Régulation de l’IA : comment préparer son entreprise avant les nouvelles règles

L’intelligence artificielle a quitté les laboratoires et les démonstrations pour s’installer dans les logiciels de bureau, les services clients, les outils de recrutement, la cybersécurité ou encore la production de contenus. Cette diffusion accélérée place les entreprises devant une responsabilité nouvelle : elles doivent innover sans perdre la maîtrise des données, des décisions et des risques associés à ces outils. À l’automne 2024, attendre que toutes les règles soient pleinement applicables pour agir serait une stratégie risquée.

Le cadre européen, souvent appelé AI Act, est désormais une réalité juridique. D’autres initiatives émergent dans le monde, tandis que les lois sur la protection des données, comme le RGPD, s’appliquent déjà. L’enjeu n’est donc pas de prédire chaque future obligation dans le détail, mais de bâtir dès maintenant une organisation capable de comprendre, documenter et piloter ses usages de l’IA.

L’IA s’impose dans les organisations, souvent plus vite que leur gouvernance

Les outils d’IA sont devenus accessibles à des équipes qui ne sont pas nécessairement composées d’ingénieurs. Un salarié peut résumer un document, rédiger un courriel, générer du code ou interroger une base de connaissances à l’aide d’un assistant conversationnel. Une entreprise peut aussi intégrer un modèle à un produit, acheter une solution spécialisée ou entraîner un système sur ses propres données.

Cette diversité complique la surveillance. Le risque ne vient pas uniquement des grands projets officiellement validés par la direction. Il peut aussi provenir du « shadow IT », c’est-à-dire l’usage, sans contrôle formel du service informatique ou juridique, d’outils choisis directement par les équipes. Copier des informations commerciales confidentielles ou des données personnelles dans un service externe peut, par exemple, soulever immédiatement des questions de confidentialité et de sécurité.

Selon un sondage du Boston Consulting Group, seuls 28 % des dirigeants considèrent que leur organisation est prête à faire face aux nouvelles régulations de l’IA. Ce chiffre illustre un décalage : beaucoup d’entreprises expérimentent déjà ces technologies, mais peu disposent d’une vision complète des systèmes utilisés, de leurs fournisseurs, de leurs données d’entrée et de leurs effets sur les utilisateurs.

L’AI Act européen est entré en vigueur, avec une application progressive

Le règlement européen sur l’intelligence artificielle est entré en vigueur le 1er août 2024. Il ne crée toutefois pas toutes ses obligations d’un seul coup. Son application s’échelonne sur plusieurs années, ce qui offre aux organisations un temps de préparation, mais ne doit pas être interprété comme une période sans exigence.

L’AI Act repose sur une logique de risque. Plus un système est susceptible de porter atteinte à la sécurité ou aux droits fondamentaux, plus les obligations imposées à ses fournisseurs et à ses utilisateurs professionnels sont importantes. Les pratiques considérées comme présentant un risque inacceptable seront interdites. Les systèmes à haut risque devront respecter des exigences renforcées, notamment en matière de gestion des risques, de qualité des données, de documentation, de traçabilité et de supervision humaine.

Pour les entreprises, la question déterminante n’est pas seulement « utilisons-nous de l’IA ? ». Il faut aussi demander : dans quel but, avec quelles données, pour qui, et avec quel niveau de conséquence en cas d’erreur ? Un outil qui suggère un texte publicitaire ne soulève pas les mêmes enjeux qu’un système utilisé pour évaluer des candidatures, déterminer l’accès à une formation ou appuyer une décision ayant des effets importants sur une personne.

Les sanctions prévues par l’AI Act peuvent être élevées. Dans les cas les plus graves, elles peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Ces plafonds soulignent l’importance d’une préparation sérieuse, même si les obligations et les responsabilités précises dépendent du rôle de chaque acteur dans la chaîne de valeur.

Une régulation mondiale, mais des cadres qui ne sont pas identiques

L’Europe n’est pas la seule à vouloir encadrer l’intelligence artificielle. Des initiatives existent également en Amérique du Nord, en Chine, au Canada et en Argentine. Elles n’obéissent pas toutes à la même philosophie ni au même calendrier. Certaines mettent l’accent sur la protection des consommateurs ou la responsabilité des entreprises, d’autres sur la sécurité, les données, la transparence ou la lutte contre des usages précis comme les contenus trompeurs.

Aux États-Unis, où il n’existe pas encore de loi fédérale générale équivalente à l’AI Act, les textes se multiplient au niveau local. Au moment de cette publication, 21 États avaient déjà instauré des lois pour encadrer des usages de l’IA, et au moins 14 autres avaient des textes en attente d’approbation. Pour une entreprise active dans plusieurs pays, la conformité ne peut donc pas reposer sur la seule lecture d’une règle européenne ou américaine.

Le débat public reste lui-même partagé. D’un côté, un sondage indique que 88 % des professionnels de l’informatique souhaitent des régulations plus strictes. Au Royaume-Uni, une majorité de citoyens attend aussi de l’État qu’il rende les entreprises davantage responsables de leurs systèmes d’IA. De l’autre, plus de cinquante dirigeants de grandes entreprises technologiques ont demandé, dans une lettre ouverte, une réforme rapide des règles en cours, estimant qu’un cadre mal calibré pourrait freiner l’innovation.

