IA et conformité : les 5 réflexes à adopter avant qu'il ne soit trop tard
Le constat est sans appel : un fort taux d'échec des projets d'IA, souvent d'origine stratégique plutôt que technique. C'est ce que nous avons rappelé lors de notre première masterclass du parcours Référent IA
Voici un recap' de la session animée ce 20 octobre par Sylvain Chemtob de Phoenix Privacy:
L'essentiel ? Deux réglementations européennes se superposent et beaucoup les confondent.
Le RGPD protège les personnes. Le RIA (AI Act) protège les systèmes.
Ce n'est pas la même logique. Le RGPD vous demande de démontrer que votre traitement de données est licite, minimisé, sécurisé et limité dans le temps. Le RIA, lui, classe vos systèmes par niveau de risque et vous impose des obligations selon votre rôle (fournisseur, déployeur, etc.).
Le piège principal ? Les modèles d'IA à usage général (LLM). Ils peuvent tout faire, donc sans cas d'usage défini, vous ne pouvez ni qualifier le risque ni appliquer les bonnes mesures. Le risque ne vient pas du modèle, il vient de l'usage que vous en faites.
Alors, que faire concrètement ?
1. Cartographiez. Listez vos outils, vos données, vos systèmes. Identifiez votre rôle pour chacun. Si vous ne pouvez pas répondre à « quelle est votre liste d'outils IA ? », vous êtes au début du chemin.
2. Qualifiez. Pour chaque usage, déterminez le niveau de risque et la base légale. Trouvez la bonne granularité : « gestion RH » est trop vague, « tri automatisé des CV » est qualifiable.
3. Mutualisez. Ne faites pas un inventaire RGPD et un inventaire RIA séparément. Une seule démarche, deux grilles de lecture.
4. Documentez. Il ne suffit pas d'avoir une procédure, il faut pouvoir démontrer qu'on l'a déroulée. C'est le principe d'accountability, commun aux deux réglementations.
5. Pilotez. Mettez en place une gouvernance claire, formez vos équipes, mettez en place une charte IA. Le DPO est bien armé pour adresser aussi le RIA : ne dupliquez pas les instances.
Le calendrier est serré : les risques interdits (scoring social, etc.) s'appliquent depuis février 2025. Les IA à haut risque (recrutement, sélection de CV) sont reportées au 2 décembre 2027. Le temps de se préparer existe, mais il est compté.
Sylvain a conclu avec une « fiche réflexe » pour ceux qui démarrent :
- Ai-je fait l'inventaire de mes outils et de mes données ?
- Ai-je identifié mon rôle (déployeur, fournisseur) pour chaque outil ?
- Ai-je qualifié le risque de chaque système/usage ?
- Ai-je mis en place une gouvernance (qui fait quoi, qui valide) ?
- Ai-je documenté mes démarches ?
- Ai-je formé mes équipes ?
- Ai-je anticipé (by design) plutôt qu'attendu la sanction ?
- Ai-je contractualisé avec mes sous-traitants/fournisseurs ?
- Puis-je démontrer, en tout moment, que je respecte mes obligations ?
Les conseils à retenir :
- Le RGPD protège les personnes, le RIA protège les systèmes. Ne pas confondre les deux, mais avancer de front car les méthodes sont très proches.
- Le risque ne vient pas du modèle (ex : un modèle chinois), mais de l'USAGE qu'on en fait. Il faut donc pousser les métiers à formaliser leurs cas d'usage.
- La granularité est essentielle : une finalité trop large (« gestion RH ») ne permet ni de qualifier le risque, ni d'appliquer les bonnes mesures.
- Les modèles d'IA à usage général (LLM) sont le piège : ils peuvent tout faire, donc sans cas d'usage défini, on ne peut ni qualifier le risque ni appliquer les obligations. Le SIA, lui, est plus facile à maîtriser car borné.
- La limite du RGPD est l'usage domestique d'une donnée personnelle. C'est très difficile de protéger les données quand les utilisateurs repassent sur des moyens personnels. Il faut accompagner plutôt que restreindre.
- Pour les modèles généralistes : limiter l'usage de données personnelles, mettre en place une charte IA contraignante, monitorer les usages, former les équipes, et pouvoir engager des sanctions en cas de pratiques déviantes récurrentes.
- Penser aussi au secret des affaires, à la propriété intellectuelle, au capital informationnel : monitorer le plus tôt possible les modèles utilisés et la manière dont on les déploie.
- Le maillon humain est essentiel : former, sensibiliser, suivre les usages, piloter avec rigueur. Les grandes entreprises déclenchent des missions d'éthique propres aux systèmes d'IA.
Sur la forme / la posture :
- Ne pas attendre que la sanction tombe : le coût de conformité augmente avec l'absence de démarches. « C'est comme la maintenance : ça coûte d'attendre de s'équiper. »
- La responsabilité est portée par les dirigeants. Si vous avez du mal à avoir l'oreille de vos dirigeants, parlez-leur de leur responsabilité pénale (en cas de non-conformité délibérée). Il y a aussi la responsabilité civile et la possibilité d'invoquer des nullités contractuelles (jurisprudence en développement sur les sites web non conformes)
- Éviter de partir dans le mur : on ne commence pas à documenter tant qu'on n'a pas qualifié. Tout dépend de la qualification.
À PROPOS
Le parcours Référent IA est ouvert aux adhérents comme aux non-adhérents. L'objectif n'est pas de faire de vous des experts en 3 sessions, mais de vous donner les bons repères pour savoir où vous en êtes et quoi faire ensuite.
Prochaines étapes :
- 22 octobre : masterclass « Stratégie et vision » avec Hamza Hammouche de ProovUp
- 4 novembre : masterclass avec Nicolas Muguet de Garage404
Les conseils de Stéphane, le responsable pédagogique de DL Academy :
- FSE+ 50 % de prise en charge des coûts pédagogiques, cofinancé par l'Union européenne. Le programme de formation est construit en amont pour respecter les critères d'éligibilité du FSE et de l'OPCO Atlas.
- Jusqu' à 70 % de prise en charge pour la branche Syntec / bureau d'études (via l'OPCO Atlas).
- Ouvert depuis le 19 octobre 2026, jusqu'à épuisement du budget. Les places sont limitées par le plafond de financement.
- Formations pouvant aller jusqu'à 500 000 € par projet – le dispositif s'adresse aussi bien à une montée en compétence ciblée qu'à un programme de transformation plus large.
- Tarif adhérent ouvert au non adhérent qui ont participé aux masterclass. Autrement dit, pas de surcoût si vous n'êtes pas encore membre de Digital League.
- Contactez Stéphane Mosnier pour l'ingénierie financière, l'analyse de besoin et le montage du dossier de financement.
Modalités complémentaires :
- Formations en intra-entreprise à partir de 2 collaborateurs d'une même structure, à distance ou sur site.
Le programme est sur mesure : le formateur n'adapte pas seulement le contenu, il adapte le niveau (technique pour les développeurs, juridique pour les DPO, stratégique pour les managers).
- Possibilité de combiner les 3 modules du parcours et créer une formation selon les besoins identifés:
- Possibilité de mutualisation entre adhérents : plusieurs entreprises peuvent partager un parcours commun avec un bloc commun puis une partie sur mesure.
