État des lieux : accélération de l'IA et durcissement du cadre européen

L'adoption de l'IA générative dans les entreprises françaises a suivi une courbe brutale. En moins de deux ans, des outils grand public se sont infiltrés dans les directions marketing, juridiques et RH sans passer par la moindre validation. Cette phase que j'appelle le « Far West » — un déploiement horizontal, décentralisé, non tracé — touche autant la TPE de services que l'ETI industrielle. Bpifrance ne s'y trompe pas : dans son webinaire de mai 2025 destiné aux dirigeants, la banque publique consacre la moitié du temps aux défis juridiques de l'IA générative, plaçant la confidentialité des données et la propriété intellectuelle au premier rang des préoccupations.

Cette phase d'expérimentation libre se referme. Le Règlement (UE) 2024/1689, adopté le 13 juin 2024, structure désormais un cadre contraignant dont les échéances s'égrènent jusqu'en 2028. Les interdictions et l'obligation de maîtrise de l'IA (« AI literacy ») s'appliquent depuis le 2 février 2025 ; les règles de transparence et le régime de sanctions entrent en vigueur le 2 août 2026.

Le risque juridique, indissociable de l'opportunité

Pour un Conseil d'administration, l'enjeu n'est pas de freiner l'innovation mais de l'encadrer. Un déploiement IA mal maîtrisé expose l'entreprise à des amendes, à des contentieux prud'homaux et à une atteinte réputationnelle. À l'inverse, une gouvernance structurée devient un argument commercial auprès des donneurs d'ordre publics et des grands comptes qui exigent désormais des garanties de conformité. Le risque et l'opportunité sont les deux faces d'une même décision d'investissement, que le Board doit arbitrer en connaissance de cause. Pour situer chaque projet dans le calendrier réglementaire, notre hub AI Act tient à jour les échéances applicables.

Décryptage des risques juridiques IA : la classification par niveaux

L'AI Act repose sur une approche fondée sur le risque, décrite par la Commission européenne, qui distingue quatre niveaux : risque inacceptable, haut risque, risque de transparence, risque minimal. Cette pyramide constitue la première grille de lecture qu'un administrateur doit maîtriser, car elle détermine l'intensité des obligations — et donc l'exposition juridique de l'entreprise.

Au sommet, les pratiques interdites : notation sociale, moissonnage non ciblé d'images pour constituer des bases de reconnaissance faciale, reconnaissance des émotions sur le lieu de travail, catégorisation biométrique révélant des caractéristiques protégées. Ces interdictions sont applicables depuis février 2025 ; un système qui franchit cette ligne rouge n'est pas « à corriger », il est illégal.

Le niveau haut risque concentre l'attention du Conseil. Il couvre notamment :

  • Les outils de tri de CV et de gestion des travailleurs, qui touchent au recrutement et à la carrière — un terrain où la discrimination algorithmique croise directement le droit du travail.
  • Le scoring de solvabilité conditionnant l'accès à un crédit ou à un service essentiel, sous surveillance croisée de l'AI Act et des régulateurs financiers.
  • Les composants de sécurité des infrastructures critiques (transport, énergie), dont la défaillance met en jeu la vie des personnes.

Je ne réenumère pas ici l'intégralité des obligations attachées à ces systèmes : elles sont détaillées, article par article, dans le guide de référence sur les systèmes à haut risque et l'analyse d'impact (FRIA). Retenez le principe directeur : plus le cas d'usage affecte les droits fondamentaux, plus la charge documentaire et la supervision humaine pèsent sur le déployeur. Les obligations strictes des systèmes de l'annexe III s'appliquent à compter du 2 décembre 2027, échéance reportée par l'accord omnibus numérique.

