Version française de The Deadline Moved. The Queue Did Not., publié sur AI-Governance-Jobs.com. Les données du site d’emplois sont nord-américaines et datent du 5 octobre 2026.

Au troisième trimestre, l’échéance de conformité qui devait déclencher une vague d’embauche a glissé de seize mois. La plupart des organisations y ont vu un répit. Si on fait le calcul de ce qui arrive réellement à votre fonction de gouvernance, ça se lit autrement.

Ce qui a bougé à Bruxelles

Le règlement (UE) 2026/1744, l’omnibus numérique sur l’IA, a été publié au Journal officiel le 24 juillet et est entré en vigueur le 27 juillet. Six jours avant l’échéance du 2 août que la Loi européenne sur l’IA prévoyait pour les systèmes à haut risque. La question de savoir si le report arriverait à temps a cessé d’être une question pour devenir du droit.

Ce qui a bougé : les obligations visant les systèmes à haut risque autonomes de l’annexe III, soit la catégorie qui couvre les outils de recrutement, l’évaluation du crédit, l’éducation, la biométrie et les services essentiels, s’appliquent maintenant à partir du 2 décembre 2027. Les systèmes à haut risque intégrés à des produits déjà encadrés par le droit européen de la sécurité des produits, à l’annexe I, passent au 2 août 2028.

Ce qui n’a pas bougé est la moitié la plus utile de l’histoire.

• 2 février 2025. Les pratiques interdites de l’article 5 et les obligations de littératie en IA. En vigueur depuis vingt mois.
• 2 août 2025. Les obligations des fournisseurs de modèles d’IA à usage général. En vigueur depuis plus d’un an.
• 2 août 2026. La transparence de l’article 50 et l’étiquetage des contenus générés par l’IA. Arrivée à la date prévue ce trimestre, sans être touchée par l’omnibus.
• 2 décembre 2026. Deux choses tombent ensemble. Les fournisseurs de systèmes mis sur le marché avant le 2 août 2026 qui génèrent du contenu synthétique, audio, image, vidéo ou texte, doivent satisfaire à l’article 50(2). Et les nouvelles interdictions que l’omnibus a lui-même ajoutées, visant les images intimes non consensuelles et le matériel d’exploitation sexuelle d’enfants, commencent à s’appliquer. Les deux sont à l’intérieur du trimestre en cours et presque personne ne les suit.
• 2 août 2027. Chaque État membre doit avoir au moins un bac à sable réglementaire en fonction. Cette date avait elle-même été repoussée du 2 août 2026.

L’échéance qui a retenu l’attention est donc celle qui a bougé. Celles qui lient en ce moment n’en ont reçu aucune. Si votre organisation avait retenu le 2 août comme la date, puis a soufflé le 27 juillet, elle est passée par-dessus une obligation de transparence déjà en vigueur et deux autres qui sont à huit semaines.

Il faut le dire clairement : l’omnibus a déplacé des dates et ajouté des interdictions. Il n’a pas réduit le travail. La gestion des risques, la documentation technique, la supervision humaine, la surveillance après commercialisation et la question de la classification de l’article 6 survivent intactes. La Commission a publié ses lignes directrices préliminaires de classification le 19 mai. Les organismes de normalisation dont les retards ont déclenché le report travaillent encore sur les normes harmonisées jusqu’en 2027.

Au Québec, il n’y a jamais eu de report

C’est ici que la lecture européenne induit en erreur quiconque embauche à Montréal, à Québec ou à Gatineau.

Le Canada n’a pas de loi générale sur l’intelligence artificielle en vigueur. La Loi sur l’intelligence artificielle et les données, la LIAD, est morte avec le projet de loi C-27 à la prorogation du Parlement le 6 janvier 2025. Le projet de loi C-36, déposé le 15 juin 2026, reprend le volet de la réforme de la protection de la vie privée dans le secteur privé, mais pas la LIAD. Personne n’attend une loi fédérale sur l’IA pour l’instant.

