des treize points relèvent de la politique de développement : infrastructures, adoption industrielle, efficacité énergétique, renforcement des capacités. Quatre ont une portée réelle pour quiconque pilote un programme de gouvernance de l'IA.

• Point 6, les données. Il appelle à des flux de données licites, ordonnés et libres, à un mécanisme mondial de partage des données et à des jeux de données construits en commun, tout en mentionnant la vie privée et la sécurité des données. Un mécanisme mondial de partage des données et le chapitre V du RGPD ne sont pas des ambitions compatibles, et toute organisation à cheval sur les deux régimes vivra avec cette tension plutôt que de la résoudre.
• Point 8, la normalisation. Il engage à construire un consensus sur les normes et les standards par l'intermédiaire de l'UIT, de l'ISO et de la CEI. C'est la ligne qui compte le plus, et celle dont personne n'a parlé.
• Point 10, la gouvernance de la sécurité. Il décrit une gestion classifiée et hiérarchisée, des systèmes de test et d'évaluation des risques, le partage d'informations sur les menaces et la traçabilité des services d'IA contre les usages abusifs. Une fois le vocabulaire écarté, il s'agit d'une hiérarchisation des risques assortie de tests de conformité, structurellement proche de ce que fait le règlement européen sur l'IA, obtenue de manière indépendante.
• Point 12, la reconnaissance mutuelle. Il appelle à la reconnaissance mutuelle des évaluations de sécurité entre les économies avancées et en développement en matière d'IA. La reconnaissance est la question que toute fonction d'audit finit par poser : quelle évaluation est transposable, et jusqu'où ?

Le discours de Xi ajoute une clause qui mérite une seconde lecture. Il appelle à des cadres juridiques, à la surveillance technologique, à l'alerte sur les risques et à la réponse d'urgence, ainsi qu'au maintien de l'IA sous contrôle humain, tout en s'opposant à ce qu'il décrit comme un élargissement excessif de la notion de sécurité nationale en matière d'IA ou le fait de placer la sécurité d'un pays au-dessus de celle de tous les autres. Cela vise les contrôles à l'exportation, et indique où se situera la friction avec Washington.

Parallèlement à l'accord, la Chine a annoncé cinq mille places de formation dans des ateliers sur l'IA pour les pays en développement, des centres de coopération applicative en IA pour l'ASEAN, la Ligue arabe, l'Union africaine, la CELAC, l'Organisation de coopération de Shanghai et les BRICS, ainsi que le déploiement du système d'alerte météorologique précoce "Mazu" dans trente pays. Le renforcement des capacités est la monnaie d'échange de la WAICO, et c'est une monnaie que l'UE n'offre pas à une échelle comparable.

Premier canal de transmission : les comités de normalisation

Le point 8 fait passer les ambitions normatives de la WAICO par l'UIT, l'ISO et la CEI. Ce sont les organismes qui ont produit l'ISO/IEC 42001, la norme de système de management de l'IA, et l'ISO/IEC 23894, le référentiel de gestion des risques liés à l'IA. Vos clients vous interrogent déjà sur la 42001 dans leurs questionnaires d'achat. Vos auditeurs travaillent déjà à partir d'elle.

Les normes internationales sont rédigées par les organismes nationaux de normalisation qui votent en comité technique. Un bloc coordonné de vingt-neuf délégations nationales, doté d'un secrétariat permanent pour aligner les positions avant les réunions, constitue une force réelle dans ce processus, et il n'a pas besoin de l'emporter franchement pour compter. Influer sur le périmètre d'un groupe de travail, sur la définition d'un terme ou sur les critères d'acceptation d'une clause de conformité suffit à modifier, trois ans plus tard, l'aspect d'un audit mené selon cette norme.

Cela joue dans les deux sens, et je pense que la lecture optimiste est sous-estimée. Un engagement accru de la WAICO au sein de l'ISO et de la CEI pourrait produire une véritable convergence internationale, ce qui serait une excellente nouvelle pour quiconque maintient un seul dispositif de contrôle sur de nombreux marchés. La lecture pessimiste veut que des normes rédigées pour accommoder des positions inconciliables sortent plus vagues, ce qui reporte la charge d'interprétation sur les organisations qui les mettent en oeuvre. Dans les deux cas, l'ISO/IEC 42001 gagne en importance stratégique plutôt que d'en perdre. C'est la couche où les deux systèmes ont le plus de chances de se rencontrer.

Deuxième canal de transmission : la reconnaissance des évaluations

Le point 12 mérite l'attention des fonctions d'audit en particulier, car les régimes de reconnaissance déterminent si le travail déjà accompli compte ailleurs. C'est la différence entre un seul exercice d'assurance et plusieurs.

Rien dans le règlement européen sur l'IA n'envisage de reconnaître une évaluation de conformité réalisée selon un cadre aligné sur la WAICO, et je ne m'attends pas à ce que cela change. Le régime des systèmes à haut risque passe par des organismes notifiés désignés par les États membres, et l'Omnibus entré en vigueur le 27 juillet 2026 a simplifié les procédures de ces organismes sans ouvrir la moindre porte à une reconnaissance externe.

