Pacte européen sur l’IA : ce que l’engagement de plus de 100 entreprises vaut vraiment

Plus d’une centaine d’organisations ont choisi d’afficher publiquement leur volonté d’anticiper les règles européennes sur l’intelligence artificielle. Le 25 septembre 2024, à Bruxelles, des entreprises de premier plan telles que Google, Microsoft et Dassault Systèmes ont rejoint les premiers engagements du Pacte européen sur l’IA. L’initiative est importante, mais elle appelle une distinction essentielle : adhérer à ce pacte n’équivaut pas à être déjà en conformité avec la future réglementation.

L’Europe a adopté avec l’AI Act le premier grand cadre juridique horizontal consacré à l’IA. Le texte est entré en vigueur le 1er août 2024, mais ses obligations s’appliqueront progressivement. Le Pacte vise précisément à occuper cet intervalle : il invite les organisations qui le souhaitent à mettre de l’ordre dans leurs usages, leurs outils et leurs responsabilités avant que les échéances légales ne les y contraignent.

Plus de 100 organisations pour préparer l’après AI Act

Le Pacte européen sur l’IA est une initiative de la Commission européenne conçue comme un espace d’échange entre les autorités et les organisations qui développent ou déploient de l’intelligence artificielle. Son ambition est double : aider les acteurs économiques à comprendre un règlement dense, et encourager des pratiques responsables sans attendre l’ensemble des dates d’application de l’AI Act.

La participation de groupes technologiques mondiaux comme Google et Microsoft donne au projet une visibilité considérable. Elle ne signifie toutefois pas que tous les membres ont le même rôle dans la chaîne de valeur de l’IA. Certains conçoivent des modèles et des logiciels, d’autres les intègrent dans leurs produits ou les emploient en interne. Leurs obligations futures varieront donc selon leurs activités et les systèmes utilisés.

La présence de Dassault Systèmes, groupe français de logiciels, illustre aussi que le Pacte ne s’adresse pas seulement aux très grandes plateformes américaines. Les logiciels d’ingénierie, les outils de ressources humaines, les services publics, la santé, l’éducation ou la finance peuvent tous faire appel à des systèmes d’IA. Or, les risques et les règles ne sont pas les mêmes selon l’usage.

Le Pacte comporte une dimension de communauté et de dialogue, mais son volet le plus visible est celui des engagements volontaires. Les premiers signataires ne promettent donc pas un résultat identique ni une certification officielle. Ils prennent publiquement l’engagement de travailler en amont des obligations qui les concerneront.

Quels engagements les signataires prennent-ils concrètement ?

Les engagements de base demandés aux signataires répondent à une difficulté très concrète : une entreprise ne peut pas encadrer une IA dont elle ignore l’existence, l’usage ou le niveau de risque. Il lui faut d’abord identifier ses systèmes, désigner des responsables et documenter les décisions prises.

Les trois axes centraux sont les suivants : construire une stratégie de gouvernance de l’IA, recenser les systèmes d’IA à haut risque ou susceptibles de l’être, et développer la culture de l’IA parmi les équipes. La démarche va au-delà d’une charte éthique générale. Elle suppose que la direction, les équipes juridiques, techniques, métiers et de sécurité puissent se coordonner.

Une cartographie ne consiste pas seulement à dresser une liste de logiciels. Elle doit permettre de savoir à quoi sert chaque système, quelles données il traite, qui s’appuie sur ses résultats et quelles conséquences une erreur pourrait avoir. Un outil qui aide à classer des candidatures, à évaluer des élèves, à décider de l’accès à un crédit ou à soutenir un diagnostic n’appelle pas le même niveau de vigilance qu’un outil de correction orthographique.

La formation est tout aussi déterminante. L’AI Act introduit une obligation de veiller à un niveau suffisant de maîtrise de l’IA, parfois appelée AI literacy. Dans la pratique, cela ne signifie pas que chaque salarié doit devenir ingénieur. Il s’agit plutôt de comprendre les limites d’un système, de ne pas lui confier des données sensibles sans précaution, de reconnaître ses erreurs possibles et de savoir quand l’intervention humaine est nécessaire.

Les organisations peuvent aussi souscrire à des engagements additionnels. Ils peuvent concerner, selon les cas, la supervision humaine, la gestion des risques, la transparence ou l’information des personnes exposées à certains contenus générés par l’IA. Le point commun est l’anticipation : traiter les sujets de conformité avant qu’ils ne deviennent une obligation pleinement applicable.

Pacte européen et AI Act : deux instruments très différents

Le Pacte et l’AI Act sont complémentaires, mais leur nature ne doit pas être confondue. Le premier est volontaire, le second est un règlement de l’Union européenne directement applicable dans les États membres selon un calendrier fixé par le texte.

L’AI Act adopte une approche fondée sur le risque. Plus une utilisation de l’IA est susceptible d’affecter la sécurité, les droits fondamentaux ou les possibilités d’une personne, plus les exigences sont fortes. Certaines pratiques seront interdites. Les systèmes classés à haut risque devront notamment répondre à des exigences précises en matière de gestion des risques, de qualité des données, de documentation, de surveillance humaine et de robustesse.

Le Pacte n’ajoute pas de sanctions propres comparables à celles prévues par le règlement. Il crée une incitation à préparer les entreprises, ainsi qu’un cadre de dialogue avec la Commission. Une société qui signe ne s’affranchit donc pas de ses futures obligations légales. À l’inverse, une société qui ne signe pas n’est pas dispensée de respecter l’AI Act lorsqu’il s’appliquera à elle.