Ce qui s’applique, lui, s’applique déjà. L’article 12.1 de la Loi sur la protection des renseignements personnels dans le secteur privé, ajouté par la Loi 25, est en vigueur depuis le 22 septembre 2023. Une entreprise qui prend une décision fondée exclusivement sur un traitement automatisé de renseignements personnels doit en informer la personne visée et lui donner la possibilité de présenter ses observations à un membre du personnel en mesure de réviser la décision. Sur demande, elle doit aussi communiquer les renseignements personnels utilisés et les principaux facteurs qui ont mené à la décision.

Lisez cette phrase en pensant à un outil de présélection de candidatures. Le tri automatisé de CV est visé. Le classement automatisé des candidats est visé. Le libellé est assez large pour attraper des processus automatisés qui n’ont rien à voir avec ce que votre équipe appelle de l’IA.

Autrement dit : l’Europe a repoussé une échéance de seize mois, et pendant ce temps, l’obligation québécoise sur les décisions automatisées est en vigueur depuis trois ans, sans date à repousser. Une organisation d’ici qui a ralenti ses embauches en gouvernance parce que Bruxelles a bougé a mal lu la carte. La Loi 25 n’a pas bougé. La LPRPDE non plus.

Le patchwork américain s’est compliqué, pas simplifié

Pour les entreprises québécoises qui servent des clients américains, et elles sont nombreuses, le portrait du sud s’est embrouillé plutôt qu’éclairci au troisième trimestre.

• Texas, TRAIGA (HB 149), en vigueur depuis le 1er janvier 2026. Interdictions fondées sur l’intention, amendes du procureur général de 10 000 $ à 200 000 $ US par infraction, refuge fondé sur le cadre NIST AI RMF, aucun recours privé.
• Californie, SB 53 et AB 2013, en vigueur depuis le 1er janvier 2026. Cadres de risque pour les modèles de frontière, déclaration des incidents de sécurité, protection des lanceurs d’alerte, transparence sur les données d’entraînement.
• Colorado, SB 26-189, en vigueur le 1er janvier 2027. Remplace la loi coloradienne sur l’IA de 2024, abrogée le 14 mai avant même d’avoir pris effet. Régime d’avis plus étroit sur les décisions automatisées.
• New York, RAISE Act, et Illinois, SB 315, en vigueur le 1er janvier 2027. Développeurs de modèles de frontière.

Par-dessus : un décret présidentiel de juin 2026 a créé un groupe de travail du ministère de la Justice chargé de contester les lois d’État sur l’IA devant les tribunaux, et le Ministère est déjà intervenu dans le litige xAI au Colorado. Le cadre législatif national sur l’IA de mars 2026 presse le Congrès d’adopter une norme nationale qui aurait préséance.

Ni l’un ni l’autre n’a eu préséance sur quoi que ce soit. Les lois du Texas, de la Californie et du Colorado demeurent applicables selon leurs propres calendriers. Pour un responsable de la conformité, ça veut dire satisfaire à une mosaïque tout en suivant un effort fédéral pour la démanteler, et on ne peut pas doter ses équipes en pariant sur un seul de ces deux résultats.

Ce que presque tout le monde comprend de travers

Je veux être précis ici, parce que la lecture courante de l’omnibus, soit que l’embauche en gouvernance peut attendre à 2027, est fausse d’une manière qui se mesure.

Une fonction de gouvernance est une file d’attente. Des systèmes d’IA arrivent pour être inventoriés, classés, évalués, documentés et approuvés. Un petit nombre de personnes qualifiées les traitent. C’est toute la structure : un taux d’arrivée, un taux de service, et un nombre de postes de travail.

Regardez le taux d’arrivée. Gartner prévoit que les agents d’IA spécialisés passeront de moins de 5 % des applications d’entreprise en 2025 à 40 % d’ici la fin de 2026. Ce n’est pas une croissance du volume que votre fonction de gouvernance examine. C’est un changement d’ordre de grandeur.

