Comité d'éthique IA : ce que disent réellement les travaux du CNNum

Commençons par une clarification documentaire. Le Conseil national du numérique est une instance de réflexion et de recommandation. Les éléments réunis pour cet article décrivent ses travaux sur l'intelligence artificielle, notamment dans le cadre de FranceIA et de l'accompagnement de la mission Villani. Ils ne permettent pas d'affirmer l'existence d'un « comité d'éthique IA du Conseil national du numérique ». Le CNNum n'est pas davantage une autorité de certification ou de sanction.

Le contexte 2016-2018

À cette période, la réflexion cherche à anticiper les impacts économiques et sociaux de l'IA : dépasser les discours alarmistes sur l'emploi, mesurer la dépendance aux plateformes, comprendre la transformation du travail et répondre à une carence de gouvernance. Deux idées structurantes en ressortent : les données comme actifs stratégiques et la complémentarité humain-machine. La méthode recommandée repose sur la concertation, l'audition d'acteurs et l'anticipation collective.

Ces travaux ont une limite temporelle : ils précèdent l'adoption de l'AI Act, le Règlement (UE) 2024/1689. Ils éclairent une orientation, mais ne constituent pas un cahier des charges pour un déploiement actuel.

Trois niveaux à ne pas confondre

Instance Nature Limite
CNNum Réflexion et recommandation sur le numérique Aucun comité d'éthique IA documenté dans nos sources
Comité interne Instance créée par une organisation pour ses systèmes Autorité limitée au mandat donné par la direction
Panel scientifique de l'AI Act Experts indépendants soutenant l'application du règlement Pas une instance d'entreprise ni du CNNum

La question centrale devient donc opérationnelle : comment transformer une réflexion éthique en mécanisme de décision, de contrôle et de responsabilité ? La réponse suppose d'articuler vision politique, expertise technique, droits fondamentaux et dispositifs internes de gouvernance. Aucun de ces quatre éléments ne suffit isolément. Pour harmoniser le vocabulaire entre vos équipes avant de lancer le chantier, le glossaire IA d'IAPRO fournit une base commune.

Principes d'un comité éthique IA : loyauté, vigilance et contrôle humain

Un comité éthique IA est une instance permanente ou périodique de questionnement. Il examine les finalités, les impacts, les données, les usages et les responsabilités associés à un système. Son socle français se trouve dans le rapport publié par la CNIL le 15 décembre 2017. Issu d'un débat réunissant 3 000 personnes, 45 manifestations et 60 partenaires, il dégage deux principes fondateurs.

  • Loyauté : l'algorithme doit être loyal envers ses utilisateurs, non seulement comme consommateurs mais aussi comme citoyens, et prendre en compte les communautés et les grands intérêts collectifs potentiellement affectés.
  • Vigilance ou réflexivité : l'organisation met en place un questionnement régulier, méthodique et délibératif, adapté à des systèmes évolutifs, parfois imprévisibles, insérés dans des chaînes compartimentées et sources de confiance excessive.

La CNIL cite explicitement les comités d'éthique parmi les procédures concrètes possibles. Elle recommande aussi de renforcer la fonction éthique au sein des entreprises.

Le relais des sept exigences européennes

Les lignes directrices européennes pour une IA digne de confiance fournissent une grille plus détaillée : action et supervision humaines, robustesse technique et sécurité, respect de la vie privée et gouvernance des données, transparence, diversité et non-discrimination, bien-être sociétal et environnemental, responsabilité.

Des pouvoirs plutôt qu'une simple charte

Une charte ne suffit pas. Selon la méthode que je propose, le comité doit pouvoir demander une analyse d'impact, exiger des tests, documenter les arbitrages, recommander une limitation ou un arrêt et organiser un recours.

Sa composition recommandée réunit la direction, les métiers, le juridique, la protection des données, la sécurité, des experts techniques et des représentants des personnes concernées. Selon le cas, des chercheurs ou des associations complètent le dispositif. Quatre garde-fous protègent sa crédibilité : indépendance, pluralité des compétences, traçabilité des décisions et déclaration des conflits d'intérêts.

Une PME n'a pas besoin de reproduire ce schéma à l'identique : plusieurs fonctions peuvent être portées par une même personne, à condition que les conflits de rôle soient explicités. L'éthique complète le droit sans s'y substituer : un usage licite peut rester contestable, et un avis favorable ne rend jamais un usage licite.

Gouvernance opérationnelle : de l'avis éthique au cycle de vie de l'IA

Un comité devient utile lorsqu'il intervient à des moments définis du projet, depuis l'expression du besoin jusqu'au retrait du système. Voici la séquence en six étapes que je recommande.