L'articulation RGPD et AI Act : un défi pour la protection des données

Une confusion fréquente en salle de Conseil consiste à croire que l'AI Act « remplace » le RGPD. C'est faux, et cette erreur coûte cher. Le Règlement général sur la protection des données (RGPD, Règlement (UE) 2016/679) demeure la règle d'or dès qu'un traitement porte sur des données personnelles, indépendamment du régime IA. La CNIL le rappelle sans ambiguïté : le RGPD s'applique aux fournisseurs de systèmes lorsqu'ils utilisent des données personnelles pour l'entraînement, en amont de toute question de classification IA.

Les deux cadres se superposent : l'AI Act définit comment déployer un système selon sa criticité ; le RGPD définit à quelles conditions les données personnelles qui l'alimentent peuvent être traitées. Un système de scoring RH peut ainsi être parfaitement conforme à l'AI Act sur son cycle de vie et néanmoins illicite faute de base légale valable pour les données des candidats.

Les points de friction identifiés par la CNIL

Dans ses travaux sur l'IA et la vie privée, la CNIL éclaire trois zones sensibles pour le Board :

  • Le moissonnage web (web scraping) : la collecte massive de données en ligne pour constituer des jeux d'entraînement exige des garanties techniques et organisationnelles importantes, sous peine de contentieux.
  • La base légale de l'intérêt légitime : c'est la base la plus mobilisée pour développer un système d'IA, mais elle impose une évaluation documentée des risques pour les personnes et n'est jamais un blanc-seing.
  • Les modèles open source : leur publication soulève des questions spécifiques de gestion des droits des personnes, clé de voûte du cadre RGPD.

Pour un administrateur, la conséquence pratique est simple : tout projet IA doit intégrer une analyse d'impact relative à la protection des données (AIPD) dès qu'il traite des données à caractère personnel à grande échelle. Notre glossaire de l'IA précise ces notions techniques pour les non-spécialistes du Conseil.

Propriété intellectuelle et confidentialité : les zones d'ombre

Le second risque majeur, souvent sous-estimé par les dirigeants, concerne le patrimoine immatériel. Deux problématiques distinctes se croisent.

D'abord, la titularité des droits sur les contenus générés. Comme le souligne Bpifrance, la question de savoir à qui appartiennent un texte, une image ou un logo produit par une IA reste « complexe et évolutive ». En droit français, la protection par le droit d'auteur suppose une œuvre originale portant l'empreinte de la personnalité de son auteur — critère difficile à établir pour une production automatisée. Une entreprise qui construit sa marque sur des visuels générés sans encadrement juridique s'expose à ne détenir aucun droit opposable.

Ensuite, et c'est le risque le plus insidieux, la fuite de données sensibles. Lorsqu'un collaborateur soumet à un modèle public un contrat, un fichier client ou un plan stratégique, ces informations peuvent alimenter l'entraînement du fournisseur et échapper définitivement au contrôle de l'entreprise. J'ai audité une PME industrielle de 80 salariés dont le bureau d'études avait, en toute bonne foi, soumis des schémas techniques confidentiels à un chatbot grand public : trois mois de R&D exposés en quelques clics.

La Data Governance comme rempart

La parade tient en une politique interne de gouvernance des données. Bpifrance recommande de privilégier des modèles garantissant la non-réutilisation des données sensibles, de contractualiser les usages et de distinguer strictement les modèles publics des environnements sécurisés. Des solutions françaises comme Vibe (ex-Le Chat) de Mistral sont mises en avant dans cette perspective. Une charte d'usage, opposable aux salariés et intégrée au règlement intérieur, constitue le premier livrable qu'un Conseil doit exiger de sa direction.

Responsabilité des dirigeants et reporting des incidents graves

C'est le cœur de la préoccupation du Board. Les systèmes à haut risque imposent au déployeur des obligations opérationnelles précises : journalisation (logging) garantissant la traçabilité des résultats, documentation technique complète, information claire de l'utilisateur et, surtout, mesures de supervision humaine appropriées. Ces exigences ne sont pas de simples formalités : elles constituent le faisceau de preuves qui, en cas de litige, démontre que l'entreprise a exercé une vigilance raisonnable.

