AI Act : peut-on déjà choisir une IA conforme en Europe, et laquelle retenir ?

Choisir un assistant conversationnel ne revient plus seulement à comparer la qualité de ses réponses, sa vitesse ou son prix. Pour les organisations européennes, la question devient aussi juridique : l’outil respecte-t-il les règles de l’Union européenne, protège-t-il les données et permet-il de justifier les décisions prises avec son aide ? L’AI Act, le règlement européen sur l’intelligence artificielle, pose pour la première fois un cadre commun. Mais il faut éviter un raccourci : au 22 octobre 2024, il n’existe pas de palmarès officiel des chatbots « certifiés conformes ».

Anthropic, OpenAI et Microsoft font partie des entreprises les plus observées sur ce terrain. Leurs assistants, respectivement l’assistant d’Anthropic, ChatGPT et Copilot, intègrent des dispositifs de sécurité, de modération, de contrôle des accès ou de gestion des données qui vont dans le sens d’une IA plus responsable. Cela ne suffit toutefois pas à établir, à lui seul, la conformité d’un déploiement donné. L’AI Act réglemente des systèmes d’IA dans leur contexte d’utilisation, pas seulement des noms de produits.

L’AI Act est entré en vigueur, mais son application est progressive

Le règlement européen sur l’intelligence artificielle est entré en vigueur le 1er août 2024. Son objectif est d’encadrer les risques associés à l’IA tout en maintenant un marché européen commun. Il concerne les fournisseurs de systèmes d’IA, les entreprises qui les utilisent dans l’Union européenne, les importateurs, les distributeurs et, dans certains cas, les acteurs établis hors d’Europe dont les systèmes ont des effets sur le marché européen.

Son calendrier est volontairement progressif. Cette montée en charge explique pourquoi il serait prématuré, en octobre 2024, d’affirmer qu’un assistant généraliste est déjà conforme dans tous ses usages.

Parmi les pratiques interdites à partir de février 2025 figurent notamment certaines formes de manipulation, l’exploitation de vulnérabilités liées à l’âge ou au handicap, le crédit social et plusieurs usages biométriques particulièrement intrusifs. Le texte prévoit aussi des exceptions strictement encadrées pour certains usages des forces de l’ordre.

Pourquoi aucun chatbot n’est « conforme » dans l’absolu

L’AI Act organise les obligations selon le niveau de risque. Un outil qui aide à rédiger un courriel ne soulève pas les mêmes enjeux qu’un système qui participe au tri de candidatures, à l’évaluation de la solvabilité d’un client ou à l’admission d’un étudiant. Dans ces derniers cas, l’impact potentiel sur les droits, l’accès à l’emploi, au crédit ou à l’éducation est nettement plus important.

Il faut également distinguer le modèle d’IA à usage général, capable d’être intégré dans une grande variété de produits, du système d’IA effectivement déployé par une entreprise. Un même modèle peut ainsi servir à résumer des documents internes, à alimenter un service client ou à contribuer à une décision dans un domaine sensible. Les responsabilités et les exigences ne seront pas identiques.

Les modèles d’IA à usage général sont concernés par des obligations propres, qui doivent s’appliquer à partir d’août 2025. Les fournisseurs devront notamment préparer une documentation technique, fournir des informations aux entreprises qui intègrent leurs modèles, mettre en place une politique de respect du droit d’auteur et publier un résumé suffisamment détaillé des contenus utilisés pour l’entraînement. Les modèles présentant un risque systémique seront soumis à des exigences supplémentaires d’évaluation, de gestion des risques et de cybersécurité.

Lorsqu’un système entre dans la catégorie des IA à haut risque, les obligations deviennent plus lourdes : gestion continue des risques, qualité des données lorsque cela est pertinent, journalisation, documentation technique, information de l’utilisateur, supervision humaine, précision, robustesse et cybersécurité. Avant sa mise sur le marché, un tel système devra passer par une évaluation de conformité et porter le marquage CE lorsqu’il est soumis à ce régime.

Anthropic, OpenAI et Microsoft : des offres à examiner au cas par cas

La sélection de trois grands acteurs peut constituer un point de départ, à condition de ne pas confondre notoriété, engagement public et conformité juridique démontrée. Les garanties utiles se trouvent dans les fonctionnalités réellement activées, la documentation, les engagements contractuels et l’usage prévu par l’organisation.

Anthropic mise sur la sécurité et l’usage responsable

Anthropic a développé un assistant IA dont la présentation met l’accent sur des interactions plus sûres et sur une utilisation responsable des données. Cette orientation est importante pour les entreprises qui cherchent à limiter les réponses dangereuses, les usages détournés ou l’exposition inutile d’informations sensibles.

Pour une organisation européenne, la question ne s’arrête pas à la qualité des garde-fous conversationnels. Elle doit vérifier les conditions de traitement des données, les options de conservation des conversations, les règles applicables aux données transmises par les équipes et les informations disponibles pour documenter l’outil. Une politique de sécurité solide est un élément favorable, mais elle ne transforme pas automatiquement l’assistant en système conforme pour tous les usages.

OpenAI doit articuler puissance des modèles et transparence

OpenAI s’est imposé avec ChatGPT et ses modèles de langage, utilisés pour produire, résumer, analyser ou transformer du texte. La fréquence des mises à jour, l’évolution des capacités et la diversité des usages rendent l’exercice de conformité particulièrement mouvant. Une entreprise ne doit donc pas se contenter d’évaluer l’outil une fois pour toutes.

