Lois, normes et cadres
pour l’IA

01 · Données personnelles

Comprendre les lois sur la protection de la vie privée dans le contexte de l’IA.

L’IA a besoin de données, nous le savons. Mais une donnée accessible n’est pas nécessairement une donnée librement réutilisable.

Le RGPD impose une finalité précise, une base légale, une collecte proportionnée et une information claire. Lorsque le consentement constitue la base retenue, il doit rester libre, éclairé, spécifique et révocable.

La vigilance doit être renforcée pour les données de santé, les données biométriques ou celles relatives aux opinions et à l’origine des personnes concernées. Une IA peut aussi déduire une information sensible à partir de données apparemment ordinaires. Ce point est souvent sous-estimé.

Même lorsqu’elle achète une solution externe, l’entreprise conserve des responsabilités. Elle doit encadrer les flux, limiter les accès et prévoir la réaction adéquate en cas d’incident.

La question à se poser : pouvons-nous expliquer pourquoi chaque donnée est utilisée, pendant combien de temps et avec quelles garanties ?

02 · Propriété intellectuelle

Protéger les données d’entrée, les résultats et les connaissances de l’entreprise.

L’IA générative pose trois questions : avons-nous le droit d’utiliser les données d’entrée ? Pouvons-nous exploiter le résultat ? Comment protégeons-nous nos propres connaissances ?

Un contenu visible sur Internet n’est pas automatiquement libre de droits. Une politique interne doit préciser les sources autorisées et les informations qui ne doivent jamais quitter l’entreprise.

03 · Biais et responsabilités

Une performance moyenne ne garantit pas un système juste.

Un système peut être performant en moyenne tout en pénalisant certains groupes, notamment dans le recrutement, le crédit ou l’éducation. La volonté d’éviter toute discrimination ne dispense pas de tester les résultats et d’organiser un recours humain.

Un chatbot reste une communication de l’entreprise : il ne doit pas inventer une garantie, un tarif ou un avis client. Lorsqu’une IA est intégrée à un produit, les contrats doivent également clarifier les incidents et la répartition des responsabilités.

04 · AI Act

Comprendre une réglementation fondée sur le niveau de risque.

L’AI Act applique une logique par paliers : plus un usage peut affecter les droits ou la sécurité, plus les contrôles sont exigeants.

Certaines pratiques sont interdites. D’autres systèmes sont considérés comme à haut risque, notamment dans l’emploi, l’éducation, le crédit, la biométrie ou la justice. Des obligations de transparence concernent aussi les chatbots et certains contenus générés.

Le point essentiel est que la classification dépend du cas d’usage, pas seulement du modèle. Le même outil peut présenter un risque limité lorsqu’il résume une réunion et devenir beaucoup plus sensible lorsqu’il classe des candidats.

Les obligations dépendent également du rôle de l’entreprise : fournisseur, déployeur, importateur ou distributeur. Modifier substantiellement un système peut accroître sa responsabilité.

Le risque ne se limite pas à l’amende. Une autorité peut aussi restreindre un usage ou faire retirer un système. La première protection reste un inventaire fiable, une classification documentée et des responsabilités claires autour du système.

05 · Gouvernance proportionnée

Une PME n’a pas besoin de reproduire l’organisation d’un grand groupe.

Pour les usages sensibles, la conformité doit couvrir tout le cycle de vie : qualité des données, documentation, journaux, surveillance humaine, robustesse, cybersécurité et suivi après le déploiement.

Une PME peut commencer avec une fiche par cas d’usage indiquant l’objectif, les personnes affectées, les données utilisées, le niveau de risque, les mesures de contrôle, le responsable métier et la décision prise.

Il est recommandé d’identifier au minimum quatre responsabilités : le responsable métier, le référent IA, le propriétaire des données et la personne habilitée à accepter ou refuser le risque. Sans cette répartition, les incidents risquent d’être découverts trop tard et personne ne sait réellement trancher.

06 · Cadres internationaux

Les grands référentiels se complètent.

L’OCDE et l’UNESCO placent les droits humains, la transparence, la robustesse et la responsabilité au centre. Le NIST AI RMF les traduit en quatre fonctions : Govern, Map, Measure et Manage. ISO/IEC 42001 aide à organiser un système de management de l’IA.

NIST ARIA ajoute une leçon importante : il faut aussi observer l’utilisation réelle. Les tests techniques et les essais avec des utilisateurs peuvent révéler la surconfiance ou les contournements.

Ces cadres ne remplacent pas la loi. Ils transforment des principes généraux en pratiques répétables : tenir un registre des IA, évaluer les fournisseurs, former les personnes chargées de vérifier la conformité du système, tester et suivre les incidents.

07 · Langage commun

Définir les mots avant de définir les règles.

La gouvernance devient vite confuse lorsque chacun donne un sens différent aux mots « IA », « agent », « autonomie » ou « supervision humaine ».

Une entreprise doit définir son vocabulaire opérationnel : qu’est-ce qu’une validation humaine ? À partir de quel seuil un agent peut-il agir seul, et sur quels documents ? Qu’est-ce qu’un incident IA ? Cette terminologie permet à la direction, aux métiers, à la technique et au juridique de parler du même système.

Je recommande de développer une communication assertive sur tous les sujets liés à l’IA. Se comprendre dans ce type d’environnement est essentiel.

Il faut aussi compléter les règles générales par les exigences du secteur. La santé, la finance, l’éducation ou les infrastructures critiques n’exposent pas les personnes aux mêmes conséquences. Le niveau de contrôle doit suivre la réalité du risque, plutôt qu’une politique identique pour tous les outils.

08 · Passage à l’action

Six actions pour commencer dans une PME.

1. 01Inventorier les systèmes d’IA réellement utilisés.
2. 02Clarifier leur finalité, leurs données et leur niveau de risque.
3. 03Nommer les personnes responsables.
4. 04Tester les impacts avant le déploiement.
5. 05Organiser la surveillance et la gestion des incidents.
6. 06Réexaminer les usages lorsque les modèles, les fournisseurs ou les règles changent.

Sur la gestion des incidents : commencez simplement par tout journaliser, tester et étudier les journaux pour comprendre et ajuster. Cela prend du temps, mais c’est nécessaire.