Anticipez donc une double assurance sur les marchés membres de la WAICO qui bâtiront leurs propres régimes d'évaluation. Si vous exploitez des systèmes d'IA en Indonésie, au Brésil, en Afrique du Sud ou au Kenya, partez du principe qu'une évaluation locale ne se substituera pas à vos travaux de conformité européens et ne sera pas remplacée par eux. Des évaluations en double sont supportables. C'est la collecte de preuves en double qui les rend coûteuses, et cette partie est évitable.

Pax Silica n'est pas le contrepoids

La réponse occidentale instinctive à la WAICO est Pax Silica, l'initiative américaine lancée en décembre 2025 sous l'égide du sous-secrétaire aux Affaires économiques Jacob Helberg, qui a tenu son deuxième sommet à Washington en juin 2026 et n'a cessé d'élargir son cercle de partenaires. La symétrie que les commentaires suggèrent n'existe pas. Pax Silica est une initiative de sécurité économique et de chaîne d'approvisionnement portant sur les minéraux critiques, les intrants énergétiques, les semi-conducteurs, les infrastructures d'IA et la logistique. Elle ne propose rien sur la manière dont les systèmes d'IA devraient être conçus, évalués ou supervisés.

Sur la question précise de savoir qui fournit le modèle de gouvernance aux pays qui rédigent leur première loi sur l'IA, les États-Unis ne sont pas dans la course. L'Europe y est, et elle concourt avec un texte juridique plutôt qu'avec une offre de développement. Pour un ministère aux capacités de supervision limitées, choisir entre un corpus de règles complet assorti de coûts de mise en conformité et un cadre de coopération assorti de financements est une véritable décision, non une figure de style.

Un déplacement du terrain technique mérite d'être signalé ici. Les modèles ouverts chinois, dont ceux de DeepSeek et de Z.ai, sont passés de moins de dix pour cent des tokens utilisés par les entreprises américaines au milieu de 2025 à environ quarante pour cent au milieu de 2026. Les poids ouverts circulent partout où les licences et les budgets le permettent, et les discussions de gouvernance suivent généralement la pile technologique.

Où les deux modèles se télescopent, ce trimestre

Le calendrier est ici particulièrement lisible. Le Kenya, membre fondateur de la WAICO, a mis son projet de politique sur l'intelligence artificielle et les autres technologies émergentes en consultation publique en ce moment même, via son ministère de l'Information, des Communications et de l'Économie numérique. Le Brésil, l'Indonésie, l'Afrique du Sud, la Malaisie et le Vietnam en sont chacun à un stade de construction d'un cadre national.

Le premier Africa AI Governance Index, publié en juillet 2026 et dominé par le Rwanda, constate que les États africains rédigent des stratégies d'IA bien plus vite qu'ils ne les financent, ne les dotent en personnel ou ne les appliquent. C'est exactement l'écart qu'une offre de renforcement des capacités vient combler, et cela explique pourquoi les places de formation et les centres de coopération de la WAICO sont un instrument plus sérieux qu'il n'y paraît sur le papier.

Le modèle dont ces lois s'inspireront déterminera ce qui sera exigé des multinationales sur des marchés représentant une part importante de la population mondiale et une part croissante des déploiements d'IA. Un État qui emprunte la structure du règlement européen vous laisse un problème de correspondance familier. Un État qui emprunte le vocabulaire de gestion classifiée et hiérarchisée du Plan d'action vous en laisse un inconnu, avec d'autres attentes documentaires et une autre relation entre le régulateur et l'entité évaluée. Personne ne peut encore dire quelle voie prendra tel ou tel pays, et elle ne sera pas la même partout. Se couvrir est la seule posture défendable.

Le plan d'action

Rien de ce qui suit n'est propre à la WAICO, et c'est précisément le point. La bonne réponse à la fragmentation réglementaire n'est pas un programme par cadre. C'est un dispositif de contrôle unique que vous pouvez orienter vers le cadre qui se présente.