Les mécanismes de sûreté, les restrictions d’usage et les contrôles mis en place par le fournisseur sont utiles. Mais un déploiement sérieux exige aussi de définir ce que les salariés peuvent envoyer au service, quelles données sont interdites, qui valide les productions et comment les erreurs sont corrigées. Dans les domaines sensibles, une réponse générée par un modèle ne doit pas devenir une décision automatisée non contrôlée.

Microsoft intègre Copilot dans les outils de travail

Microsoft déploie Copilot dans plusieurs de ses produits, ce qui facilite son adoption par des équipes déjà habituées à cet environnement numérique. L’accessibilité et l’intégration aux outils de bureautique ou de collaboration peuvent apporter des gains pratiques, mais elles imposent aussi une attention particulière aux droits d’accès. Un assistant connecté aux fichiers, aux messages ou aux bases internes ne doit pas permettre à un salarié de consulter indirectement des données auxquelles il n’aurait pas accès autrement.

Microsoft met en avant des outils de vérification et une approche d’IA responsable. Pour l’utilisateur professionnel, il reste indispensable de contrôler les paramètres disponibles dans l’offre souscrite, la gestion des identités, les journaux d’activité, les lieux de traitement et les clauses contractuelles. Le nom Copilot recouvre en outre plusieurs produits : il faut évaluer l’édition et les fonctionnalités réellement utilisées, plutôt qu’une promesse générale.

Les vérifications indispensables avant de déployer une IA

La conformité ne s’achète pas sous la forme d’un simple bouton. Elle se construit dans la relation entre le fournisseur et l’organisation qui utilise le service. Avant de choisir ou de généraliser un outil, les responsables métiers, informatiques, juridiques et de protection des données ont intérêt à documenter quelques points concrets.

• Définir l’usage exact : rédaction assistée, recherche interne, relation client, tri de CV, aide au diagnostic ou notation ne présentent pas le même niveau de risque.
• Cartographier les données : identifier les informations personnelles, confidentielles, protégées par le secret des affaires ou soumises à des obligations sectorielles.
• Vérifier les paramètres : comptes autorisés, droits d’accès, conservation des échanges, export des données, journalisation et administration des accès.
• Exiger de la documentation : limites connues, mesures de sécurité, informations techniques et modalités d’assistance en cas d’incident.
• Maintenir une supervision humaine : prévoir un contrôle réel des résultats, surtout lorsqu’ils peuvent affecter une personne ou une décision importante.
• Former les utilisateurs : apprendre à repérer une hallucination, à ne pas saisir de données interdites et à citer ou vérifier les informations produites.

Transparence, sécurité et responsabilité sociale

L’AI Act ne se réduit pas à une liste de formalités techniques. Il cherche à rendre l’IA plus digne de confiance. Cela suppose que les personnes sachent, dans certaines situations, qu’elles interagissent avec une machine ou qu’un contenu a été généré ou manipulé par une IA. Cela suppose aussi que les systèmes soient conçus pour limiter les biais, les erreurs, les atteintes à la vie privée et les failles de sécurité.

La transparence doit être utile, pas seulement déclarative. Une entreprise doit pouvoir expliquer pourquoi elle a choisi un outil, quelles tâches elle lui confie, quelles données elle lui transmet et quelles vérifications elle a instaurées. Cette traçabilité est particulièrement importante dans les secteurs de la santé, des transports, de la finance, de l’éducation, des ressources humaines et des infrastructures critiques.

La conformité peut aussi renforcer la confiance des clients et des salariés. À l’inverse, déployer très vite une IA sans règles de confidentialité, sans formation ni procédure de recours peut créer des risques juridiques et opérationnels bien supérieurs aux gains de productivité recherchés.

Des sanctions élevées et des règles qui vont encore se préciser

Le règlement prévoit des amendes significatives. Les violations des interdictions les plus graves peuvent être sanctionnées jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel, le montant le plus élevé étant retenu. D’autres manquements peuvent entraîner des plafonds de 15 millions d’euros ou 3 % du chiffre d’affaires mondial annuel, tandis que la fourniture d’informations inexactes, incomplètes ou trompeuses peut être sanctionnée jusqu’à 7,5 millions d’euros ou 1 % du chiffre d’affaires mondial annuel.

Ces plafonds ne signifient pas que toute erreur entraîne automatiquement l’amende maximale. Ils montrent néanmoins que l’IA devient un sujet de gouvernance au même titre que la protection des données, la cybersécurité ou la conformité financière. Les autorités nationales compétentes, la Commission européenne et le futur dispositif de gouvernance de l’IA joueront un rôle central dans l’interprétation et l’application concrète du texte.

Ce qu’il faut surveiller d’ici à 2027

À l’automne 2024, la priorité n’est pas de désigner un vainqueur parmi Anthropic, OpenAI et Microsoft. Elle consiste à établir une méthode de sélection qui résistera aux évolutions du règlement et des produits. Les entreprises doivent suivre la publication des codes de bonnes pratiques destinés aux modèles d’IA à usage général, les précisions apportées par les autorités européennes et les changements de fonctionnalités ou de conditions contractuelles des fournisseurs.

Le bon outil sera celui dont les capacités répondent à un besoin clairement défini, tout en laissant à l’organisation les moyens de contrôler les données, les accès, les résultats et les incidents. L’AI Act peut sembler exigeant, mais il offre aussi un cadre pour transformer une adoption parfois improvisée de l’IA en un usage plus sûr, plus explicable et plus durable.