IA et conformité : ce qu’il faut savoir
L’intelligence artificielle offre de nouvelles possibilités pour automatiser des tâches, exploiter des documents et améliorer les processus internes. Son utilisation soulève également des questions de conformité, de confidentialité, de sécurité et de responsabilité.
Pour une entreprise, l’enjeu n’est pas seulement de choisir une technologie performante. Il consiste aussi à déterminer dans quelles conditions elle peut être utilisée, quelles données peuvent lui être confiées et quels contrôles doivent être mis en place.
1. Comprendre les enjeux de conformité de l’IA
Les obligations applicables dépendent notamment de la solution utilisée, de la finalité poursuivie, des données traitées et du rôle de l’entreprise dans le dispositif.
Plusieurs sujets doivent être examinés :
- Protection des données personnelles : vérifier la licéité des traitements, leur finalité et les conditions d’utilisation des données.
- Sécurité de l’information : protéger les documents, les accès et les échanges avec les systèmes d’IA.
- Fiabilité des résultats : identifier les risques d’erreurs, d’informations inventées ou de réponses inadaptées.
- Responsabilité : déterminer qui contrôle les résultats et prend les décisions importantes.
- Transparence : informer les personnes concernées lorsque les règles applicables l’exigent.
La conformité doit être étudiée à partir des usages réels, et non uniquement à partir du nom ou du type de technologie employée.
2. Identifier les règles applicables
Plusieurs cadres réglementaires peuvent concerner les projets d’intelligence artificielle.
Le règlement européen sur l’intelligence artificielle
Le règlement européen sur l’IA, ou AI Act, prévoit des obligations différentes selon les systèmes et les acteurs concernés. Certaines pratiques sont interdites, tandis que des exigences renforcées s’appliquent à certaines catégories de systèmes, notamment ceux considérés comme à haut risque.
Les obligations peuvent porter sur la gestion des risques, la documentation, la supervision humaine, la qualité des données ou la transparence.
Le calendrier d’application varie selon les dispositions. Il convient donc de vérifier les règles effectivement applicables à chaque projet à la date de son déploiement.
Le RGPD et les données personnelles
Lorsqu’un système d’IA traite des données personnelles, le règlement général sur la protection des données peut s’appliquer.
L’entreprise doit notamment examiner :
- La finalité et la base légale du traitement.
- La nécessité et la proportionnalité des données utilisées.
- Les durées de conservation.
- Les droits des personnes concernées.
- Les mesures de sécurité et les conditions de sous-traitance.
Une analyse d’impact relative à la protection des données peut être nécessaire lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes.
Les règles sectorielles et contractuelles
D’autres exigences peuvent découler de la réglementation sectorielle, des obligations de confidentialité, des contrats clients ou des règles internes de l’entreprise.
Une solution adaptée à un service marketing ne présente pas nécessairement les mêmes enjeux qu’un système utilisé pour analyser des dossiers juridiques, évaluer des candidats ou traiter des informations financières.
3. Encadrer l’utilisation des données
La qualité d’un système d’IA dépend en partie des informations auxquelles il accède.
Avant de connecter un assistant IA à des documents internes ou à des applications métier, il est important de déterminer :
- Quelles données sont réellement nécessaires.
- Si elles contiennent des informations personnelles ou confidentielles.
- Qui est autorisé à y accéder.
- Où elles sont hébergées et comment elles sont traitées.
- Si le fournisseur peut les conserver ou les réutiliser.
- Comment les données et les accès peuvent être supprimés ou révoqués.
Les droits d’accès doivent être cohérents avec ceux des utilisateurs dans les systèmes d’origine. Un assistant ne devrait pas permettre à un collaborateur d’obtenir des informations auxquelles il n’est normalement pas autorisé à accéder.
Bonne pratique : privilégier une architecture qui limite les données transmises, contrôle les autorisations et permet de tracer les accès pertinents.
4. Prévoir une supervision humaine adaptée
Un système d’IA peut produire des résultats inexacts, incomplets ou trompeurs. La présence d’un résultat formulé avec assurance ne garantit pas sa fiabilité.
Le niveau de contrôle doit être proportionné aux conséquences potentielles d’une erreur.
Pour un usage interne à faible risque, une vérification ponctuelle peut suffire. Pour une tâche sensible, il peut être nécessaire de prévoir une validation humaine systématique avant toute décision ou action.
