Décliner opérationnellement l’IA Act dans une organisation
IA Act - Approche méthodologique et cas d’application

Cet article aborde la réglementation relative à l'intelligence artificielle (IA) aussi appelée « IA Act ». Il s’agit d’un règlement européen (règlement (UE) 2024/1689) qui vise à établir des règles harmonisées concernant l’utilisation de l’intelligence artificielle. Ce règlement fait suite à une série de textes évoquant le principe d’une régulation de l’IA (réflexions initiées en 2014 en Europe), et ce dans un contexte où certaines solutions fondées sur l’IA peuvent être utilisées de manière détournée (fraudes, cyberattaques) ou dans un contexte pouvant être inapproprié (décisions privatives de droits fondées sur des traitements IA par exemple). Son entrée en vigueur est prévue en 2026 pour les IA à haut risque et il s’agit d’un texte fondé sur l’approche par les risques pour les organismes concevant ou utilisant une IA. Ce texte s’inscrit dans une tendance lourde en Europe consistant en la mise en place de principes de gestion des risques et de contrôle interne pour les organisations définissant ou ayant recours à des solutions d’intelligence artificielle . Son principe est de penser l’organisation associée à l’usage de l’intelligence artificielle afin de protéger les consommateurs et clients d’entreprises, mais aussi les administrés et les salariés des organisations . L’un des principes sous-jacents est simple : la mise en place d’un processus fondé sur l’IA peut présenter des risques, en particulier lorsque certaines IA sont utilisées sans cadre de gouvernance adapté ou sans maîtrise suffisante de leur fonctionnement. Sans sécurisation ou principes de contrôle à la fois de la solution et de son usage par les utilisateurs, des risques élevés pourraient survenir (par exemple des failles de sécurité de l’information liées à l’usage d’IA dans des logiciels de gestion et d’analyse de données, ou des risques de pratiques discriminatoires liés à des processus de recrutement insuffisamment maîtrisés fondés sur l’IA et dont le contrôle des algorithmes échapperait aux utilisateurs) .

L’objet de cet article est donc d’expliciter dans quelle mesure l’IA Act permet ce principe d’autocontrôle et la traçabilité nécessaire associée. Il vise avant tout à illustrer ce que peut être la sécurisation des traitements fondés sur l’IA dans un contexte dans lequel de nombreuses organisations utilisent déjà les solutions d’intelligence artificielle (prédictive, générative par exemple), et ce depuis plusieurs années. L’essor des intelligences artificielles dans de nombreux domaines a rendu incontournable un encadrement des pratiques, et ce avant l’arrivée de scandales réputationnels, voire de crises d’ampleur. L’objectif affiché est une meilleure identification et une meilleure protection des utilisateurs, mais aussi plus largement des individus en Europe au regard de l’usage des systèmes d’intelligence artificielle.

Comme l’évoque un directeur des risques d’une banque rencontré en 2025 par les auteurs : « L’intelligence artificielle, on a encore l’impression que cela est nouveau, mais cela fait des années que nous l’utilisons pour la sécurité des données, ou encore pour repérer les fraudes financières telles que les abus de marché. Il n’est pas possible ni rentable de faire analyser tous les enregistrements de conversation de nos opérateurs de marché par des chargés de conformité. Il y a donc des scénarios, des contrôles et alertes automatiques et un principe d’escalade vers une cellule conformité quand cela nécessite une vraie levée de doute. Le principe est d’aider les opérationnels, de gagner du temps, mais pas de générer des risques inutiles ou de la non-performance. On doit donc regarder les opportunités que cela génère, ne pas avoir peur de s’y mettre et faire preuve de discernement et de capacité de maîtrise dans les usages associés. Cela s’apprend. L’IA Act implique juste une couche d’obligations sur ces principes de bons sens en nous forçant à organiser cela et à tracer un peu mieux ce que l’on fait. »

L’objet de cet article est donc d’aborder à la fois les objectifs et les enjeux clés de l’IA Act, mais aussi de décrire les risques inhérents aux systèmes d’intelligence artificielle, tout en abordant les principes de contrôle et de conformité associés. La déclinaison de ce texte étant à venir et encore récente dans sa compréhension, nous nous sommes appuyés sur différents entretiens et retours d’expérience de premières déclinaisons opérationnelles de dispositifs de contrôle interne relatifs à l’IA Act.