Introduction
L’intelligence artificielle fait désormais partie du quotidien de tous, y compris des associations, des entreprises et des administrations. D’abord utilisée pour des tâches telles que la rédaction de documents, la traduction, la recherche d’informations ou la synthèse de contenus, elle est aujourd’hui également intégrée à des processus plus structurés, notamment dans les domaines des ressources humaines, de la relation avec les usagers ou les partenaires, de la conformité, des achats, de la cybersécurité ou encore de la gestion de projets.
Dans ce contexte, l’objectif n’est plus seulement de se demander s’il faut recourir à l’intelligence artificielle, mais dans quelles conditions son utilisation peut être encadrée de manière responsable et juridiquement sécurisée. Cet article propose quelques repères pour mieux comprendre les principaux apports de l’AI Act, identifier les principaux points de vigilance et présenter quelques bonnes pratiques adaptées aux associations et aux entreprises.
Pourquoi sensibiliser à l’IA ?
L’IA peut donner l’impression d’être un simple outil du quotidien, facile d’accès et utilisable sans compétences techniques particulières. Pourtant, le législateur européen a considéré que certains usages de l’intelligence artificielle étaient susceptibles de présenter des risques pour la santé, la sécurité ou les droits fondamentaux. Cette logique explique la classification des systèmes selon leur niveau de risque et prévoit des sanctions administratives pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les infractions les plus graves.
La sensibilisation est donc essentielle afin d’éviter une banalisation des usages. Selon les situations, l’IA peut entraîner des conséquences concrètes : traitement non maîtrisé de données personnelles, divulgation d’informations confidentielles, biais ou discrimination, production de contenus inexacts, absence de supervision humaine suffisante ou difficulté à identifier les responsabilités en cas d’erreur, d’incident ou de dommage. La bonne question n’est donc pas seulement « peut-on utiliser l’IA ? », mais plutôt : « pour quel usage, avec quelles données, avec quelles garanties, sous quelle supervision humaine et sous quelle responsabilité ? »
Le cadre européen : l’AI Act et l’approche par les risques
L’AI Act, Règlement (UE) 2024/1689, est entré en vigueur le 1er août 2024, et son application est progressive : certaines dispositions s’appliquent déjà, tandis que d’autres entreront progressivement en application jusqu’en 2027, voire au-delà pour certaines catégories de systèmes d’IA.
Il établit un cadre harmonisé pour le développement, la mise sur le marché et l’utilisation des systèmes d’intelligence artificielle dans l’Union européenne. Sa logique repose sur une idée centrale : les obligations varient selon le niveau de risque présenté par le système d’IA.
- Risque inacceptable : Ils sont interdits, car considérés comme incompatibles avec les valeurs de l’Union européenne. Cela concerne notamment certains usages de manipulation, de notation sociale, de police prédictive ou encore de reconnaissance des émotions sur le lieu de travail.
- Haut risque : Ils peuvent être autorisés, mais sont soumis à des obligations renforcées. Figurent dans cette catégorie des systèmes d’IA utilisés dans des domaines sensibles, tels que le recrutement et la gestion des candidatures, ainsi que certains systèmes biométriques prévus par le règlement.
Pour ces usages, l’enjeu est d’assurer une gouvernance plus stricte : qualité des données, transparence, supervision humaine, traçabilité, robustesse technique et cybersécurité.
- Risque limité : Ils supposent des obligations d’information et de transparence. C’est par exemple le cas des chatbots ou des contenus générés ou manipulés par IA, afin que les utilisateurs ne soient pas induits en erreur.
- Risque minimal : Ils correspondent aux usages qui ne relèvent pas des catégories précédentes et ne sont pas soumis à des obligations spécifiques au titre de l’AI Act. Cela peut concerner, par exemple, certaines fonctionnalités d’assistance ou d’automatisation courante, lorsqu’elles ne présentent pas de risque particulier.
Cette classification n’exclut pas l’application d’autres règles, notamment le RGPD, le droit des contrats, la propriété intellectuelle, la responsabilité civile ou encore les réglementations sectorielles applicables.
L’AI Act distingue également les rôles des acteurs concernés, notamment le fournisseur (provider), qui développe ou met le système d’IA sur le marché, et le déployeur (deployer), qui l’utilise dans le cadre de son activité. Cette distinction est importante, car elle influence la répartition des obligations, des garanties et des responsabilités, notamment dans les contrats.
De l’outil à l’usage : les risques concrets pour les organisations
Après avoir identifié la logique générale de l’AI Act et sa classification par niveaux de risque, il est utile de revenir aux usages concrets au sein des organisations. En pratique, la vigilance ne porte pas seulement sur la qualification juridique du système d’IA, mais aussi sur les conditions dans lesquelles l’outil est choisi, utilisé, contrôlé et intégré aux processus internes.
L’utilisation des données constitue un premier point de vigilance. Avant d’utiliser un outil d’IA, il convient de vérifier quelles données peuvent y être saisies. À défaut, il existe un risque d’y introduire des données personnelles, des informations confidentielles, des données sensibles ou des éléments protégés par le secret des affaires.