  1. Qualifier le cas d'usage : décrire le besoin, les personnes affectées, le niveau de sensibilité et la possibilité d'une décision humaine réelle, et pas seulement d'une validation de pure forme.
  2. Inventorier les données : recenser leurs sources, leur qualité, leur base juridique, leurs biais possibles et leurs conditions d'accès, afin d'identifier tôt les jeux de données à exclure ou à corriger.
  3. Comparer les options : confronter modèle sur étagère, modèle ouvert, fine-tuning, RAG (génération augmentée par recherche documentaire) ou développement spécifique, sur les plans techniques et contractuels, avant tout engagement auprès d'un fournisseur.
  4. Tester le système : vérifier la robustesse, la sécurité, la performance, les biais, l'explicabilité et la résistance aux usages détournés, sur des scénarios représentatifs définis avant le lancement des essais.
  5. Attribuer les responsabilités : fixer les seuils d'escalade, la supervision, la conservation des journaux, la gestion des incidents et les voies de recours, avec un responsable nommé pour chacun de ces points.
  6. Réévaluer après déploiement : programmer des revues périodiques, car les données, les usages et les performances évoluent, ce qui peut invalider les conclusions d'un avis rendu avant la mise en production.

Deux repères officiels

La FAQ de la CNIL sur l'IA générative, publiée le 18 juillet 2024, rappelle que ces modèles suivent une logique probabiliste, qu'ils peuvent produire des résultats inexacts mais plausibles et qu'une confiance excessive peut conduire à des décisions erronées.

La grille ALTAI (Assessment List for Trustworthy AI), finalisée en juillet 2020 par le groupe d'experts de haut niveau de la Commission européenne, traduit les sept exigences en liste de contrôle. C'est un instrument d'auto-évaluation destiné aux développeurs et aux déployeurs, pas une certification juridique.

Les livrables à exiger

Six documents suffisent à rendre la démarche auditable : fiche de cas d'usage, registre des risques, matrice de responsabilités, rapport de tests, décision motivée du comité et plan de surveillance. Reliez-les aux processus d'achat, de développement et d'exploitation : un projet sans fiche validée ne passe pas à l'étape suivante. L'éthique cesse alors d'être un discours pour devenir une trace vérifiable.

Cas pratique : évaluer un assistant IA générative souverain

Ce scénario est pédagogique et ne décrit aucune mission réelle. Une organisation française fictive de 80 salariés souhaite un assistant interne de recherche et de synthèse documentaire. Il traite des procédures, des contrats et des notes internes, pour des équipes support et juridiques. L'alternative consiste à conserver la recherche manuelle.

Deux architectures comparées

Critère examiné Service externe sur étagère Architecture maîtrisée avec RAG
Hébergement À vérifier au contrat Choisi par l'organisation
Réutilisation des prompts À vérifier au contrat Décidée et contrôlée en interne
Sous-traitants Liste à obtenir du fournisseur Cartographie à établir et à tenir
Exploitation Portée surtout par le fournisseur Compétences internes ou prestataire requis

Le comité examine aussi les habilitations et la séparation entre test et production. Une architecture maîtrisée peut, par exemple, associer un modèle ouvert servi par Ollama, une interface OpenWebUI et une base documentaire indexée. Le RAG peut améliorer l'actualisation et la traçabilité des réponses, sans supprimer les hallucinations ni les risques liés à des documents mal indexés.

Les tests demandés

  • Fiabilité des réponses : mesurer les réponses inventées, les citations absentes et le comportement du système face à des documents contradictoires, à partir d'un jeu de questions validé par les métiers.
  • Sécurité et confidentialité : tenter des attaques par injection de prompt et vérifier qu'aucune information sensible n'apparaît pour un utilisateur qui ne dispose pas des habilitations correspondantes.
  • Biais de restitution : contrôler si certaines sources, certains services ou certains points de vue sont systématiquement surreprésentés ou écartés dans les synthèses produites par l'assistant.

Un avis conditionnel

Dans ce scénario, le comité rendrait un avis favorable sous conditions : périmètre limité, utilisateurs formés, avertissement explicite sur les limites, validation des sources, journalisation, mécanisme de signalement et réexamen après le pilote. Toute production utilisée dans une décision sensible reste soumise à une supervision humaine obligatoire.

Les résultats se mesurent avec des indicateurs équilibrés : temps gagné, taux d'erreur, réponses vérifiées, incidents, satisfaction, couverture documentaire et coûts d'exploitation. Le temps gagné ne suffit jamais seul. Le cas montre enfin qu'une IA souveraine ne se résume pas à un hébergement français : elle suppose maîtrise des données, transparence des choix, contrôle des flux, réversibilité et capacité d'audit.