Le régime s'accompagne d'une obligation de signalement des incidents graves. La Commission européenne a publié, au titre de l'article 55 du règlement, un modèle de reporting des incidents sérieux pour les modèles GPAI à risque systémique, à destination de l'AI Office et, le cas échéant, des autorités nationales compétentes. Un dispositif équivalent, avec projet de lignes directrices et modèle de déclaration, est en cours d'élaboration pour les systèmes à haut risque.

Où se loge la responsabilité du dirigeant

Un défaut de surveillance n'est pas neutre. Si un système de recrutement écarte systématiquement une catégorie de candidats, l'entreprise s'expose à une action pour discrimination — et le dirigeant qui a validé le déploiement sans supervision humaine documentée peut voir sa responsabilité civile, voire pénale, engagée en cas d'atteinte grave aux droits fondamentaux. Le Conseil d'administration a donc un intérêt direct à exiger que chaque système à haut risque soit assorti d'un point de contrôle humain identifié, tracé et auditable. C'est aussi une question de couverture assurantielle : les polices RC des mandataires sociaux scrutent désormais la maturité de la gouvernance IA.

Focus sectoriel : finance et santé sous haute surveillance

Plus un secteur est régulé, plus le reporting au Conseil doit être granulaire. Dans la banque et l'assurance, la supervision se dédouble : à l'AI Act s'ajoute le contrôle des régulateurs sectoriels. L'Autorité de contrôle prudentiel et de résolution (ACPR) et l'Autorité des marchés financiers (AMF) examinent de près les systèmes d'IA utilisés pour le scoring de solvabilité, la tarification des contrats d'assurance ou la détection de fraude. Un algorithme de crédit relève simultanément du haut risque au sens de l'AI Act et des exigences prudentielles d'explicabilité et de non-discrimination.

Le secteur de la santé cumule, lui, trois régimes : l'AI Act (dispositifs médicaux intégrant de l'IA, dont les obligations les plus strictes s'appliquent au 2 août 2028 pour l'annexe I), le RGPD renforcé sur les données de santé, et l'hébergement des données de santé (HDS) certifié. Pour un établissement ou un éditeur, le tableau de bord présenté au Conseil doit distinguer ces couches et documenter la conformité de chacune. Notre hub métiers détaille les obligations propres à ces secteurs réglementés.

Une granularité proportionnée au risque

Le principe de proportionnalité guide le reporting. Une PME de services B2B qui utilise l'IA pour rédiger des propositions commerciales n'a pas les mêmes obligations qu'un établissement de crédit. Le Conseil doit calibrer son exigence documentaire sur la criticité réelle des usages — ni sous-estimer un scoring RH, ni sur-administrer un correcteur orthographique.

Construire un tableau de bord « Risques IA » pour le Conseil

La difficulté du reporting IA tient à la traduction : convertir une complexité technique en indicateurs décisionnels. Voici la structure de tableau de bord que je recommande, présentée trimestriellement au Conseil.

Indicateur (KPI) Ce qu'il mesure Seuil d'alerte
Inventaire des systèmes Nombre d'outils IA recensés, dont Shadow AI détecté Tout système non validé
Taux de conformité Part des systèmes documentés / classifiés AI Act < 90 % du parc à haut risque
Analyse des biais Systèmes RH et scoring testés pour discrimination Tout écart statistique non expliqué
Supervision humaine Part des décisions à haut risque avec contrôle humain tracé Toute automatisation intégrale
Audits de tiers Nombre d'audits réalisés / prévus Retard sur le calendrier
Incidents Signalements et quasi-incidents sur la période Tout incident grave non déclaré

Ce tableau poursuit un objectif unique : permettre à un administrateur non technicien de poser les trois bonnes questions — Quels systèmes avons-nous ? Sont-ils conformes ? Qui garde la main ? Chaque ligne renvoie à un dossier documentaire consultable, de sorte que le Board peut approfondir sans se noyer. Pour objectiver le retour sur investissement d'une démarche de mise en conformité, notre calculateur de ROI IA chiffre le coût évité d'un contentieux face à l'investissement de gouvernance.

