L’intelligence artificielle fait désormais partie du quotidien de tous, y compris des associations, des entreprises et des administrations. D’abord utilisée pour des tâches telles que la rédaction de documents, la traduction, la recherche d’informations ou la synthèse de contenus, elle est aujourd’hui également intégrée à des processus plus structurés, notamment dans les domaines des ressources humaines, de la relation avec les usagers ou les partenaires, de la conformité, des achats, de la cybersécurité ou encore de la gestion de projets.
Dans ce contexte, l’objectif n’est plus seulement de se demander s’il faut recourir à l’intelligence artificielle, mais dans quelles conditions son utilisation peut être encadrée de manière responsable et juridiquement sécurisée.
Cet article propose quelques repères pour mieux comprendre les principaux apports de l’AI Act, identifier les principaux points de vigilance et présenter quelques bonnes pratiques adaptées aux associations et aux entreprises.
La question n’est plus seulement « peut-on utiliser l’IA ? », mais « pour quel usage, avec quelles données, avec quelles garanties, sous quelle supervision humaine et sous quelle responsabilité ? »
1. Pourquoi sensibiliser à l’IA ?
L’IA peut donner l’impression d’être un simple outil du quotidien, facile d’accès et utilisable sans compétences techniques particulières.
Pourtant, certains usages de l’intelligence artificielle sont susceptibles de présenter des risques pour la santé, la sécurité ou les droits fondamentaux.
Cette logique explique notamment pourquoi le cadre européen prévoit des obligations différentes selon les caractéristiques et les usages des systèmes d’intelligence artificielle.
La sensibilisation est donc essentielle afin d’éviter une banalisation des usages.
Selon les situations, l’IA peut notamment entraîner :
- le traitement non maîtrisé de données personnelles ;
- la divulgation d’informations confidentielles ;
- des biais ou discriminations ;
- la production de contenus inexacts ;
- une supervision humaine insuffisante ;
- des difficultés à identifier les responsabilités en cas d’erreur, d’incident ou de dommage.
La bonne question n’est donc pas seulement « Peut-on utiliser l’IA ? », mais plutôt :
« Pour quel usage, avec quelles données, avec quelles garanties, sous quelle supervision humaine et sous quelle responsabilité ? »
2. Le cadre européen : l’AI Act et l’approche par les risques
L’AI Act, Règlement (UE) 2024/1689, est entré en vigueur le 1er août 2024. Son application est progressive : certaines dispositions s’appliquent déjà, tandis que d’autres entrent progressivement en application selon le calendrier prévu par le règlement.
Il établit un cadre harmonisé pour le développement, la mise sur le marché et l’utilisation des systèmes d’intelligence artificielle dans l’Union européenne.
Sa logique repose sur une idée centrale : les obligations applicables dépendent notamment du niveau de risque et de l’usage du système d’IA.
Risque inacceptable
Certaines pratiques sont interdites lorsqu’elles correspondent aux usages prohibés par le règlement.
Cela concerne notamment certaines pratiques de manipulation, de notation sociale, de police prédictive ou encore certaines utilisations de la reconnaissance des émotions sur le lieu de travail.
Haut risque
Certains systèmes peuvent être autorisés mais sont soumis à des obligations renforcées.
Figurent notamment dans cette catégorie certains systèmes utilisés dans des domaines sensibles, tels que le recrutement et la gestion des candidatures, ainsi que certains systèmes biométriques prévus par le règlement.
Pour ces usages, l’enjeu est d’assurer une gouvernance plus stricte, notamment en matière de :
- qualité et gouvernance des données ;
- transparence ;
- supervision humaine ;
- traçabilité ;
- robustesse technique ;
- cybersécurité.
Obligations de transparence
Certains systèmes ou contenus sont soumis à des obligations spécifiques d’information ou de transparence.
L’objectif est notamment de permettre aux personnes concernées de savoir, dans les situations prévues par le règlement, qu’elles interagissent avec un système d’IA ou qu’elles sont exposées à certains contenus générés ou manipulés artificiellement.
Autres usages
De nombreux usages ne relèvent pas des catégories précédentes ou des obligations spécifiques applicables aux systèmes à haut risque.
Cela ne signifie cependant pas qu’ils sont dépourvus de risques ou de règles.