La qualité des résultats appelle également à la vigilance. Les assistants IA peuvent faciliter la rédaction, la traduction, la synthèse ou la recherche d’informations, mais leurs réponses doivent toujours être vérifiées. Un résultat convaincant en apparence peut être incomplet, inexact, obsolète ou inadapté au contexte.
Les décisions concernant les personnes nécessitent une attention particulière, notamment en matière de recrutement, de présélection de candidatures, d’évaluation ou de scoring. Dans ces situations, les enjeux de biais, de discrimination, de transparence et de supervision humaine doivent être pris très au sérieux.
Les relations contractuelles constituent un autre point de vigilance. Lorsqu’une solution, un service ou un partenariat implique l’usage de l’IA, l’absence de cadrage contractuel peut rendre difficile l’identification de l’usage autorisé, du rôle de chaque partie, des garanties attendues et de la répartition des responsabilités.
La gouvernance interne joue enfin un rôle central. Sans cadre commun, les usages peuvent se développer de manière dispersée : outils différents, pratiques hétérogènes, absence de registre, manque de formation ou responsabilités mal identifiées.
Les bonnes pratiques à adopter
Pas de panique : encadrer l’IA ne signifie pas bloquer tous les usages. Il s’agit plutôt de mettre en place une démarche progressive, adaptée à la taille, aux moyens et aux activités de l’organisation.
Voici quelques bonnes pratiques qui peuvent accompagner cette démarche :
Cartographier les usages
Identifier les outils utilisés, les équipes concernées, les objectifs poursuivis, les données traitées et le niveau d’autonomie de l’outil.
Valider les outils
Avant tout usage régulier, vérifier les conditions contractuelles, le traitement des données, la sécurité, la conservation des informations saisies et la nécessité d’une validation humaine.
Former les équipes
Sensibiliser les utilisateurs aux limites de l’IA, aux informations à ne pas saisir, aux risques d’erreur et aux personnes à contacter en cas de doute.
Adapter les documents internes
Prévoir, selon les besoins, une charte, une politique IA, un registre des usages, des clauses contractuelles adaptées et des procédures de gestion des incidents, afin de préciser les usages autorisés, les garanties attendues, la répartition des responsabilités et les modalités de coopération avec les prestataires.
Organiser les responsabilités
Mettre en place une coordination entre les fonctions concernées : juridique, DPO, informatique, ressources humaines, achats, métiers, conformité ou éthique.
Assurer la traçabilité
Documenter les usages sensibles, les validations, les limites connues de l’outil et les décisions importantes.
Une dimension internationale : l’exemple du Brésil
Dans un environnement international, la vigilance devient encore plus importante. L’AI Act est souvent présenté comme un texte pionnier et un cadre de référence important. Dans un contexte où les outils, prestataires et infrastructures techniques dépassent fréquemment les frontières, ce cadre européen peut produire des effets pratiques au-delà de l’Union européenne.
Il s’inscrit aussi dans une dynamique plus large, dans laquelle plusieurs pays réfléchissent à l’encadrement juridique de l’intelligence artificielle.
L’exemple du Brésil illustre cette dynamique internationale. Le projet de Marco Legal da IA s’inscrit dans une approche également fondée sur les risques, avec une attention particulière aux usages sensibles, tels que la santé, le crédit ou la sélection de personnes. Dans l’attente de son adoption, les usages de l’IA restent encadrés par les règles existantes, par exemple en matière de protection des données personnelles, de droit du numérique et de responsabilité civile. Ils appellent également une attention particulière aux exigences de gouvernance, de transparence, de coopération et de gestion contractuelle des risques.
Cette évolution confirme l’intérêt, pour les organisations, de ne pas attendre la stabilisation complète des cadres juridiques pour encadrer leurs usages de l’IA, dans leurs relations internes comme dans leurs relations internationales.
Conclusion
L’intelligence artificielle offre de réelles opportunités pour les associations et les entreprises : gain de temps, aide à la rédaction, amélioration de certains processus et accès facilité à l’information.
Le bon réflexe n’est pas ni de refuser l’IA, ni de l’adopter sans cadre. Il consiste à comprendre les usages, vérifier les outils, former les équipes, adapter les documents internes, clarifier les responsabilités et maintenir une supervision humaine adaptée.
Dans ce contexte, la sécurité juridique repose sur une démarche progressive : identifier les risques, encadrer les pratiques, documenter les décisions et construire une relation de confiance avec les parties prenantes internes et externes. Utilisée de manière responsable, l’IA devient un véritable levier de performance, de confiance et d’innovation.
Références
Cet article s’appuie sur une veille juridique et réglementaire, ainsi que sur des ressources institutionnelles, des publications spécialisées et les enseignements issus de webinaires, ateliers et conférences consacrés à l’intelligence artificielle, au droit du numérique, à la protection des données personnelles et à la gouvernance de l’IA.
Luana CRISPIM A. CUNHA