IA, RGPD et AI Act : ce que l’entreprise doit vérifier avant d’utiliser l’intelligence artificielle

Avertissement important

Ce guide résume des notions générales pour vous aider à poser les bonnes questions. Ce n’est pas un conseil juridique et la réglementation s’applique progressivement (avec des orientations et des échéances mises à jour) : vérifiez l’état actuel et consultez votre conseil juridique ou votre délégué à la protection des données avant de décider.

Les deux réglementations principales

Des règles sectorielles (santé, finance, assurance), de droit du travail, de propriété intellectuelle et de sécurité de l’information peuvent aussi s’appliquer.

Les niveaux de risque dans l’AI Act

La plupart des usages courants en entreprise (chatbots, assistants sur documents, automatisations) relèvent de la transparence ou du risque minimal ; il vaut mieux vérifier secteur par secteur, comme nous l’expliquons dans l’IA pour les RH ou l’IA pour la santé.

Liste de vérification pour une entreprise

1. Inventaire : listez tous les outils et systèmes d’IA (y compris ceux que les employés utilisent de leur propre initiative), leur finalité, leurs données et leur fournisseur.
2. Classement du risque : vérifiez si un usage touche à l’emploi, au crédit, à la santé, à l’éducation ou à d’autres domaines sensibles.
3. Données personnelles : base légale, minimisation, information des personnes concernées, registre des traitements et, si le risque est élevé, analyse d’impact.
4. Décisions automatisées : garantissez l’intervention humaine et la possibilité de contestation lorsque les effets sur les personnes sont significatifs.
5. Transparence : informez l’utilisateur qu’il parle à une IA et proposez un contact humain.
6. Fournisseurs : accords de traitement des données, localisation des données, usage pour l’entraînement, sécurité et sous-traitants.
7. Personnes : formation à l’usage de l’IA pour ceux qui l’utilisent et politique d’usage (quelles données ne pas saisir et quand relire le résultat).
8. Sécurité et journalisation : accès minimaux, traçabilité des décisions et évaluation périodique de la qualité.

Comment nous l’abordons dans les projets

• Nous intégrons l’analyse du risque réglementaire à la conception, pas à la fin.
• Nous appliquons par défaut les permissions minimales, la minimisation des données et la journalisation de l’activité.
• Nous préparons la documentation technique (ce que fait le système, avec quelles données, comment il est évalué) utile à votre conseil juridique.
• Nous pouvons déployer des modèles dans l’UE ou sur votre infrastructure lorsque les données l’exigent.

Si vous devez mettre de l’ordre dans l’usage de l’IA dans votre entreprise, le conseil en IA comprend un inventaire et une politique d’usage, et le guide de déploiement dans une PME situe la conformité dans le plan.

Questions fréquentes

Parlez-nous de votre projet

Décrivez ce que vous voulez obtenir et les systèmes avec lesquels vous travaillez. Nous vous répondons sous 24 à 48 h.