Comité éthique IA et conformité : CNIL, RGPD et AI Act

L'éthique et le droit se répondent sans se confondre. Lorsqu'un système traite des données personnelles, le RGPD (Règlement général sur la protection des données) impose d'examiner la finalité, la minimisation et la sécurité (articles 5 et 32), les droits des personnes (articles 12 à 22), les transferts (chapitre V) et, si nécessaire, l'analyse d'impact (article 35). Cette conformité ne garantit pourtant pas à elle seule la loyauté sociale, l'absence de discrimination ou l'acceptabilité d'un usage.

Une logique fondée sur les risques

Le Règlement (UE) 2024/1689 module les obligations selon le niveau de risque et le rôle de l'acteur, fournisseur ou déployeur. Les interdictions et la maîtrise de l'IA (article 4) s'appliquent depuis le 2 février 2025, l'application générale depuis le 2 août 2026, et les systèmes à haut risque de l'annexe III sont attendus au 2 décembre 2027. Pour le détail, consultez le panorama des obligations pour les PME sur Regulia.

Ne pas surinterpréter l'article 68

L'article 68 prévoit un panel scientifique d'experts indépendants qui soutient l'application du règlement : modèles et systèmes d'IA à usage général, risques systémiques, méthodologies d'évaluation et surveillance du marché. Ce panel européen n'est ni un comité d'éthique d'entreprise, ni une instance du CNNum. Ses exigences d'indépendance et de déclaration d'intérêts constituent toutefois une inspiration utile pour un comité interne.

Une cartographie commune

Pour éviter les doublons, je recommande un tableau unique reliant chaque exigence réglementaire et chaque critère éthique à une preuve : registre des systèmes, documentation technique, évaluation des risques, supervision humaine, transparence, gestion des incidents et conservation des preuves. Ajoutez-y la propriété intellectuelle, la confidentialité, la cybersécurité, l'accessibilité et la non-discrimination.

Le comité travaille avec le DPO (délégué à la protection des données), le RSSI (responsable de la sécurité des systèmes d'information), les achats, les juristes et les métiers, tout en conservant une capacité de recommandation indépendante. Il ne se substitue à aucune de ces fonctions.

Une règle de rédaction s'impose enfin : employez « conforme », « aligné » ou « recommandé » avec précision. Une auto-évaluation ou un avis éthique ne doit jamais devenir une promesse de conformité complète, ni dans un rapport interne, ni dans un document commercial. Le hub AI Act d'IAPRO présente l'accompagnement correspondant.

Mesurer la valeur : ROI, souveraineté et feuille de route d'un comité éthique IA

Un comité crée de la valeur lorsqu'il est relié aux décisions d'investissement. Son retour sur investissement (ROI) peut se structurer autour de cinq dimensions : réduction des incidents et des coûts de non-conformité, qualité des données et des réponses, accélération des arbitrages, confiance des salariés et des clients, maîtrise de la dépendance technologique.

La souveraineté ajoute des bénéfices propres : limitation des transferts de données, visibilité sur les sous-traitants, réversibilité, contrôle des modèles et des infrastructures, continuité d'activité et capacité à changer de fournisseur. Ces gains se chiffrent cas par cas : le calculateur de ROI IA aide à poser les hypothèses de coûts et de gains d'un usage donné.

Une feuille de route en trois temps

  • Jours 0 à 30 : inventorier les usages existants, y compris ceux adoptés sans validation, désigner les responsables, classer les risques et adopter une charte minimale que chaque équipe peut réellement appliquer.
  • Jours 30 à 90 : lancer un pilote limité, appliquer une grille inspirée d'ALTAI, documenter les données utilisées, former les utilisateurs concernés et mettre en place les contrôles de sécurité nécessaires avant toute extension.
  • Au-delà de 90 jours : industrialiser le registre, les audits, la surveillance post-déploiement, les revues périodiques et les mécanismes de recours, afin que le dispositif survive au pilote et aux changements d'équipe.

Les indicateurs à suivre

Neuf mesures donnent une vision équilibrée : délai de validation, nombre d'usages recensés, couverture des analyses d'impact, taux de tests réussis, incidents par période, taux de sorties vérifiées, part des fournisseurs évalués, temps de réversibilité et coût total par usage. Fixez leur valeur de référence pendant le pilote, puisqu'aucune cible universelle n'existe dans les sources consultées.

Un mandat écrit et court

Le mandat tient en quatre clauses : avis préalable pour les cas sensibles, pouvoir de demander des compléments, obligation de réponse de la direction et publication interne des décisions. Sans la troisième clause, le comité reste une instance symbolique. Avec elle, un refus de suivre un avis existe toujours, mais il est assumé, motivé et traçable.