Regardez maintenant le côté service. Le bassin de personnes capables de faire le travail ne grossit pas à ce rythme-là. Le rapport Skills on the Rise 2026 de LinkedIn chiffre la croissance de la demande en gouvernance de l’IA à 150 % sur un an. Les cabinets de recherche de cadres situent la demande pour des chefs de l’IA en hausse d’environ 400 % depuis 2023, devant un bassin de candidats qui n’a presque pas bougé, et la durée moyenne en poste d’un chef de l’IA est de 2,1 ans. Une part réelle de la capacité que vous embauchez aujourd’hui sera partie avant décembre 2027.

Dans une file d’attente, le temps d’attente n’augmente pas proportionnellement à la charge. Il augmente en fonction de votre proximité de la capacité maximale. Pour une file à un seul serveur, l’attente moyenne vaut ρ / (1 − ρ) fois le temps de service, où ρ est le taux d’utilisation.

• 50 % de charge : 1 fois le temps de service
• 80 % de charge : 4 fois
• 90 % de charge : 9 fois
• 95 % de charge : 19 fois

Faire passer une équipe de gouvernance de la moitié de sa capacité à quatre-vingt-dix pour cent ne ralentit pas les revues d’un facteur de deux. Ça les ralentit d’un facteur de neuf. La plupart des équipes sont déjà bien au-delà de quatre-vingts.

Voilà pourquoi le report est un piège plutôt qu’un cadeau. L’omnibus n’a pas vidé la file. Il a retiré la contrainte qui poussait les organisations à financer les gens qui la vident. Les arrivées continuent de grimper sur la courbe de Gartner, peu importe ce que Bruxelles fait avec une date.

La loi de Little donne l’arriéré directement. Le nombre de systèmes en attente dans votre file de gouvernance égale le taux d’arrivée multiplié par le temps moyen que chacun passe dans le système. Gardez un taux d’arrivée qui monte et un nombre de réviseurs fixe, et l’arriéré grossit chaque mois d’ici décembre 2027. Il en reste quinze.

Vient ensuite ce que les gens manquent. On n’achète pas de la capacité de traitement rétroactivement. Une organisation qui arrive à décembre 2027 avec quinze mois d’arriéré accumulé ne le résorbera pas en embauchant en novembre, parce que les gens capables de le résorber seront alors les plus rares qu’ils aient jamais été, et parce qu’une file aussi profonde met plus de temps à se vider qu’elle n’en a mis à se remplir dès que votre rythme d’évacuation ne dépasse que modestement votre taux d’arrivée.

Ce que montrent les données d’embauche

J’exploite un site d’emplois dans cette catégorie. Plutôt que de citer le sondage d’un autre, je vais vous dire ce qui s’y trouve aujourd’hui. Au 5 octobre, 978 postes ouverts en gouvernance, risque et conformité, avec un salaire médian affiché d’un peu plus de 140 000 $ US. À la fin de juillet, c’était 304.

Prudence avec cette comparaison. Une bonne part du saut vient du babillard lui-même qui grossit, pas du marché qui triple en dix semaines, et j’aime mieux le dire que de laisser un chiffre faire un travail qu’il n’a pas mérité. Ce à quoi les affichages servent, c’est à lire la composition, pas la taille du marché. Trois choses ressortent.

La gouvernance s’ingénieure, elle ne s’écrit plus seulement. Parmi les affichages les plus récents : un poste d’ingénieur logiciel principal senior en gouvernance de l’IA et un d’ingénieur logiciel principal en gouvernance de l’IA chez un même fournisseur, et un poste d’ingénieur en gouvernance de l’IA chez un autre. Il y a deux ans, cette catégorie, c’était des gens de politiques. Le côté construction de la gouvernance a maintenant ses propres titres et sa propre échelle salariale.

La demande fédérale et paragouvernementale est lourde. Une part frappante des affichages actuels en gouvernance des données et en stratégie d’IA exige une habilitation de sécurité, du niveau Public Trust jusqu’à TS/SCI. C’est un marché américain, mais il tire sur le même bassin nord-américain. Si vous détenez une habilitation et une maîtrise des cadres, vous êtes dans la partie la plus mince du marché.