Un calendrier progressif qui explique l’intérêt du Pacte

L’AI Act ne bascule pas toutes les entreprises dans un nouveau régime du jour au lendemain. Son entrée en vigueur, le 1er août 2024, a lancé un calendrier en plusieurs étapes. Cette progressivité est l’une des raisons d’être du Pacte : elle permet de commencer un travail organisationnel qui, dans de nombreuses structures, ne peut pas être improvisé en quelques semaines.

Ce calendrier donne une visibilité aux entreprises, mais il ne rend pas la préparation facultative dans les faits. Pour établir une gouvernance, recenser les outils achetés par différents services, mettre à jour des contrats, former les équipes et documenter des systèmes complexes, plusieurs mois peuvent être nécessaires.

Les fournisseurs et les utilisateurs professionnels devront également comprendre où commence leur responsabilité. Une entreprise qui développe un système ne se trouve pas dans la même situation qu’une organisation qui l’utilise pour gérer ses recrutements ou son service client. L’AI Act distingue ces rôles, ce qui rend d’autant plus utile un échange précoce entre juristes, ingénieurs et équipes opérationnelles.

Un engagement crédible, mais insuffisant sans transparence

Peut-on considérer le Pacte comme un simple effet d’annonce ? Il serait excessif d’écarter d’emblée une initiative qui pousse des organisations à se préparer plus tôt à des règles exigeantes. Le fait de rendre les engagements publics peut conduire les entreprises à structurer leur gouvernance et à rendre compte de leurs progrès auprès de leurs clients, partenaires, salariés et autorités.

Mais le scepticisme est légitime si l’on attend de ce dispositif qu’il garantisse à lui seul une IA sûre ou respectueuse des droits. Un engagement volontaire ne remplace pas des audits, une documentation technique, des procédures de signalement des incidents ou des contrôles des autorités compétentes. Il ne dit pas non plus, à lui seul, comment chaque entreprise arbitrera entre rapidité de mise sur le marché, coût de la conformité et protection des utilisateurs.

La vraie question est donc moins « qui a signé ? » que « que feront concrètement les signataires ? ». Plusieurs éléments permettront d’en juger :

• l’existence d’équipes et de responsables identifiés pour la gouvernance de l’IA ;
• la capacité à recenser les outils, y compris ceux achetés auprès de fournisseurs ;
• les mesures prises pour tester les risques et corriger les erreurs ;
• l’information donnée aux salariés, clients et utilisateurs lorsque cela est nécessaire ;
• la cohérence entre les déclarations publiques et les pratiques réelles.

Pour les citoyens, les effets les plus tangibles ne seront pas forcément visibles sous l’étiquette « Pacte européen ». Ils se traduiront, par exemple, par une meilleure information lorsqu’une IA est utilisée, par la possibilité de faire intervenir un humain dans certaines décisions importantes, ou par des garde-fous contre des usages discriminatoires et opaques.

Concurrence, désinformation et confiance : les enjeux au-delà de la conformité

La régulation européenne de l’IA ne porte pas uniquement sur la sécurité technique. Elle s’inscrit dans une réflexion plus large sur la concentration du marché, l’accès aux données et aux capacités de calcul, la circulation des contenus synthétiques et la confiance du public. En septembre 2024, la Commission européenne a également mis en avant les enjeux de concurrence dans le domaine de l’IA générative.

Cette dimension est essentielle. Les modèles les plus puissants demandent d’importantes ressources de calcul, des données et des compétences rares. Les accords entre grands acteurs du cloud, fabricants de puces, laboratoires et éditeurs peuvent structurer durablement le marché. L’Europe cherche ainsi à éviter qu’un cadre de sécurité ne devienne, involontairement, une barrière que seules les entreprises les plus riches peuvent franchir.

La désinformation est un autre sujet central. Les outils génératifs facilitent la création rapide de textes, d’images, de sons et de vidéos convaincants. Ils peuvent avoir des usages créatifs et utiles, mais aussi servir à tromper les internautes ou à amplifier de fausses informations. La transparence, l’identification de certains contenus et la responsabilité des plateformes font donc partie d’un écosystème de confiance plus vaste que le seul Pacte.

Les signataires ont ici une responsabilité particulière, car les grandes entreprises disposent d’une capacité importante à diffuser des outils, définir des standards de produit et influencer les pratiques de leurs fournisseurs. Leur adhésion au Pacte sera jugée à l’aune de cette influence, notamment si leurs dispositifs de prévention suivent le rythme de diffusion de l’IA générative.

Ce qu’il faut surveiller d’ici à 2026

Le Pacte européen sur l’IA constitue un test utile : peut-il transformer une volonté affichée en méthodes de travail durables, avant même que la plupart des obligations légales entrent en application ? Les prochains mois permettront d’observer si les entreprises participantes publient des informations suffisamment précises sur leur gouvernance, leurs formations et leurs méthodes d’évaluation des risques.

Il faudra également suivre la capacité de la Commission et des autorités nationales à accompagner les organisations, en particulier les PME. Les grands groupes disposent de juristes, d’ingénieurs et de budgets dédiés à la conformité. Pour les structures plus modestes, les règles devront être compréhensibles et les outils d’accompagnement accessibles, sans réduire les exigences de protection.

Enfin, la crédibilité de l’ensemble reposera sur une articulation claire entre le volontariat et la contrainte. Le Pacte peut accélérer la préparation et diffuser de bonnes pratiques. L’AI Act, lui, apportera le cadre juridique, les obligations et les mécanismes de contrôle. C’est cette combinaison, et non la seule liste des signataires, qui déterminera si l’Europe parvient à installer une IA à la fois innovante, compétitive et digne de confiance.