Gouvernance IA : savoir dire ce que fait votre système.
Une entreprise qui emploie l'IA doit pouvoir dire quels systèmes tournent, sur quelles données et avec quelle intervention humaine. Nous produisons cette documentation à partir du réel, aux côtés de votre DPO et de votre conseil, qui restent seuls à qualifier.
Ce que nous faisons, et ce que nous ne ferons pas
Autant poser la limite en premier, parce qu’elle décide de la suite. Nous ne sommes pas juristes et nous ne rendons aucun avis de droit. Nous ne dirons jamais qu’un système est conforme, ni dans quelle catégorie de risque il tombe, ni si un traitement est licite. Ces qualifications appartiennent à votre DPO, à votre direction juridique ou à votre avocat.
Ce que nous apportons est ce qui manque presque toujours à ces personnes : la matière technique exacte. Un DPO compétent ne peut rien qualifier tant qu’il ignore quels outils tournent réellement dans l’entreprise, quelles données leur sont envoyées, où le traitement a lieu et qui relit les résultats. Cette matière ne se trouve dans aucun document existant, elle se relève sur le terrain.
Notre travail est donc de produire un état des lieux vérifiable et de mettre en oeuvre ce que votre conseil aura décidé. Nous documentons, nous instrumentons, nous corrigeons. Ils qualifient et ils tranchent. Cette répartition est écrite dans nos devis, ce qui évite les malentendus le jour où un contrôle arrive.
Vous n’avez pas de DPO ? Beaucoup de PME n’en ont pas l’obligation. Nous travaillons alors avec le dirigeant ou le responsable désigné, et nous recommandons de faire relire la qualification par un conseil extérieur. Nous pouvons vous orienter, nous ne remplacerons pas.
Comment se construit le dossier
Quatre étapes. La première est celle qui réserve le plus de surprises.
Inventaire des usages réels
Nous recensons ce qui tourne vraiment, y compris les outils que des équipes ont adoptés seules. C'est presque toujours plus que ce que la direction imagine, et ce sont ces usages non déclarés qui posent les difficultés.
Traçage des données
Pour chaque usage : quelles données entrent, sous quelle forme, vers quel pays, combien de temps elles sont conservées, et ce que le contrat du fournisseur autorise. Ce document est celui que votre DPO attend.
Description du contrôle humain
Qui relit, à quel moment, avec quel pouvoir de correction, et ce qui se passe quand le système se trompe. Un dispositif sans responsable identifié est le point faible le plus courant.
Mise en oeuvre technique
Journalisation des traitements, cloisonnement des accès, purge des données selon la durée retenue, mention informant l'utilisateur qu'il s'adresse à une machine. Ce sont des développements, pas des recommandations.
Ce que vous recevez
Quatre documents et dispositifs, exploitables par votre conseil et opposables en cas de contrôle.
Registre des usages d'IA
Un tableau vivant qui liste chaque système, sa finalité, ses données, son fournisseur et son responsable interne. Il se tient à jour à chaque nouveau déploiement, sans quoi il devient faux en six mois.
Cartographie des flux
Le circuit de la donnée pour chaque traitement, du poste de travail au centre de données. C'est la pièce qui articule la conformité avec le choix d'hébergement.
Politique d'usage
Ce que les salariés peuvent confier à un outil externe et ce qui reste interdit, par type de donnée. Un document court, écrit pour être lu, accompagné d'une session de présentation aux équipes.
Journalisation et purge
Les développements qui permettent de montrer ce qui s'est passé : traces horodatées des traitements, durées de conservation appliquées automatiquement, accès restreints et vérifiables.
AI Act : ce que le texte demande, en pratique
Le règlement européen sur l’intelligence artificielle raisonne par niveau de risque. Les usages jugés inacceptables sont interdits, ceux qualifiés à haut risque supportent des obligations lourdes, les autres relèvent surtout d’exigences de transparence. Les échéances s’échelonnent sur plusieurs années et la qualification de votre système appartient à votre conseil, pas à nous.
Ce que nous constatons sur le terrain est plus terre à terre. La grande majorité des usages que nous croisons chez des PME et des ETI ne relèvent pas du haut risque : classer des documents, répondre à partir d’une base interne, extraire des champs d’une facture. Les obligations qui s’y appliquent sont alors principalement de transparence et de documentation, et elles se traitent avec les quatre livrables ci-dessus.
Deux points reviennent toutefois systématiquement, quel que soit le niveau de risque.
Dire à l’utilisateur qu’il parle à une machine. Un agent conversationnel ne doit pas laisser croire à un interlocuteur humain. C’est une mention à poser dans l’interface, ce qui prend dix minutes quand on y pense au moment du développement et beaucoup plus quand on l’ajoute après.
Garder un humain capable de décider. Un système qui produit un effet sur une personne, refus, classement, priorisation, doit rester révisable par quelqu’un qui a le pouvoir de le contredire. C’est autant une question d’organisation que de technique, et c’est ce que nous décrivons dans l’étape trois.
Et le RGPD dans tout ça
Il ne disparaît pas et il reste le texte le plus souvent en cause. Dès qu’une donnée personnelle entre dans un système d’IA, les questions habituelles se posent : base légale, information des personnes, durée de conservation, sous-traitance. Quand les données peuvent être rendues anonymes avant traitement, une part de la difficulté disparaît, et c’est la première piste que nous regardons.
Conformité IA, ce qu’on nous demande
Les questions posées par les directions et les DPO.
Nous ne pouvons pas répondre à cette question, et personne ne devrait y répondre sans examiner votre situation. C’est une qualification juridique qui revient à votre conseil. Ce que nous pouvons faire, et qui lui est indispensable, est de lui remettre l’inventaire exact de vos systèmes et de leurs données. Sans cette matière, il qualifie à l’aveugle.
C’est la situation la plus fréquente et elle se traite mal par l’interdiction, qui pousse simplement l’usage vers les téléphones personnels. Ce qui fonctionne est un cadre écrit qui autorise clairement certains usages et en interdit d’autres, accompagné d’un outil interne assez pratique pour être préféré. Ce cadre se rédige et se présente aux équipes en session, et l’inventaire commence par cette question, posée sans reproche.
La question de savoir si une analyse d’impact est requise appartient à votre DPO. Notre rôle est de lui fournir, pour chaque projet, la description technique qui lui permet de trancher, puis de mettre en oeuvre les mesures qu’il retient. Sur un dispositif proche d’un précédent, l’essentiel de la documentation se réutilise.
Oui, et c’est le mode de fonctionnement que nous recommandons. Nous produisons la matière, ils qualifient, nous mettons en oeuvre. Cette répartition figure dans le devis, avec la mention explicite que nous ne rendons aucun avis de droit. Elle protège tout le monde, à commencer par vous.
Non, et méfiez-vous de qui l’affirme. Ce que nous garantissons est qu’il est documenté, journalisé, cloisonné et qu’il porte les mentions de transparence, donc qu’il est examinable. La conformité se prononce sur un usage dans un contexte, pas sur un logiciel en soi. Nous livrons la documentation qui permet ce prononcé.
Nous le documentons a posteriori, ce qui est plus long mais tout à fait faisable. C’est souvent l’occasion de découvrir des écarts entre ce que le système est censé faire et ce qu’il fait, ce qui rejoint le travail décrit sur reprise d’un projet IA.
Un dossier à constituer
Dites-nous ce qui tourne déjà et qui suit le sujet chez vous. Nous vous proposons un périmètre d'inventaire et un devis.