• N'ouvrez pas de chantier WAICO. Rien à respecter, rien à déclarer, rien à certifier. Confiez le sujet à qui assure la veille réglementaire et laissez-le là.
• Déterminez lesquels de vos systèmes d'IA opèrent dans des États membres de la WAICO. La plupart des organisations ne peuvent pas répondre à cette question en une journée. Si la vôtre ne peut pas, cet écart d'inventaire est le premier à combler, et il sera rentable face à tous les cadres plutôt qu'à celui-là seulement.
• Traitez l'ISO/IEC 42001 comme votre couverture. Les deux camps font passer leurs ambitions normatives par l'ISO et la CEI, ce qui fait de la norme de système de management de l'IA le terrain d'entente le plus probable. La certification ou un alignement crédible sur la 42001 est ce qui ressemble le plus à une réponse transposable aujourd'hui.
• Rattachez les contrôles aux exigences, pas aux réglementations. Un contrôle qui satisfait une obligation documentaire du règlement européen satisfait généralement l'attente équivalente de la loi-cadre coréenne sur l'IA, du NIST AI RMF et de ce que le Kenya ou le Brésil finiront par adopter. Maintenez chaque contrôle une seule fois et consignez les exigences qu'il documente. Un classeur distinct par réglementation est la façon de dépenser un budget de gouvernance sans améliorer la gouvernance.
• Budgétez les preuves, pas les audits. Si un marché exige une évaluation locale, vous la ferez. Le coût évitable est de recollecter les mêmes preuves à chaque fois.
• Surveillez les comités, pas les communiqués. Les annonces de Shanghai renseignent sur les intentions. Les travaux des groupes de l'ISO, de la CEI et de l'UIT indiquent ce qui changera dans le périmètre de vos audits. Si votre organisation siège dans un organisme national de normalisation, ce siège vaut plus cette année que l'année dernière.
• Répondez aux consultations qui vous concernent. Celle du Kenya est ouverte. Une consultation publique est le moment le moins coûteux pour une entreprise d'influencer un cadre selon lequel elle sera évaluée plus tard, et presque personne ne s'en sert.
• Tenez le calendrier européen. L'Omnibus a repoussé les obligations relatives aux systèmes à haut risque à décembre 2027 et à août 2028, mais les obligations de transparence de l'article 50 s'appliquent à compter du 2 août 2026 et le pouvoir du Bureau de l'IA de sanctionner les fournisseurs de modèles d'IA à usage général devient exerçable le même jour. Rien de ce qui se passe à Shanghai ne déplace ces dates.

Le pari qui vaut la peine

Une fois la géopolitique écartée, tous les cadres sérieux en circulation demandent les quatre mêmes choses : savoir quels systèmes d'IA vous avez, comprendre ce que chacun peut faire aux personnes, détenir la preuve que vos contrôles fonctionnent, et pouvoir produire cette preuve quand on vous la demande. Les politiques divergent. La demande de fond converge.

C'est pourquoi la bonne stratégie n'est pas de prédire quel modèle l'emportera. C'est de refuser de parier. Anove a conçu insAIght exactement pour cela : des contrôles et des preuves tenus une seule fois, mis en correspondance avec le règlement européen sur l'IA, l'ISO/IEC 42001, le NIST AI RMF et ce qui arrivera ensuite, de sorte qu'un nouveau cadre devienne un exercice de correspondance et non un nouveau programme. Quand une juridiction ajoute une exigence, la question devient : quels contrôles existants y répondent déjà ? Si vous voulez une lecture plus rapide de votre exposition avant de vous engager, ExplAIn vous indiquera où les outils d'IA que vos équipes utilisent déjà résisteraient mal à un examen.

La WAICO ne régulera personne. Elle tentera d'orienter les normes sur lesquelles s'appuient les régulateurs et les lois qui n'ont pas encore été écrites, avec vingt-neuf États, un secrétariat à Shanghai et un programme financé de renforcement des capacités derrière cette tentative. L'Europe répond par la diffusion plutôt que par la diplomatie, et elle le fait efficacement. Les deux jouent une partie longue, et aucune ne produira un résultat net. Une gouvernance conçue pour survivre à l'un comme à l'autre n'est pas une couverture contre la géopolitique. C'est simplement une gouvernance compétente, qui se trouve être insensible à la géopolitique.

Sources : Reuters et Xinhua sur la signature du 16 juillet 2026 ; Al Jazeera, "China's Xi Jinping launches new AI alliance: What is it?" (17 juillet 2026) ; Plan d'action pour la gouvernance mondiale de l'intelligence artificielle (Xinhua, 26 juillet 2025) ; Elizabeth Gibney dans Nature 648 (décembre 2025) ; Arindrajit Basu, "China's Pivot on Global AI", Carnegie Endowment (mai 2026) ; Département d'État américain sur Pax Silica et le deuxième sommet Pax Silica (juin 2026) ; étude de la Thomson Reuters Foundation sur l'influence du règlement européen sur l'IA (28 juillet 2026) ; consultation du ministère kenyan de l'Information, des Communications et de l'Économie numérique (juillet 2026) ; Commission européenne, "AI Omnibus enters into force" (27 juillet 2026).

Pour aller plus loin

• insAIght : la plateforme de gouvernance et de risque IA d'Anove, conçue pour une conformité cartographiée par cadre et prête pour l'audit.
• ExplAIn : vérifiez si les outils d'IA que vous utilisez déjà résisteraient à un examen.
• Règlement européen sur l'IA 2026 : ce que l'Omnibus numérique a reporté et ce qui s'applique dès août : l'état du corpus européen dont le reste du monde s'inspire.
• L'IA en rattrapage : la gouvernance pro-innovation de l'Inde : une grande économie qui construit sa propre alternative au modèle européen.
• Arrêtez de piloter l'IA à l'aveugle : pourquoi vous avez besoin d'un système de management de l'IA : pourquoi l'ISO/IEC 42001 est la réponse transposable à la fragmentation.

Réservez une démonstration pour voir comment insAIght maintient votre gouvernance de l'IA prête pour l'audit face au règlement européen sur l'IA, à l'ISO/IEC 42001 et au prochain cadre national qui s'imposera sur vos marchés.