Cette opposition apparente ne se résume pas à un choix entre réguler ou ne pas réguler. Le véritable défi est de construire des règles suffisamment claires pour protéger les personnes, sans imposer aux organisations des procédures impossibles à mettre en œuvre ou disproportionnées par rapport aux risques.

Par où commencer pour préparer la conformité de l’IA ?

La première étape est pragmatique : établir un inventaire. Une entreprise ne peut pas gouverner ce qu’elle ne connaît pas. Cet inventaire doit couvrir les outils acquis auprès de prestataires, les modèles développés en interne, les fonctionnalités d’IA déjà incluses dans les logiciels utilisés et les expérimentations menées par les équipes.

Pour chaque système, il est utile de réunir les informations essentielles : finalité, responsable métier, fournisseur, catégories de données traitées, publics concernés, niveau d’autonomie, possibilités de contrôle humain et conséquences en cas de réponse erronée. L’objectif n’est pas de décourager l’expérimentation, mais de la rendre visible et gérable.

Sur cette base, l’organisation peut classer ses cas d’usage par niveau de risque : faible, moyen ou élevé. Il ne s’agit pas de reproduire mécaniquement la qualification juridique prévue par l’AI Act, qui demande une analyse au cas par cas, mais de concentrer l’effort de contrôle là où l’impact potentiel est le plus fort.

Les usages les plus sensibles doivent faire l’objet d’une validation renforcée avant leur déploiement. Cela peut inclure un examen juridique, une analyse de sécurité, des tests de qualité, la vérification des biais possibles et la désignation d’un responsable capable de suspendre ou corriger l’usage en cas de problème.

Les données sont au cœur de la conformité et de la confiance

Une IA générative ou prédictive dépend des informations qu’elle reçoit. La conformité commence donc par des questions simples, mais souvent négligées : l’entreprise sait-elle quelles données sont accessibles à l’outil ? Sait-elle si elles sont conservées, réutilisées ou transférées à un tiers ? Les personnes concernées ont-elles été correctement informées lorsque cela est nécessaire ?

Le RGPD, déjà applicable dans l’Union européenne, impose notamment des principes de finalité, de minimisation des données, de sécurité et de transparence. L’arrivée de l’AI Act ne remplace pas ces obligations. Les organisations doivent donc articuler les deux cadres, en évitant de considérer l’IA comme une exception aux règles ordinaires de protection des données.

Une gouvernance robuste suppose plusieurs mesures concrètes : limiter les données transmises à ce qui est nécessaire, contrôler les droits d’accès, définir les usages autorisés, encadrer les prestataires et conserver une documentation adaptée. La formation des salariés compte tout autant. Une politique interne claire doit expliquer quels outils sont permis, quels types d’informations ne doivent jamais y être saisis et vers qui se tourner en cas de doute.

Surveiller l’IA après son déploiement, pas seulement avant

Tester un système avant sa mise en service est nécessaire, mais insuffisant. Les performances d’un modèle peuvent évoluer avec les données, les mises à jour du fournisseur, les changements de contexte ou les nouveaux usages inventés par les équipes. Un système fiable dans un environnement donné peut devenir moins pertinent ou produire des résultats problématiques lorsqu’il est déployé à plus grande échelle.

La surveillance continue permet de détecter les anomalies, les erreurs répétées, les résultats discriminatoires, les fuites de données ou les écarts par rapport à la finalité initiale. Elle suppose des indicateurs adaptés au cas d’usage, des mécanismes de signalement et une capacité réelle de correction. Dans certains contextes, des méthodes avancées, comme des métamodèles chargés d’anticiper le comportement d’autres systèmes d’IA, peuvent compléter les contrôles humains et techniques.

Cette approche rejoint les principes du NIST AI Risk Management Framework, un cadre américain de gestion des risques liés à l’IA. Son intérêt est de proposer une démarche structurée : gouverner, cartographier, mesurer et gérer les risques. Il ne remplace pas une obligation légale européenne, mais peut aider une organisation à organiser ses pratiques internes et à parler un langage commun entre équipes techniques, juridiques, métiers et sécurité.

Ce qu’il faut surveiller d’ici à l’application complète des règles

La préparation à la régulation de l’IA ne doit pas devenir un frein automatique à l’innovation. Elle peut au contraire éviter de consacrer du temps et des moyens à des outils qui seraient ensuite impossibles à déployer, difficiles à expliquer ou incompatibles avec les exigences de confidentialité. Une organisation qui sait documenter ses choix peut aussi mieux évaluer la valeur réelle de ses projets.

D’ici aux premières grandes échéances de février 2025 puis d’août 2025, les entreprises ont intérêt à suivre plusieurs chantiers : l’évolution des textes d’application européens, les recommandations des autorités compétentes, les pratiques de leurs fournisseurs, les règles sectorielles éventuelles et les usages réels de leurs collaborateurs.

La priorité est moins de chercher une conformité parfaite sur le papier que de créer une discipline durable. Connaître ses outils, protéger les données, hiérarchiser les risques, former les équipes, documenter les décisions et corriger les dérives constituent déjà les fondations d’une IA à la fois utile, responsable et plus facile à adapter aux règles de demain.