La souveraineté numérique comme stratégie de mitigation

Réduire le risque juridique ne se limite pas à produire de la documentation : cela passe aussi par le choix architectural. Les solutions d'IA souveraines, déployées on-premise ou dans un cloud de confiance français, offrent un levier de mitigation puissant.

Le premier bénéfice est l'affranchissement de l'extraterritorialité. Lorsque les traitements s'exécutent sur des serveurs situés en France, sous droit européen, l'entreprise échappe aux régimes d'accès extraterritoriaux qui fragilisent la conformité RGPD. Le second bénéfice est la maîtrise contractuelle : avec un partenaire local, les clauses de non-réutilisation des données, de réversibilité et de localisation se négocient directement, sans dépendre des conditions générales d'un fournisseur hors UE.

C'est précisément la logique de notre méthode IAPRO : installer des modèles ouverts — Mistral, Llama 3, Qwen — via Ollama et OpenWebUI, au sein du système d'information du client, avec des architectures RAG qui gardent les données sensibles à l'intérieur du périmètre. Bpifrance elle-même met en avant les solutions françaises comme Vibe de Mistral dans sa recommandation aux dirigeants. La souveraineté n'est pas une posture idéologique : c'est une réduction mesurable de la surface de risque juridique, et un argument que le Conseil peut opposer sereinement à un régulateur ou à un client exigeant.

Feuille de route : 5 étapes pour une gouvernance IA responsable

Pour clore ce panorama, voici le plan d'action opérationnel que je déploie en mission, transposable à toute PME ou ETI.

  1. Auditer l'existant et le Shadow AI : recenser tous les usages, y compris ceux installés par les métiers sans validation. Sans cet inventaire, aucune gouvernance n'est crédible.
  2. Rédiger une charte d'éthique et d'usage : document opposable définissant les outils autorisés, les données interdites de saisie et les responsabilités de chacun, intégré au règlement intérieur.
  3. Mettre en place un comité de surveillance : instance transverse (DSI, DPO, direction juridique, métiers) qui alimente le reporting au Conseil et arbitre les nouveaux déploiements.
  4. Former les cadres clés : l'obligation de maîtrise de l'IA (« AI literacy », article 4) s'applique depuis février 2025 ; la formation des décideurs n'est pas optionnelle.
  5. Sélectionner des solutions certifiées ou souveraines : privilégier les architectures maîtrisées, documentées et localisées pour faciliter la conformité et l'auditabilité.

L'aboutissement de cette démarche est ce que la Commission nomme la Trustworthy AI — une IA digne de confiance. Loin d'être une contrainte, elle constitue un avantage compétitif : dans les appels d'offres publics et les due diligences, la maturité de gouvernance IA devient un critère différenciant. Des dispositifs comme France Num et Bpifrance peuvent d'ailleurs cofinancer une partie de cette montée en compétence, comme le détaille notre hub des aides.

FAQ — Risques juridiques IA et gouvernance

Quels sont les principaux risques juridiques liés à l'utilisation de l'IA en entreprise ?

Quatre familles dominent : la non-conformité à l'AI Act (Règlement (UE) 2024/1689) pour les systèmes à haut risque, la violation du RGPD sur les données personnelles, l'atteinte à la propriété intellectuelle et à la confidentialité, et la discrimination algorithmique. Chacune peut entraîner sanctions administratives, contentieux et mise en cause de la responsabilité des dirigeants.

Comment distinguer les obligations du RGPD et de l'AI Act pour un projet IA ?

Le RGPD encadre le traitement des données personnelles, quel que soit l'outil utilisé. L'AI Act encadre le déploiement des systèmes d'IA selon leur niveau de risque. Les deux s'appliquent simultanément : un système peut être conforme à l'AI Act mais illicite au regard du RGPD faute de base légale valable pour les données qui l'alimentent.