La transparence salariale reste l’exception. Environ quatre affichages sur dix comportent une fourchette. Nous exigeons une fourchette de bonne foi sur chaque nouvel affichage, ce qui en dit long sur où le reste du marché en est encore.

La contrainte, ce sont les compétences, pas l’effectif

Le rapport 2026 sur la main-d’oeuvre du SANS Institute et de GIAC, mené auprès de 947 responsables de la sécurité, contient un résultat qui recadre toute la conversation sur la dotation. Soixante pour cent des responsables de la sécurité de l’information ont nommé « ne pas avoir le bon personnel » comme principal défi de main-d’oeuvre. Seulement 40 % ont choisi « ne pas avoir assez de personnel ». C’est la première fois que les compétences devancent l’effectif dans ce sondage, et le déploiement de l’IA en est le moteur nommé.

Mettez ça à côté du portrait budgétaire de l’ISC2, où 37 % des organisations ont subi des coupes, 38 % étaient en gel d’embauche et 25 % ont fait des mises à pied pendant que l’écart de main-d’oeuvre mesuré se creusait de 19 %, et vous obtenez un marché qui a l’air contradictoire jusqu’à ce qu’on le pense comme une file d’attente.

Ajouter des postes de travail n’aide que si ces postes peuvent réellement rendre le service. Embaucher trois analystes de conformité généralistes n’augmente pas votre capacité de traitement sur les travaux de conformité à la Loi européenne sur l’IA. Ça augmente votre effectif et laisse votre taux de service là où il était. C’est exactement l’échec que décrit le chiffre du SANS.

Cinq chiffres à mesurer au lieu de l’effectif

• Le taux d’arrivée. Combien de systèmes d’IA, de modèles, d’agents et d’outils de fournisseurs sont entrés dans votre environnement au dernier trimestre en demandant une revue de gouvernance ? Si vous ne pouvez pas répondre, vous n’avez pas d’inventaire, et l’inventaire est la seule chose que l’omnibus n’a pas reportée.
• Le temps de service. Combien de jours ouvrables faut-il à un système, de la réception jusqu’à la classification approuvée ? Mesurez la médiane et le 90e centile. L’écart entre les deux est votre vrai problème.
• Le taux d’utilisation. Quelle fraction de la capacité de vos réviseurs est déjà engagée ? Au-delà de 80 %, vos délais sont fixés par la congestion, pas par la difficulté du travail.
• La profondeur et le vieillissement de la file. Combien de systèmes attendent, et depuis combien de temps attend le plus vieux ? Une file qui grossit d’un mois à l’autre a déjà répondu à votre question sur l’embauche.
• La couverture des compétences, par cadre. Pas combien de personnes vous avez. Combien peuvent mener seules une classification de l’annexe III, une analyse d’écart ISO 42001, une cartographie de la fonction GOVERN du NIST AI RMF, ou une évaluation des facteurs relatifs à la vie privée au sens de la Loi 25. Habituellement un plus petit nombre que tout le monde pense.

Ces cinq chiffres transforment un débat budgétaire en débat d’ingénierie, et les débats d’ingénierie survivent mieux au contact d’un directeur financier que « la réglementation l’exige », surtout maintenant que la réglementation l’exige seize mois plus tard.

La fenêtre d’embauche, et le mur derrière

Il y a une vraie fenêtre ouverte en ce moment, et elle existe précisément parce que tant d’organisations ont mal lu le report. Des postes qui auraient été urgents au troisième trimestre ont été repoussés dans les budgets de 2027. Ça veut dire moins de concurrence pour les mêmes candidats que tout ce que ce domaine a connu depuis ses débuts.

Trois gestes à poser à l’intérieur de cette fenêtre.

