IA centralisée : les risques de concentration et les garde-fous nécessaires

L’intelligence artificielle n’est pas seulement une affaire d’algorithmes. Pour entraîner et déployer les modèles les plus performants, il faut des données, des centres de données, des puces spécialisées, des équipes de recherche et des canaux de distribution capables d’atteindre des millions d’utilisateurs. Ces ressources étant coûteuses et difficiles à réunir, elles tendent à se concentrer. Cette réalité nourrit une interrogation majeure : que se passe-t-il lorsque les outils qui influencent l’accès à l’information, au travail, au crédit ou aux services publics dépendent d’un très petit nombre d’organisations ?

L’IA dite centralisée peut apporter une capacité d’investissement et une standardisation utiles. Elle rend aussi possible le déploiement rapide de services à grande échelle. Mais elle concentre simultanément le pouvoir de fixer les règles techniques, de choisir les données utilisées, de décider des usages autorisés et de collecter une partie des informations issues de ces usages. En novembre 2024, ce sujet se situe donc au croisement de la concurrence, des libertés individuelles, de l’équité et de la sécurité.

Que recouvre l’expression « IA centralisée » ?

L’expression ne désigne pas une catégorie juridique unique. Elle décrit plutôt une organisation dans laquelle les principaux leviers d’un système d’IA sont réunis entre les mains d’une même entreprise ou d’un groupe limité d’acteurs : l’infrastructure de calcul, les jeux de données, le modèle, les interfaces utilisées par le public et les règles d’accès.

Les très grands modèles de langage illustrent cette situation. Leur entraînement exige des capacités de calcul considérables et des données à grande échelle. Les grands fournisseurs de services numériques et de cloud, parmi lesquels Microsoft et Google, disposent d’atouts importants dans cette course : infrastructures mondiales, capitaux, expertise technique et bases d’utilisateurs. Les entreprises plus petites peuvent innover, mais elles sont souvent tributaires de ces mêmes infrastructures pour faire tourner leurs services.

La centralisation ne signifie pas nécessairement qu’une technologie est illégitime ou dangereuse par nature. Elle décrit un rapport de force. Le risque apparaît quand cette dépendance réduit les choix réels des utilisateurs, des entreprises, des chercheurs ou des pouvoirs publics, et quand les décisions prises par quelques organisations ont des effets à très grande échelle.

La concentration peut-elle freiner la concurrence ?

La concentration des ressources peut créer un effet de verrouillage. Une jeune entreprise qui veut développer un produit reposant sur l’IA doit souvent acheter du calcul à un grand fournisseur, utiliser ses outils et accepter ses conditions commerciales. Elle peut également dépendre de modèles qu’elle ne maîtrise pas entièrement. Cette position rend la concurrence plus difficile, notamment lorsque le fournisseur d’infrastructure propose lui-même des services concurrents.

Le problème ne se limite pas au prix. Un acteur qui contrôle une plateforme peut peser sur les standards techniques, les modalités d’accès aux outils et la visibilité des applications. Dans un marché aussi jeune que celui de l’IA générative, les partenariats, acquisitions ou investissements des grandes entreprises doivent donc être observés avec attention par les autorités de concurrence.

La diversité des acteurs a une valeur concrète. Elle permet l’existence de modèles adaptés à différentes langues, à des besoins locaux ou à des secteurs particuliers. Elle réduit aussi le risque qu’une seule vision des usages acceptables de l’IA devienne, de fait, la norme pour tous. Soutenir la recherche publique, l’accès aux infrastructures de calcul et des standards interopérables peut aider à préserver cette pluralité.

Pourquoi les biais algorithmiques restent un risque majeur

Un système d’IA apprend à partir de données et de choix humains : sélection des exemples, définition de la tâche, critères de performance, paramétrage et contexte de déploiement. Il n’est donc pas automatiquement neutre. Si les données reflètent des inégalités anciennes, des stéréotypes ou des lacunes statistiques, le système peut les reproduire, voire les amplifier.