Qu'est-ce qu'un système d'IA « à haut risque » selon la réglementation européenne ?

C'est un système dont l'usage peut porter gravement atteinte à la santé, la sécurité ou aux droits fondamentaux : tri de CV, scoring de crédit, composants de sécurité d'infrastructures critiques, éducation, justice. Ces systèmes sont soumis à des obligations strictes de documentation, logging, supervision humaine et robustesse, applicables au 2 décembre 2027 pour l'annexe III.

Quelle est la responsabilité des dirigeants en cas de décision discriminatoire par une IA ?

Un dirigeant qui déploie un système à haut risque sans supervision humaine documentée peut voir sa responsabilité civile, voire pénale, engagée en cas de discrimination avérée ou d'atteinte grave aux droits fondamentaux. La traçabilité (logging) et le contrôle humain constituent le faisceau de preuves démontrant la vigilance raisonnable de l'entreprise.

Comment sécuriser les données internes lors de l'utilisation d'outils comme ChatGPT ?

Il faut distinguer strictement les modèles publics des environnements sécurisés, interdire par charte la saisie de données confidentielles dans les outils grand public, et privilégier des solutions garantissant la non-réutilisation des données. Le déploiement de modèles souverains on-premise (Mistral, Llama) supprime le transfert vers des tiers et maintient les données dans le périmètre de l'entreprise.

Quelles sont les obligations de reporting en cas d'incident grave avec un modèle GPAI ?

L'article 55 impose aux fournisseurs de modèles GPAI à risque systémique de signaler les incidents graves à l'AI Office et, le cas échéant, aux autorités nationales compétentes. La Commission a publié un modèle de déclaration dédié. Un dispositif équivalent est en cours de finalisation pour les systèmes à haut risque, avec projet de lignes directrices et de gabarit de reporting.

Pourquoi privilégier une solution d'IA souveraine pour réduire les risques juridiques ?

Une solution souveraine, exécutée sur des serveurs français sous droit européen, limite l'exposition aux régimes d'accès extraterritoriaux et facilite la conformité RGPD attendue par la CNIL. Elle permet aussi de négocier directement les clauses de non-réutilisation, de localisation et de réversibilité, offrant une maîtrise contractuelle qu'un fournisseur hors UE ne garantit pas.

Comment auditer la conformité d'un algorithme utilisé par un service RH ?

L'audit vérifie quatre points : la base légale RGPD du traitement des données de candidats, l'existence d'une analyse d'impact, la présence de tests de biais statistiques, et la traçabilité d'une supervision humaine sur les décisions. Un système de tri de CV relevant du haut risque, ces contrôles doivent être documentés et présentés au comité de surveillance.

Quelles sont les conséquences d'une non-conformité à l'AI Act pour une entreprise française ?

Le régime de sanctions entre en application le 2 août 2026. Au-delà des amendes, une non-conformité expose à des contentieux, à l'exclusion d'appels d'offres exigeant des garanties de conformité, et à une atteinte réputationnelle. Le détail des montants et de leur graduation est précisé dans le guide dédié aux sanctions.

Comment mettre en place une supervision humaine efficace sur des processus automatisés ?

La supervision efficace suppose un point de contrôle humain identifié, doté du pouvoir réel d'interrompre ou de corriger la décision, et tracé dans les journaux du système. Elle proscrit l'automatisation intégrale des décisions à fort impact. Chaque intervention humaine doit être auditable pour démontrer, en cas de litige, que l'entreprise a conservé la maîtrise du processus.

Pour aller plus loin avec IAPRO

La gouvernance IA ne s'improvise pas en salle de Conseil. IAPRO accompagne les PME et ETI dans l'audit de leur parc d'IA, la construction du tableau de bord de risques et le déploiement de solutions souveraines on-premise. Si vous préparez le prochain point IA de votre Conseil d'administration, échangeons sur votre exposition réelle et sur la formule d'accompagnement adaptée : prenez contact avec notre équipe.

Liens utiles