Gouvernance de l’IA :
lois, normes et responsabilités

01 · Données

La gouvernance commence par les données.

Une donnée accessible n’est pas nécessairement une donnée librement réutilisable. En Europe, le RGPD exige notamment une finalité déterminée, une base juridique, une collecte proportionnée, une durée de conservation maîtrisée dans le temps et une information compréhensible. Pour une entreprise internationale, d’autres régimes comme le CCPA/CPRA en Californie ou la PIPL en Chine peuvent ajouter leurs propres droits et obligations.

Un sujet très sensible : la vigilance doit être renforcée lorsque l’IA traite des données de santé, des données biométriques utilisées pour identifier une personne, ou des informations relatives à l’origine ethnique, aux opinions politiques ou à l’orientation sexuelle. L’article 9 du RGPD interdit en principe ces traitements, sauf exception précisément établie. Un modèle peut donc créer un risque même si l’entreprise n’a jamais demandé explicitement l’information sensible, car l’IA n’en fait pas la distinction si elle n’a pas été cadrée.

Les décisions automatisées constituent un second point critique. L’article 22 du RGPD protège les personnes contre certaines décisions fondées exclusivement sur un traitement automatisé et produisant un effet juridique ou significatif. Lorsque l’une des exceptions prévues s’applique, des garanties doivent subsister, notamment la possibilité d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision. Une validation purement formelle ne suffit pas, car l’intervention d’un humain doit pouvoir changer le résultat.

Pour les traitements susceptibles d’engendrer un risque élevé, l’analyse d’impact relative à la protection des données (AIPD) doit être envisagée avant le déploiement. Elle oblige à documenter la finalité, les données, les personnes affectées, les risques et les mesures de réduction.

PS : j’ai commencé mon aventure dans les automatisations avec des workflows de recrutement, et j’avais créé un ATS automatique sur Airtable. Il vous faudra être vigilant sur les données traitées, car on s’aperçoit vite, en fonction du modèle, que des discriminations peuvent apparaître et que certaines personnes peuvent être mieux notées. Le mieux est d’inclure le moins de données inutiles possible, comme le nom ou l’âge, car l’humain peut gérer cela de son côté.

02 · Risques juridiques

Les risques juridiques se cumulent.

On sait maintenant, en 2026, qu’un système peut être techniquement performant et juridiquement fragile. Un outil de recrutement peut, par exemple, reproduire des biais historiques en pénalisant indirectement certains profils. L’absence d’intention discriminatoire n’efface pas l’impact. Les tests doivent donc observer les résultats par groupe pertinent, rechercher les écarts injustifiés et vérifier si une variable apparemment neutre sert de substitut à une caractéristique protégée.

La propriété intellectuelle (PI) soulève trois questions distinctes :

L’entreprise a-t-elle le droit d’utiliser les données d’entrée ?

Le résultat peut-il être exploité sans violer les droits d’un tiers ?

Comment empêcher que ses propres documents, secrets d’affaires ou créations soient absorbés par un service externe ?

Les réponses dépendent du contexte, des contrats, des licences et du degré d’intervention humaine, et en grande partie des choix que vous faites en matière de système d’IA. Elles ne devraient jamais être résumées par la seule phrase : « l’outil l’autorise ».

La responsabilité évolue également. Dans la pratique, la chaîne de responsabilité peut impliquer le fabricant, le fournisseur du système, l’intégrateur et l’entreprise qui le déploie. D’où l’importance de clarifier les rôles, les changements apportés au système, les limites d’usage, les logs disponibles, les mises à jour de sécurité ainsi que les conditions d’indemnisation.

Principe pratique : un contrat fournisseur ne remplace ni l’évaluation du cas d’usage, ni la supervision humaine, ni la capacité à démontrer ce qui s’est réellement passé.

03 · AI Act

L’AI Act classe le cas d’usage, pas seulement le modèle.

L’AI Act s’applique aux systèmes mis sur le marché ou utilisés dans l’Union européenne, mais aussi à certains acteurs établis hors de l’Union lorsque les résultats du système sont utilisés dans l’UE. Son principe est plutôt simple : plus un usage peut affecter les droits fondamentaux ou la sécurité, plus les contrôles sont exigeants. Voici un récapitulatif assez parlant pour tout le monde.

Risque inacceptable : certaines pratiques sont interdites, notamment plusieurs formes de manipulation, de notation sociale et certains usages biométriques.

Haut risque : les usages visés dans l’emploi, l’éducation, le crédit, la santé, les services essentiels ou la justice peuvent exiger gestion des risques, qualité des données, documentation, traçabilité, supervision humaine, robustesse et évaluation de conformité.

Transparence spécifique : certains systèmes imposent d’informer la personne qu’elle interagit avec une IA ou qu’un contenu a été généré ou manipulé artificiellement.

Risque minimal : la majorité des usages courants restent autorisés, avec des codes de conduite volontaires encouragés.