Les conséquences sont particulièrement sensibles lorsqu’un algorithme aide à prendre une décision concernant une personne. Dans le recrutement, l’attribution d’un crédit ou l’accès à certains services, une erreur systématique peut pénaliser des groupes selon l’âge, l’origine, le lieu de résidence ou d’autres caractéristiques. Le problème est aggravé lorsque la personne concernée ne sait pas qu’un système automatisé a été utilisé, ne comprend pas les critères appliqués ou ne peut pas contester efficacement le résultat.

La centralisation augmente l’ampleur potentielle de ce phénomène. Un même modèle ou un même outil d’évaluation peut être repris par un grand nombre d’organisations. Une erreur de conception ne touche alors plus un seul service, mais peut se diffuser dans plusieurs secteurs.

Réduire les biais suppose davantage qu’une promesse de principe. Il faut notamment :

• évaluer les performances du système dans les conditions réelles de son utilisation ;
• tester ses résultats pour différents groupes pertinents, dans le respect du droit ;
• documenter les limites connues et les décisions de conception ;
• prévoir une intervention humaine compétente et une procédure de recours dans les situations importantes.

La transparence est essentielle, mais elle ne signifie pas forcément publier intégralement le code, toutes les données d’entraînement ou les détails permettant de contourner les protections. Ces éléments peuvent être protégés par le secret des affaires, le droit d’auteur, la vie privée ou des impératifs de sécurité. L’enjeu est de fournir aux personnes concernées, aux clients, aux chercheurs habilités et aux régulateurs les informations nécessaires pour contrôler réellement le système.

Données personnelles : le risque d’une surveillance à grande échelle

Les systèmes centralisés peuvent agréger des volumes considérables d’informations issues de nos recherches, achats, communications, déplacements ou usages d’applications. Croisées et analysées, ces données permettent d’établir des profils très détaillés. Cette capacité de traitement alimente les inquiétudes liées à la surveillance, qu’elle soit exercée par des acteurs privés ou par des autorités publiques.

Dans une démocratie aussi, la banalisation de la collecte peut affaiblir l’anonymat et la liberté de chacun. Savoir ou supposer que ses comportements sont constamment analysés peut influencer ce que l’on lit, ce que l’on dit ou les lieux que l’on fréquente. Le sujet ne concerne donc pas uniquement les régimes autoritaires : il touche aux conditions mêmes d’exercice des libertés individuelles.

En France et dans l’Union européenne, le Règlement général sur la protection des données, le RGPD, fixe déjà des obligations importantes. Les organisations doivent disposer d’une base légale pour traiter des données personnelles, limiter leur collecte à ce qui est nécessaire, informer les personnes et assurer la sécurité des informations. La CNIL joue un rôle central de contrôle et d’accompagnement sur ces questions.

Les utilisateurs ont aussi une part de vigilance à exercer. Avant de confier un document, une photo, des données professionnelles ou des informations sensibles à un service d’IA, il est prudent de vérifier les conditions d’utilisation, les paramètres de confidentialité et les règles de conservation des données. Cette précaution est d’autant plus importante lorsque l’outil est fourni par un prestataire extérieur à son organisation.

Quel cadre juridique pour l’IA en Europe ?

La régulation ne peut pas, à elle seule, supprimer tous les risques, mais elle peut imposer des obligations et rendre les responsabilités plus claires. L’Union européenne a franchi une étape majeure avec le règlement sur l’intelligence artificielle, plus souvent appelé AI Act, entré en vigueur le 1er août 2024.

Ce texte adopte une approche fondée sur les risques. Certaines pratiques sont interdites, tandis que les systèmes considérés à haut risque sont soumis à des exigences renforcées en matière de gestion des risques, de qualité des données, de documentation, de traçabilité, de surveillance humaine et de robustesse. Le règlement prévoit aussi des obligations spécifiques pour les modèles d’IA à usage général.

Son application est progressive. Les premières dispositions, notamment certaines interdictions et les obligations relatives à la culture de l’IA, doivent s’appliquer à partir du 2 février 2025. Les règles concernant les modèles d’IA à usage général doivent s’appliquer à partir du 2 août 2025, tandis que la plupart des autres dispositions entreront en application à compter du 2 août 2026.

