Avec l’entrée en vigueur progressive des obligations prévues par l’AI Act, de nombreuses organisations ont lancé un projet de « conformité IA ». Certaines parlent de « gouvernance de l’IA ». D’autres utilisent ces deux termes de manière interchangeable.
En pratique, ils ne désignent pas la même chose. La conformité IA consiste à respecter les obligations légales applicables à vos systèmes d’IA. La gouvernance de l’IA correspond au système interne qui détermine comment votre organisation utilise l’IA, qui en est responsable et quels risques elle accepte de prendre.
Les confondre peut avoir des conséquences. Une organisation peut cocher toutes les cases d’une liste de contrôle liée à l’AI Act tout en n’ayant aucun contrôle réel sur l’utilisation de l’IA par ses équipes. Une autre peut disposer d’un cadre de gouvernance bien conçu tout en omettant une obligation légale applicable à l’un de ses systèmes.
Qu’est-ce que la conformité IA ?
La conformité à l’IA consiste à respecter les exigences légales et réglementaires applicables aux systèmes d’IA. Dans l’Union européenne, cela renvoie principalement à l’AI Act, mais également au RGPD dès lors que des données à caractère personnel sont traitées, ainsi qu’aux réglementations sectorielles applicables, notamment dans la finance, la santé ou l’emploi.
La conformité répond à des questions précises. Par exemple, en se fondant sur l’AI Act de l’Union européenne, les questions peuvent être les suivantes :
- Quel est notre rôle ? Fournisseur, déployeur, importateur ou distributeur au sens de l’AI Act.
- Quel est le niveau de risque de chaque système ? Pratique interdite, système à haut risque, système soumis à des obligations de transparence ou système à risque minimal.
- Quelles obligations en découlent ? Par exemple, la maîtrise de l’IA (article 4), la transparence à l’égard des utilisateurs (article 50) ou, pour les systèmes à haut risque, la mise en place d’un système de management de la qualité (article 17) et d’une supervision humaine.
- Sommes-nous en mesure de le prouver ? Documentation, journaux, évaluations, contrats.
Les enjeux sont concrets. En vertu de l’article 99 de l’AI Act, les pratiques interdites peuvent entraîner des amendes allant jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial. Les violations de la plupart des autres obligations, y compris celles applicables aux systèmes à haut risque, peuvent être sanctionnées jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial.
La conformité est guidée par l’extérieur : la loi fixe les exigences, et l’organisation doit démontrer qu’elle les respecte. Elle est mesurable et soumise à des échéances.
Qu’est-ce que la gouvernance de l’IA ?
La gouvernance de l’IA est l’ensemble des rôles, règles et processus qu’une organisation met en place pour piloter son utilisation de l’IA. Elle va au-delà de ce qui est exigé par la loi.
La gouvernance répond à d’autres questions :
- Que souhaitons-nous faire avec l’IA, et que refusons-nous de faire ?
- Qui décide si un nouvel outil peut être déployé ?
- Qui porte le risque une fois l’outil mis en production ?
- Quel est notre appétence au risque, et chaque cas d’usage s’inscrit-il dans ce cadre ?
- Comment conserver le contrôle lorsque les outils, les fournisseurs et les usages évoluent ?
La gouvernance est guidée de l’intérieur. Aucun régulateur n’impose de modèle unique, et l’AI Act ne crée pas de fonction dédiée équivalente à celle du DPO. Chaque organisation conçoit une structure adaptée à sa taille, à son secteur et à sa culture.