Embauchez la compétence rare, pas le poste vacant. Une personne capable de mener seule une classification de l’annexe III vaut plus pour votre capacité de traitement que trois qui ont besoin de supervision pour le faire. Bâtissez l’affichage autour de ce que la personne peut traiter, pas autour de ce que l’organigramme a comme place.

Utilisez le temps partagé pour acheter du taux de service sans acheter un siège permanent. Heidrick rapporte une demande pour des cadres intérimaires en hausse de 151 % depuis 2021. Un chef de l’IA à temps partagé coûte environ 5 000 $ à 40 000 $ US par mois, soit quelque part entre 20 et 40 % d’une embauche à temps plein. Pour une organisation qui doit faire avancer des travaux de classification maintenant mais ne peut pas défendre un siège de direction permanent dans une année budgétaire serrée, c’est l’arbitrage.

Convertissez les talents voisins au lieu de vous battre pour les talents rares. Les gens de conformité, de vérification interne, de protection de la vie privée et du juridique détiennent déjà l’essentiel de ce que le travail demande. La maîtrise des cadres s’apprend en quelques mois. Le jugement, non. Embaucher pour le jugement et former pour les cadres est la seule stratégie qui passe vraiment à l’échelle ici, et c’est celle que presque personne n’applique, ce qui explique que le bassin reste mince.

Forrester s’attend à ce que 60 % des entreprises du Fortune 100 nomment un responsable de la gouvernance de l’IA d’ici la fin de l’année. L’étude d’IBM auprès des dirigeants situe à 76 % la proportion d’organisations dotées d’un chef de l’IA, contre 26 % un an plus tôt. Les sièges se créent. La question est de savoir s’ils seront pourvus pendant que l’embauche est facile, ou après que la file se soit engorgée.

Le 2 décembre 2027 n’est pas une échéance. C’est la date à laquelle vous apprendrez quelle a été votre capacité de traitement pendant les quinze mois qui l’ont précédée.

Pour aller plus loin

Si vous embauchez : affichez un poste en gouvernance, risque ou conformité, révisé par une personne et en ligne en un jour ouvrable. Les modèles de descriptions de poste sont gratuits.

Si vous entrez dans le domaine : commencez ici, puis les feuilles de route de carrière et les questions de pratique gratuites pour la certification.

En français : La gouvernance de l’IA en entreprise n’est plus une option et Brève histoire de l’IA.

Sources

• Règlement (UE) 2026/1744, omnibus numérique sur l’IA, Journal officiel du 24 juillet 2026, en vigueur le 27 juillet 2026
• Commission européenne, lignes directrices préliminaires de classification des systèmes à haut risque, article 6, 19 mai 2026
• Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), article 12.1, en vigueur le 22 septembre 2023, introduit par la Loi 25
• Projet de loi C-27 et la Loi sur l’intelligence artificielle et les données, mortes à la prorogation du 6 janvier 2025 ; projet de loi C-36 déposé le 15 juin 2026
• Texas HB 149 (TRAIGA) ; Californie SB 53 et AB 2013 ; Colorado SB 26-189, sanctionnée le 14 mai 2026 ; New York RAISE Act ; Illinois SB 315
• Décret créant le groupe de travail du ministère de la Justice sur les litiges en IA, juin 2026 ; cadre législatif national sur l’IA, mars 2026
• Gartner, prévision d’adoption des agents d’IA dans les applications d’entreprise, 2026
• SANS Institute et GIAC, rapport 2026 sur la main-d’oeuvre en cybersécurité, 947 responsables
• ISC2, étude sur la main-d’oeuvre en cybersécurité, données sur les budgets, les gels d’embauche et les mises à pied
• LinkedIn, rapport Skills on the Rise 2026
• Forrester, prévision sur le leadership en gouvernance de l’IA ; étude IBM auprès des chefs de la direction, mai 2026
• Heidrick & Struggles, demande pour les cadres intérimaires et à temps partagé
• Données du site d’emplois GRC Careers, 5 octobre 2026

Lire la version anglaise : The Deadline Moved. The Queue Did Not.