C'est le positionnement que je défends chez IAPRO : une IA française, contrôlable et utile, qui part des besoins concrets plutôt que de la technologie. Les exemples par profession réunis dans le hub métiers peuvent servir de point de départ pour sélectionner un premier cas d'usage.

FAQ — comité éthique IA

Le Conseil national du numérique dispose-t-il d'un comité d'éthique IA officiel ?

Les sources analysées ne documentent aucun comité d'éthique IA officiel rattaché au Conseil national du numérique, ni composition, ni mandat, ni pouvoirs propres. Elles présentent des travaux de réflexion et de recommandation sur l'intelligence artificielle, liés notamment à FranceIA et à la mission Villani. Le CNNum ne certifie pas les systèmes et ne sanctionne pas les organisations.

Quel est le rôle concret d'un comité d'éthique IA en entreprise ?

Un comité d'éthique IA examine les finalités, les données, les impacts, les usages et les responsabilités liés à un système. Pour peser réellement, il peut demander une analyse d'impact, exiger des tests, documenter les arbitrages, recommander une limitation ou un arrêt et organiser un recours. Sa valeur dépend du mandat écrit que lui accorde la direction.

Quels membres doivent siéger dans un comité d'éthique IA ?

Un comité d'éthique IA réunit idéalement la direction, les métiers, le juridique, la protection des données, la sécurité, des experts techniques et des représentants des personnes concernées. Selon le cas, des chercheurs ou des associations complètent le dispositif. Chaque membre déclare ses conflits d'intérêts, et une PME peut adapter ce format à ses effectifs.

Quelle différence existe entre comité d'éthique IA, DPO et RSSI ?

Le délégué à la protection des données suit la conformité au RGPD, tandis que le responsable de la sécurité des systèmes d'information pilote la cybersécurité. Le comité d'éthique IA croise ces regards avec les enjeux métiers et sociétaux, puis formule une recommandation motivée. Il ne remplace aucune de ces deux fonctions et ne réduit pas leurs missions.

L'AI Act impose-t-il à chaque entreprise de créer un comité d'éthique IA ?

Non : le Règlement (UE) 2024/1689 ne prévoit pas d'obligation générale de créer un comité d'éthique interne dans chaque entreprise. Il organise des obligations selon le niveau de risque et le rôle de l'acteur. Le panel scientifique de l'article 68 relève du niveau européen. Un comité interne reste donc un choix de gouvernance, utile pour documenter les décisions.

Comment un comité éthique IA évalue-t-il un outil d'IA générative ?

Le comité qualifie d'abord le cas d'usage et les données traitées, puis vérifie la réutilisation des prompts, les habilitations et les sous-traitants. Il fait tester les réponses inventées, les citations absentes, les documents contradictoires et l'injection de prompt. Il rend enfin un avis motivé, souvent conditionnel, avec supervision humaine, journalisation et réexamen après un pilote.

Une IA souveraine est-elle automatiquement une IA éthique et conforme ?

Non. Un hébergement maîtrisé réduit certaines dépendances, mais il ne supprime ni les hallucinations, ni les biais, ni les obligations du RGPD ou de l'AI Act. Une IA souveraine suppose la maîtrise des données, le contrôle des flux, la réversibilité et la capacité d'audit. L'éthique et la conformité doivent ensuite être évaluées pour chaque usage concret.

Quels indicateurs permettent de mesurer l'efficacité d'un comité éthique IA ?

Les indicateurs utiles sont le délai de validation, le nombre d'usages recensés, la couverture des analyses d'impact, le taux de tests réussis, les incidents par période et le taux de sorties vérifiées. S'y ajoutent la part des fournisseurs évalués, le temps de réversibilité et le coût total par usage, à suivre à chaque revue périodique.

Pour aller plus loin avec IAPRO

Vous souhaitez auditer vos usages, sécuriser un pilote ou concevoir un dispositif de gouvernance adapté à votre taille ? Décrivez votre projet à IAPRO : nous partirons de vos cas d'usage, de vos données et de vos contraintes. Le volet audit et accompagnement AI Act précise le cadre de cette démarche.

Vérifiez vos aides en 2 minutes

Chaque dispositif (Bpifrance, France Num, aides régionales, OPCO) a ses propres critères d'éligibilité et ses propres délais. Notre simulateur croise votre profil avec les dispositifs actifs, ou échangez directement avec un expert IAPRO.

Vérifier mon éligibilité Demander un diagnostic gratuit de 30 min

Vérifiez vos aides en 2 minutes

Votre projet IA est peut-être finançable à 40-80 %. Le simulateur IAPRO croise 14 dispositifs (Bpifrance, Région Hauts-de-France, OPCO, CIR) et vous envoie le détail par email.

Vérifier mon éligibilité Demander un diagnostic gratuit de 30 min

Liens utiles