Le niveau de risque dépend du cas d’usage. Le même modèle peut être peu sensible lorsqu’il reformule une note interne, mais devenir hautement critique lorsqu’il commence à classer des candidats, recommande l’accès à un service essentiel ou contribue à une décision médicale.

04 · Rôles

Les rôles déterminent les obligations.

Clarifions maintenant les rôles.

Le fournisseur développe un système ou le commercialise sous son nom.

Le déployeur l’utilise dans son activité professionnelle.

L’importateur et le distributeur vérifient certains éléments avant la mise sur le marché.

Une entreprise cliente est donc rarement « simple utilisatrice » : elle doit au minimum respecter les instructions, organiser la supervision, maîtriser les données d’entrée et surveiller le fonctionnement.

Une petite modification ou un changement de finalité peut aussi déplacer les responsabilités.

05 · Calendrier et sanctions

Un calendrier et des sanctions à lire avec attention.

Depuis le 2 août 2026, l’AI Act est applicable dans son principe général. Toutefois, les exigences centrales visant les systèmes à haut risque ne s’appliquent pas toutes à la même date. Regardons cela de plus près :

Les règles correspondantes pour les cas d’usage de l’annexe III sont prévues à partir du 2 décembre 2027.

Celles liées aux produits réglementés de l’annexe I, à partir du 2 août 2028.

Les interdictions, l’obligation de maîtrise de l’IA, la gouvernance et plusieurs règles relatives aux modèles à usage général sont entrées en application plus tôt.

Parlons maintenant des plafonds de sanction, qui sont très significatifs :

Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel pour certaines pratiques interdites.

Jusqu’à 15 millions d’euros ou 3 % pour plusieurs manquements aux obligations.

Jusqu’à 7,5 millions d’euros ou 1 % pour des informations incorrectes, incomplètes ou trompeuses fournies aux autorités.

Attention toutefois : pour les PME, le plafond applicable est le plus faible entre le montant fixe et le pourcentage.

À savoir : le risque ne se limite pas à l’amende. Une autorité peut aussi restreindre l’usage d’un système, imposer des mesures correctives ou conduire à son retrait total.

06 · Normes

Les normes transforment les principes en pratiques.

Si la loi fixe des obligations, les cadres internationaux aident à construire une organisation capable de les respecter durablement. Il y a trois grands repères.

Les principes de l’OCDE et la recommandation de l’UNESCO placent les droits humains, l’équité, la transparence, la robustesse et la responsabilité au centre. Ils ne sont pas, à eux seuls, des lois contraignantes : ils donnent une direction commune aux politiques et aux pratiques.

Le NIST AI Risk Management Framework propose quatre fonctions complémentaires (GMMM) : Govern pour établir les responsabilités et la culture, Map pour comprendre le contexte et les impacts, Measure pour évaluer les risques, Manage pour prioriser les risques, les traiter et les suivre. Ce cadre est volontaire, itératif et conçu pour tout le cycle de vie.

ISO/IEC 42001 structure un système de management de l’IA qui concerne la politique IA, les objectifs, les rôles, l’évaluation des risques, les contrôles, la mesure de la performance et l’amélioration continue. Cette norme peut servir de base à une démarche de certification, mais sa valeur réelle réside surtout dans la discipline de gestion du système.

Attention à ne pas confondre : ces référentiels ne remplacent ni le RGPD ni l’AI Act. Il faut les voir comme un sous-système dans le système. Ils permettent de créer le langage, les preuves et les routines qui rendent la conformité vérifiable, via des registres des usages, un comité de décision, l’évaluation des fournisseurs, des tests, le suivi des incidents et des revues périodiques.

07 · Passage à l’action

Ce qu’un dirigeant doit mettre en place maintenant.

Pour une PME, la gouvernance peut commencer sans créer une bureaucratie trop lourde. Voici sept actions que je vous conseille pour établir un socle crédible qui vous aidera tout au long de votre aventure :

1. 01
   Inventorier. Recenser les systèmes officiellement achetés, mais aussi les outils utilisés sans validation par les équipes. (Il est important d’avoir les deux.)
2. 02
   Qualifier. Décrire pour chaque usage la finalité, les personnes affectées, le rôle de l’entreprise et le niveau de risque réglementaire.
3. 03
   Cartographier les données. Identifier leur source, leur base juridique, leur sensibilité, leur durée de conservation et les transferts vers des prestataires.
4. 04
   Organiser le contrôle humain. Définir qui valide, qui peut contester une recommandation, qui arrête le système et dans quel délai.
5. 05
   Évaluer les fournisseurs. Examiner les conditions d’usage, la sécurité, la propriété intellectuelle, la sous-traitance, la journalisation, les mises à jour et la sortie du contrat.
6. 06
   Conserver les preuves. Documenter les tests, les décisions prises, les incidents, les différentes versions, les limites connues et les mesures correctives.
7. 07
   Réexaminer. Revoir l’usage dès qu’un modèle, une donnée, une finalité, un fournisseur ou une règle change.