Conformité à l’IA et gouvernance de l’IA : les principales différences
| Conformité à l’IA | Gouvernance de l’IA | |
|---|---|---|
| Objectif | Respecter les obligations légales | Piloter et contrôler l’utilisation de l’IA |
| Guidée par | Les lois et les régulateurs | La stratégie et les valeurs de l’organisation |
| Périmètre | Les systèmes couverts par la réglementation | Tous les usages de l’IA, y compris ceux non couverts par la loi |
| Question clé | « Sommes-nous conformes ? » | « Gardons-nous le contrôle ? » |
| Portée par | Les équipes juridiques, conformité et DPO | Une approche transversale : direction, responsables métiers, juridique, sécurité, données |
| Flexibilité | Faible : les exigences sont fixées par la loi | Élevée : adaptée à la taille, au secteur et à l’appétence au risque |
| Livrables habituels | Classification, documentation, contrats, informations et notifications | Politiques, rôles, processus décisionnels, acceptation des risques |
| Mode d’évaluation | Audits, documentation, évaluations de conformité | Couverture du registre IA, cycles de revue, suivi des acceptations de risque, formations réalisées |
| Horizon temporel | Échéances légales et suivi continu | Continu |
Pourquoi cette confusion est risquée
La conformité sans gouvernance repose sur une approche ponctuelle. Le registre est rempli une fois, les évaluations sont réalisées pour respecter une échéance, puis, six mois plus tard, l’inventaire ne reflète plus la réalité. De nouveaux outils arrivent par l’intermédiaire des fournisseurs, des fonctionnalités d’IA sont activées dans des logiciels existants, et personne n’est chargé de les identifier.
La gouvernance sans conformité crée un angle mort. Des rôles et des comités existent, mais personne n’a vérifié si un outil de recrutement relève de la catégorie des systèmes à haut risque, ni si le contrat conclu avec le fournisseur couvre les obligations applicables.
Il existe un troisième risque, moins visible. L’AI Act se concentre sur certains usages. Un outil peut présenter un risque minimal au regard de l’AI Act tout en étant critique pour l’activité, par exemple s’il est intégré à plusieurs systèmes et qu’un résultat erroné peut entraîner des coûts importants. Seule la gouvernance permet d’identifier ce type de situation.
Comment la conformité et la gouvernance de l’IA fonctionnent elles ensemble ?
La manière la plus simple de le comprendre est la suivante : la gouvernance constitue la structure, et la conformité est l’un de ses résultats.
Un cadre solide de gouvernance de l’IA rend la conformité durable. En pratique, il repose généralement sur quatre piliers :
- Un registre des systèmes d’IA. Il s’agit d’un inventaire, tenu à jour, des systèmes d’IA et de leurs cas d’usage. Il joue pour la gouvernance de l’IA le même rôle que le registre des activités de traitement pour la protection des données.
- Une évaluation reproductible. Chaque nouvel outil ou fournisseur suit les mêmes étapes : ce que le fournisseur affirme, la manière dont l’outil sera réellement utilisé et les risques qui en découlent.
- Des responsabilités clairement attribuées. Le responsable métier est propriétaire du cas d’usage et du risque associé. Les équipes juridiques, de protection des données et de sécurité conseillent et proposent des mesures. L’acceptation du risque est documentée.
- Une revue continue. Les systèmes, les fournisseurs et les réglementations évoluent. La gouvernance définit à quel moment un cas d’usage doit être réévalué.
La conformité devient alors le résultat d’un système qui fonctionne déjà, plutôt qu’un projet distinct relancé à chaque échéance.
Par où commencer ?
La plupart des organisations n’en sont encore qu’au début. Certaines s’appuient sur les récents reports réglementaires pour remettre ce travail à plus tard. Pourtant, la meilleure approche consiste à commencer dès maintenant à mettre en place des fondations solides.
Un point de départ pragmatique :
- Cartographiez l’existant : les outils d’IA utilisés, déclarés ou non, les politiques déjà en place et les projets futurs des équipes métier.
- Qualifiez chaque système : déterminez votre rôle et son niveau de risque au regard de l’AI Act.
- Désignez des responsables : une personne responsable pour chaque cas d’usage.
- Appuyez-vous sur votre programme RGPD : les systèmes d’IA qui traitent des données à caractère personnel figurent déjà dans votre registre, vos AIPD et vos évaluations fournisseurs. Il n’est pas nécessaire de repartir de zéro.
Centralisez votre gouvernance et votre conformité à l’IA
Dastra vous aide à construire votre registre IA, à qualifier vos systèmes au regard de l’AI Act, à réaliser les évaluations des fournisseurs et des cas d’usage, et à relier l’ensemble à votre conformité RGPD.