IA dans les services publics britanniques : pourquoi la transparence reste incomplète

L’intelligence artificielle n’est plus seulement une affaire de laboratoires ou d’entreprises technologiques. Lorsqu’elle entre dans les services publics, elle peut contribuer à trier des demandes, détecter des risques de fraude, orienter des dossiers ou aider des agents à traiter un volume important d’informations. Ces usages promettent efficacité et rapidité. Mais ils posent une question préalable, très concrète : quels outils sont employés, par qui, sur quelles données et avec quelles garanties pour les personnes concernées ?

Au Royaume-Uni, cette question se heurte à une information jugée trop fragmentée. L’enjeu n’est pas de publier chaque ligne de code ni de dévoiler des données sensibles. Il est de donner aux citoyens, aux élus, aux journalistes et aux organismes de contrôle les moyens de comprendre où l’IA intervient dans l’action publique, et d’identifier les situations dans lesquelles une erreur automatisée peut avoir des conséquences réelles.

L’IA publique ne se résume pas à un robot qui décide seul

Parler d’IA dans le secteur public peut recouvrir des réalités très différentes. Un système peut simplement aider un agent à classer des courriers, repérer des incohérences dans un formulaire ou prioriser des dossiers. Il peut aussi produire un score destiné à évaluer un risque ou recommander une action. Dans tous les cas, l’expression « IA » ne dit pas à elle seule si l’outil est fiable, équitable ou adapté à son usage.

La première difficulté de transparence est donc celle du périmètre. Une administration qui utilise un tableur enrichi de règles automatiques, un logiciel de détection d’anomalies ou un modèle statistique complexe ne décrira pas nécessairement ces outils de la même manière. Or, pour les personnes affectées, l’étiquette technique importe moins que les effets : leur demande a-t-elle été accélérée, bloquée, contrôlée ou réexaminée à cause d’un système automatisé ?

L’absence d’un inventaire simple et complet nourrit logiquement les interrogations. Elle ne prouve pas, à elle seule, une volonté de dissimulation : des administrations peuvent publier des informations à des endroits différents, employer des définitions distinctes ou ne pas disposer d’un suivi centralisé. Mais elle limite la possibilité d’un contrôle démocratique cohérent.

Pourquoi est-il difficile de publier tous les usages de l’IA ?

Plusieurs raisons peuvent expliquer qu’un usage public de l’IA reste peu visible. La première est administrative. Les systèmes numériques sont souvent achetés, configurés ou expérimentés par des services différents. Sans obligation de déclaration uniforme ni registre partagé, aucune vue d’ensemble ne se construit spontanément.

La deuxième raison tient à la nature des informations en jeu. Un organisme public peut invoquer, selon les cas, la protection des données personnelles, la cybersécurité, le secret commercial d’un fournisseur ou encore la prévention de la fraude. Ces considérations peuvent être légitimes lorsqu’elles portent sur des éléments précis. Elles ne devraient toutefois pas empêcher toute explication sur la finalité générale d’un outil et sur les garanties qui l’entourent.

Enfin, les institutions peuvent craindre qu’une publication insuffisamment expliquée alimente l’inquiétude ou soit mal interprétée. C’est un risque réel, mais il ne justifie pas le silence. Au contraire, l’absence d’information laisse prospérer l’idée qu’un algorithme prendrait des décisions opaques, impossibles à contester. Une communication claire, proportionnée et accompagnée d’explications accessibles est généralement plus utile qu’une liste technique incompréhensible.

En Angleterre, au pays de Galles et en Irlande du Nord, la législation sur la liberté de l’information permet au public de demander des documents détenus par les autorités. Des exemptions existent notamment pour certaines informations commerciales, les données personnelles et des sujets de sécurité. L’Écosse dispose de son propre régime d’accès à l’information. Ces mécanismes sont importants, mais ils reposent sur l’initiative des demandeurs. Ils ne valent pas un dispositif de publication proactive et standardisée.

Le standard britannique de transparence algorithmique, un progrès encore partiel

Le Royaume-Uni s’est doté d’un Algorithmic Transparency Recording Standard, un standard de documentation de la transparence algorithmique élaboré avec l’appui du Centre for Data Ethics and Innovation. Son principe est simple : les organismes publics peuvent publier une fiche décrivant les outils algorithmiques qu’ils utilisent ou prévoient d’utiliser.

Une telle fiche peut éclairer plusieurs questions essentielles : quel problème l’outil cherche-t-il à résoudre ? Qui en est responsable ? Quels types de données sont utilisés ? Une personne conserve-t-elle un rôle dans la décision ? Quels risques ont été recensés et quelles mesures sont prévues pour les réduire ? Pour le public, cette documentation est plus utile qu’une déclaration abstraite selon laquelle une administration ferait un usage « responsable » de l’IA.

Ce standard répond à une partie du problème, pas à sa totalité. Il ne crée pas automatiquement un catalogue unique de toutes les technologies employées dans l’ensemble du secteur public britannique. Sa valeur dépend de son adoption, de la qualité des fiches remplies, de leur actualisation et de la facilité avec laquelle un citoyen peut les retrouver.

La différence est importante. Une organisation peut respecter certaines obligations internes de gestion des risques sans offrir au public une information suffisante sur le fonctionnement concret d’un outil. À l’inverse, une publication peut être formellement disponible mais trop vague pour renseigner réellement les personnes concernées. La transparence utile doit être à la fois accessible, précise et intelligible.