L’AI Act ne prescrit pas une architecture décentralisée. Son objectif est plutôt d’encadrer les usages et les fournisseurs selon les risques qu’ils font peser sur les droits fondamentaux, la santé, la sécurité ou la démocratie. Il s’ajoute aux règles existantes, dont le RGPD. L’efficacité de l’ensemble dépendra des moyens accordés aux autorités de contrôle, de la clarté des normes techniques et de la capacité des entreprises à documenter leurs systèmes.

La décentralisation est-elle une réponse suffisante ?

Distribuer davantage les ressources et les décisions peut limiter certains déséquilibres. Des modèles pouvant être exécutés localement, des infrastructures partagées, des standards ouverts ou des coopérations entre institutions peuvent réduire la dépendance à un fournisseur unique. L’apprentissage fédéré, par exemple, vise à entraîner un modèle sans regrouper systématiquement les données brutes dans un emplacement unique : les calculs sont effectués au plus près des données, puis des résultats agrégés sont partagés.

Ces pistes méritent d’être explorées, notamment pour les données sensibles ou les besoins locaux. Mais décentraliser ne résout pas automatiquement les problèmes d’équité, de sécurité ou de responsabilité. Un modèle diffusé largement peut rester biaisé. Un réseau distribué peut être difficile à auditer. Et l’absence d’un responsable clairement identifié peut compliquer la réparation d’un préjudice.

L’objectif raisonnable n’est donc pas de remplacer toute IA centralisée par une IA entièrement distribuée. Il consiste à choisir l’architecture adaptée à chaque usage, à éviter les dépendances excessives et à garantir une gouvernance proportionnée aux risques. Dans certains cas, une infrastructure centralisée, rigoureusement contrôlée, pourra être préférable à une multiplication de systèmes insuffisamment sécurisés.

L’éducation et les audits, des garde-fous du quotidien

Les lois ne suffisent pas si les personnes qui conçoivent, achètent ou utilisent des systèmes d’IA ne savent pas en apprécier les limites. Les entreprises et administrations doivent former leurs équipes : savoir identifier une réponse plausible mais erronée, protéger les données confidentielles, comprendre qu’un score automatisé n’est pas une vérité et signaler une décision potentiellement discriminatoire.

Les audits indépendants constituent un autre levier. Ils peuvent examiner la qualité des données, les performances, la sécurité, les effets discriminatoires et la conformité aux engagements annoncés. Pour être utiles, ils doivent intervenir avant le déploiement lorsque c’est possible, puis se poursuivre une fois le système en usage, car les données, les comportements et les effets concrets évoluent.

Les citoyens ne sont pas démunis. Ils peuvent demander quelles données sont utilisées, s’informer sur le rôle d’un algorithme dans une décision qui les concerne et exercer les droits prévus par la législation sur les données personnelles. Une culture numérique partagée aide à transformer l’IA d’une boîte noire imposée en un outil dont les limites peuvent être discutées.

Ce qu’il faut surveiller

Le débat sur l’IA centralisée ne porte pas seulement sur la taille des entreprises technologiques. Il porte sur la manière dont une société répartit le pouvoir de décider, d’innover et de surveiller. L’enjeu des prochaines années sera de concilier les capacités réelles offertes par de grands systèmes d’IA avec des garanties solides pour les droits fondamentaux et la concurrence.

Plusieurs points seront déterminants : l’application effective de l’AI Act, la capacité de la CNIL et des autres régulateurs à contrôler les pratiques, l’accès des acteurs plus modestes aux ressources de calcul, la qualité des audits et la possibilité pour les personnes affectées d’obtenir des explications et un recours. La coopération internationale sera également nécessaire, car les modèles, les données et les services numériques ne s’arrêtent pas aux frontières.

Une IA plus responsable ne dépendra pas d’une seule solution technique. Elle reposera sur un ensemble cohérent : règles applicables, transparence adaptée, pluralité des acteurs, protections de la vie privée, contrôle humain et éducation. C’est à ces conditions que l’innovation pourra servir l’intérêt collectif sans laisser les décisions les plus sensibles se concentrer dans trop peu de mains.