Intelligence artificielle et réglementation : où en est-on vraiment ?

Quand une entreprise déploie un chatbot pour gérer ses réclamations clients ou qu’un hôpital utilise un algorithme pour prioriser des diagnostics, la question n’est plus théorique : quelles règles s’appliquent à ces systèmes d’intelligence artificielle, et qui contrôle quoi ? L’Union européenne a tranché en adoptant un règlement dédié, mais sur le terrain, la mise en conformité reste un chantier ouvert pour la plupart des organisations.

Réglementation IA en entreprise : ce qui change concrètement au quotidien

Prenons un cas simple. Une PME française utilise un outil de tri automatique de CV pour ses recrutements. Avant le Règlement européen sur l’intelligence artificielle (RIA), aucune obligation spécifique ne pesait sur ce type d’usage, hormis le RGPD pour la partie données personnelles.

Avec le RIA, ce même outil entre dans la catégorie des systèmes d’IA à haut risque. Le fournisseur doit documenter le fonctionnement de l’algorithme, prouver l’absence de biais discriminatoires et apposer un marquage CE. L’entreprise utilisatrice, de son côté, doit vérifier que le système est utilisé conformément à sa documentation technique.

On passe d’un cadre où la responsabilité restait floue à un partage clair entre fournisseur et déployeur. Pour les équipes internes, cela signifie de nouveaux processus : auditer les outils IA déjà en place, vérifier leur niveau de risque selon la classification du RIA, et documenter chaque usage.

Classification des risques IA : quatre niveaux à connaître

Le RIA repose sur une approche graduée. Tous les systèmes d’intelligence artificielle ne sont pas soumis aux mêmes contraintes, et c’est cette graduation qui structure les obligations pratiques.

• Risque inacceptable : les systèmes interdits, comme la notation sociale généralisée ou la manipulation comportementale exploitant des vulnérabilités (âge, handicap). Ces usages sont purement et simplement prohibés sur le marché européen.
• Haut risque : les systèmes utilisés dans le recrutement, l’éducation, la santé, la justice ou la sécurité. Ils doivent respecter des exigences strictes de transparence, de documentation et de supervision humaine.
• Risque spécifique de transparence : les chatbots et les systèmes de génération de contenu (deepfakes, textes synthétiques) doivent informer l’utilisateur qu’il interagit avec une IA ou que le contenu a été généré automatiquement.
• Risque minimal ou nul : la grande majorité des applications IA (filtres anti-spam, recommandations produit) restent libres d’obligations spécifiques.

Cette classification force chaque organisation à cartographier ses outils. Un logiciel de gestion de stock automatisé ne relève pas du même régime qu’un algorithme d’aide à la décision judiciaire. Consulter un avocat en intelligence artificielle permet de clarifier les obligations applicables à chaque cas d’usage.

RGPD et règlement IA : deux textes qui s’articulent, pas qui se remplacent

Une confusion fréquente sur le terrain consiste à penser que le RIA remplace le RGPD pour les sujets liés à l’IA. Les deux textes coexistent et se complètent.

Le RGPD encadre le traitement des données personnelles, quel que soit l’outil utilisé. Le RIA, lui, encadre le système d’IA en tant que produit ou service mis sur le marché. Un même projet peut donc être soumis aux deux réglementations simultanément.

Prenons l’exemple d’un système d’identification biométrique à distance utilisé dans un aéroport. Le RGPD impose une base légale pour collecter et traiter les données biométriques. Le RIA ajoute des obligations sur la fiabilité du système, la supervision humaine obligatoire et la documentation technique. Les deux conformités doivent être assurées en parallèle, ce qui complexifie la mise en œuvre pour les opérateurs.

Bacs à sable réglementaires : tester avant de commercialiser

Le RIA prévoit un mécanisme peu médiatisé mais très concret pour les entreprises innovantes : les bacs à sable réglementaires. Le principe est de permettre à un fournisseur d’IA de tester son système dans un environnement encadré, sous la supervision d’une autorité compétente, avant toute mise sur le marché.

Pour une start-up qui développe un modèle d’IA appliqué à la santé, ce dispositif offre un cadre pour valider la conformité du produit sans risquer de sanctions. L’accès au marché européen passe par cette phase de test supervisé pour les systèmes à haut risque les plus sensibles.

Chaque État membre doit mettre en place au moins un bac à sable réglementaire. Les autorités nationales de surveillance, coordonnées par la Commission européenne, supervisent le fonctionnement de ces espaces d’expérimentation.

Mise en conformité IA : les étapes opérationnelles pour les organisations

Sur le terrain, la conformité au RIA ne se décrète pas, elle se construit. Les organisations qui utilisent ou développent des systèmes d’intelligence artificielle doivent engager plusieurs actions concrètes.

• Réaliser un inventaire de tous les outils IA déployés en interne ou proposés à des clients, et classer chacun selon les quatre niveaux de risque du RIA.
• Pour chaque système à haut risque, constituer un dossier technique complet : description de l’algorithme, données d’entraînement utilisées, mesures de réduction des biais, protocole de supervision humaine.
• Mettre en place des procédures de mise à jour de la documentation à chaque évolution du modèle, car la conformité n’est pas un audit ponctuel mais un processus continu.
• Former les équipes métier à la détection des cas d’usage qui relèvent du haut risque, notamment dans les fonctions RH, juridiques et IT.

Les fournisseurs de solutions IA portent la charge la plus lourde (marquage CE, évaluation de conformité), mais les entreprises utilisatrices ne sont pas exemptées. Elles doivent garantir que l’usage du système reste conforme aux conditions prévues par le fournisseur.

Sanctions prévues par le règlement

Le RIA prévoit des amendes pouvant atteindre plusieurs dizaines de millions d’euros ou un pourcentage du chiffre d’affaires mondial pour les infractions les plus graves, notamment l’utilisation de systèmes interdits. Pour les manquements aux obligations de documentation ou de transparence, les montants restent significatifs.

Le calendrier d’application du RIA s’étale sur plusieurs phases après son adoption en 2024. Les interdictions sur les systèmes à risque inacceptable s’appliquent en premier, suivies progressivement par les obligations relatives aux systèmes à haut risque. Les organisations qui n’ont pas encore lancé leur cartographie des outils IA prennent du retard sur un calendrier qui ne laisse que peu de marge. La réglementation de l’intelligence artificielle en Europe est désormais un fait juridique, pas une hypothèse de travail.