Les données et les biais, au cœur de la défiance

Les inquiétudes ne concernent pas uniquement le secret entourant les logiciels. Elles portent aussi sur les données à partir desquelles un système apprend ou fonctionne. Un modèle peut reproduire des régularités historiques présentes dans ses données. Si celles-ci reflètent des inégalités, des erreurs de saisie, une sous-représentation de certains groupes ou des pratiques administratives contestables, l’outil risque de les prolonger à grande échelle.

Le danger est particulièrement sensible lorsqu’un système classe des personnes ou attribue un score. Même s’il ne prononce pas officiellement la décision finale, son résultat peut influencer l’ordre de traitement des dossiers, la probabilité d’un contrôle ou l’attention accordée à une demande. La présence d’un agent humain ne suffit donc pas toujours à écarter le risque : encore faut-il que cet agent puisse comprendre la recommandation, la remettre en cause et agir autrement.

Le droit britannique comporte déjà plusieurs garde-fous. Les règles de protection des données encadrent les traitements de données personnelles. Lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés, une analyse d’impact sur la protection des données peut être requise. Le droit prévoit aussi un encadrement spécifique des décisions fondées uniquement sur un traitement automatisé lorsqu’elles produisent des effets juridiques ou des effets significatifs comparables pour une personne.

Par ailleurs, les règles relatives à l’égalité et à la non-discrimination s’appliquent à l’action des autorités publiques. Toutefois, ces protections ne dispensent pas les institutions d’expliquer leurs pratiques. Un citoyen qui ignore qu’un outil automatisé a influencé son dossier aura plus de difficultés à demander une explication ou à exercer un recours.

Un cadre réglementaire encore dispersé

À la date du 28 novembre 2024, le Royaume-Uni ne dispose pas d’une loi unique équivalente à un code général de l’IA qui imposerait un registre exhaustif des outils publics. L’approche britannique repose sur des régulateurs existants et sur des principes transversaux, parmi lesquels la sécurité, la transparence et l’explicabilité, l’équité, la responsabilité, ainsi que la possibilité de contester une décision et d’obtenir réparation.

Cette approche présente un avantage : elle s’appuie sur des autorités qui connaissent déjà leur domaine, comme la protection des données, la concurrence, la sécurité ou les communications. Mais elle peut aussi rendre la responsabilité difficile à lire pour le public. Lorsque plusieurs règles, services et régulateurs interviennent, qui doit vérifier qu’un outil est bien documenté, qu’il n’est pas discriminatoire et qu’un recours existe ?

L’Union européenne a choisi une voie différente avec son règlement sur l’intelligence artificielle, entré en vigueur le 1er août 2024 et appelé à s’appliquer progressivement. Le Royaume-Uni, qui n’est plus membre de l’Union européenne, n’est pas directement soumis à ce texte. La comparaison rappelle néanmoins une tendance internationale : plus un système d’IA est susceptible d’affecter des droits, un emploi, l’accès à un service ou une décision importante, plus les exigences de documentation et de contrôle deviennent centrales.

L’open source peut-il résoudre le problème ?

Les modèles et logiciels open source, dont le code est accessible sous certaines conditions, sont parfois présentés comme une réponse à l’opacité. Ils peuvent effectivement faciliter l’examen technique par des chercheurs, des associations ou des équipes informatiques publiques. Une administration peut aussi éviter une dépendance complète à un fournisseur qui refuse de donner des explications sur son produit.

Mais l’ouverture du code ne constitue pas une garantie suffisante. Un modèle public peut être déployé avec des données, des paramétrages ou des règles de décision qui ne sont pas publics. À l’inverse, un logiciel propriétaire peut être encadré par un audit sérieux, une analyse d’impact, un contrôle humain et une documentation précise. La question décisive est moins celle de l’étiquette open source que celle de la capacité à vérifier l’usage réel du système et à demander des comptes à l’organisme qui l’emploie.

Pour une administration, une stratégie responsable peut donc associer plusieurs éléments : documentation publiée, clauses contractuelles permettant l’audit, tests avant déploiement, suivi des erreurs, formation des agents et procédure de recours clairement indiquée aux usagers.

Ce qu’il faut surveiller

Le débat britannique ne porte pas seulement sur la technologie. Il concerne la relation entre les citoyens et l’État. Une administration qui veut utiliser l’IA pour gagner du temps ou mieux répartir ses ressources doit pouvoir démontrer que cette efficacité ne se fait pas au détriment de l’équité, de la vie privée ou de la possibilité de contester une décision.

Les avancées les plus utiles seraient concrètes : un recensement plus cohérent des systèmes utilisés, des fiches de transparence compréhensibles, des évaluations d’impact adaptées aux risques, une supervision humaine réelle et des voies de recours visibles. La publication de données agrégées sur les usages de l’IA aiderait aussi à distinguer les expérimentations limitées des outils qui influencent effectivement la vie quotidienne.

La confiance ne se décrète pas par une promesse d’innovation. Elle se construit lorsque les institutions expliquent ce qu’elles font, reconnaissent les limites des outils employés et acceptent que leurs décisions puissent être examinées. Dans les services publics, cette exigence de transparence est une condition de la légitimité de l’IA, bien davantage qu’un simple exercice de communication.