Il convient notamment de définir :
- Les tâches que le système peut effectuer seul.
- Les décisions qui nécessitent une validation.
- Les situations dans lesquelles il doit s’abstenir.
- Les modalités d’escalade vers un responsable.
- Les procédures à suivre en cas d’erreur ou d’incident.
La supervision humaine doit être réelle : les personnes chargées du contrôle doivent disposer des informations, du temps et de l’autorité nécessaires pour intervenir.
5. Définir une politique interne d’utilisation de l’IA
Une politique interne permet de clarifier les usages autorisés et les responsabilités des collaborateurs.
Elle peut préciser :
- Les outils d’IA approuvés par l’entreprise.
- Les informations qu’il est interdit d’y transmettre.
- Les règles de vérification des réponses.
- Les usages nécessitant une validation humaine.
- Les modalités de signalement des incidents.
- Les responsabilités des équipes et des fournisseurs.
Cette politique doit rester compréhensible et opérationnelle. Des règles trop générales ou trop contraignantes risquent d’être ignorées, tandis qu’une absence de cadre favorise les usages non maîtrisés.
Il est également utile de former les collaborateurs aux limites des outils, à la protection des données et aux risques propres à leurs activités.
6. Documenter et surveiller les solutions déployées
La conformité ne se limite pas à la phase de conception. Un système peut évoluer avec les mises à jour des outils, les changements de données ou les modifications des processus métier.
Pour assurer un suivi efficace, l’entreprise peut tenir une documentation comprenant :
- La finalité et le périmètre de chaque système.
- Les outils et fournisseurs utilisés.
- Les catégories de données traitées.
- Les risques identifiés et les mesures de maîtrise.
- Les contrôles et validations prévus.
- Les incidents constatés et les corrections apportées.
Après le déploiement, il est nécessaire de surveiller le fonctionnement de la solution et de réévaluer les risques lorsque son usage évolue.
Une modification du périmètre, une nouvelle source de données ou l’ajout d’une capacité d’action autonome peuvent justifier une nouvelle analyse.
7. Mettre en place une démarche pragmatique
La conformité ne doit pas être traitée comme une vérification isolée réalisée à la fin du projet. Elle gagne à être intégrée dès l’identification du besoin.
Une démarche pragmatique peut suivre cinq étapes :
- Recenser les usages : identifier les outils d’IA déjà utilisés et les projets envisagés.
- Qualifier les risques : examiner les données, les utilisateurs, les décisions concernées et les conséquences d’une erreur.
- Déterminer les obligations : identifier les règles réglementaires, contractuelles et internes applicables.
- Définir les contrôles : mettre en place les autorisations, validations, mesures de sécurité et procédures nécessaires.
- Organiser le suivi : documenter les décisions, former les équipes et réévaluer régulièrement les dispositifs.
Cette approche permet d’adapter les efforts de conformité aux risques réels, sans appliquer systématiquement le même niveau de contrôle à tous les usages.
Les erreurs à éviter
Plusieurs erreurs peuvent fragiliser un projet d’IA :
- Déployer un outil sans identifier les données qu’il traite.
- Transmettre des documents confidentiels à un service non autorisé.
- Considérer toutes les réponses générées comme exactes.
- Laisser une décision sensible être prise sans contrôle adapté.
- Négliger les conditions contractuelles du fournisseur.
- Oublier la documentation, la formation et la maintenance.
- Considérer qu’une solution conforme aujourd’hui le restera automatiquement après chaque évolution.
L’objectif est de concevoir un dispositif dans lequel les risques sont identifiés, les responsabilités sont claires et les contrôles peuvent être effectivement appliqués.
Conclusion
Déployer l’intelligence artificielle de manière responsable suppose de concilier innovation, sécurité et conformité. Les exigences applicables varient selon les usages, les données et le contexte de l’entreprise.
Une démarche efficace repose sur trois principes : comprendre les risques, encadrer les usages et maintenir un contrôle dans la durée.
Growth Pilot accompagne les entreprises dans l’identification des opportunités d’automatisation et la conception de solutions IA adaptées à leurs processus, avec une attention particulière portée aux données, aux contrôles et aux conditions opérationnelles de déploiement.
Cet article présente des repères généraux et ne constitue pas un avis juridique adapté à une situation particulière.