D’autres cadres juridiques peuvent rester applicables, notamment :
- le RGPD ;
- le droit des contrats ;
- la propriété intellectuelle ;
- la responsabilité civile ;
- le droit du travail ;
- les réglementations sectorielles applicables.
L’AI Act distingue également les rôles des acteurs concernés, notamment le fournisseur (provider), qui développe ou met le système d’IA sur le marché dans les conditions prévues par le règlement, et le déployeur (deployer), qui l’utilise dans le cadre de son activité.
Cette distinction est importante, car elle influence la répartition des obligations, des garanties et des responsabilités, notamment dans les contrats.
3. De l’outil à l’usage : les risques concrets pour les organisations
Après avoir identifié la logique générale de l’AI Act et son approche par les risques, il est utile de revenir aux usages concrets au sein des organisations.
En pratique, la vigilance ne porte pas seulement sur la qualification juridique du système d’IA, mais aussi sur les conditions dans lesquelles l’outil est choisi, utilisé, contrôlé et intégré aux processus internes.
L’utilisation des données
L’utilisation des données constitue un premier point de vigilance.
Avant d’utiliser un outil d’IA, il convient de vérifier quelles données peuvent y être saisies. À défaut, il existe un risque d’y introduire :
- des données personnelles ;
- des informations confidentielles ;
- des données sensibles ;
- des éléments protégés par le secret des affaires.
La facilité d’utilisation d’un outil ne doit donc pas conduire à négliger la nature des informations qui lui sont transmises.
La qualité des résultats
Les assistants IA peuvent faciliter la rédaction, la traduction, la synthèse ou la recherche d’informations, mais leurs réponses doivent être vérifiées.
Un résultat convaincant en apparence peut être :
- incomplet ;
- inexact ;
- obsolète ;
- insuffisamment sourcé ;
- inadapté au contexte.
La qualité rédactionnelle d'une réponse ne garantit pas son exactitude.
Les décisions concernant les personnes
Les décisions concernant les personnes nécessitent une attention particulière, notamment en matière de recrutement, de présélection de candidatures, d’évaluation ou de certains systèmes de notation.
Dans ces situations, les enjeux de biais, de discrimination, de transparence et de supervision humaine doivent être pris très au sérieux.
Les relations contractuelles
Lorsqu’une solution, un service ou un partenariat implique l’usage de l’IA, l’absence de cadrage contractuel peut rendre difficile l’identification :
- de l’usage autorisé ;
- du rôle de chaque partie ;
- des garanties attendues ;
- de la répartition des responsabilités.
La gouvernance interne
Sans cadre commun, les usages peuvent se développer de manière dispersée : outils différents, pratiques hétérogènes, absence de registre, manque de formation ou responsabilités mal identifiées.
La gouvernance de l’IA devient donc également un enjeu organisationnel.
4. Les bonnes pratiques à adopter
Encadrer l’IA ne signifie pas bloquer tous les usages.
Il s’agit plutôt de mettre en place une démarche progressive, adaptée à la taille, aux moyens, aux activités et aux risques de l’organisation.
Cartographier les usages
Identifier les outils utilisés, les équipes concernées, les objectifs poursuivis, les données traitées et le niveau d’autonomie de l’outil.
Évaluer et valider les outils
Avant un usage professionnel régulier ou sensible, vérifier notamment les conditions contractuelles, le traitement des données, la sécurité, la conservation des informations saisies et les modalités de supervision humaine.
Former et sensibiliser les équipes
Les utilisateurs doivent connaître :
- les possibilités de l’outil ;
- ses limites ;
- les informations qui ne doivent pas y être introduites ;
- les risques d’erreur ;
- les procédures à suivre en cas de doute ou d’incident.
L’objectif n’est pas uniquement d’apprendre à utiliser l’IA, mais également de savoir quand ne pas l’utiliser ou quand demander une validation supplémentaire.
Adapter les documents internes
Selon les besoins de l’organisation, plusieurs dispositifs peuvent être envisagés :
- une charte d’utilisation de l’IA ;
- une politique interne ;
- un registre des usages ;
- des clauses contractuelles adaptées ;
- des procédures de validation ;
- une procédure de gestion des incidents.
Ces dispositifs permettent notamment de préciser les usages autorisés, les garanties attendues et la répartition des responsabilités.
Organiser les responsabilités
La gouvernance peut nécessiter une coordination entre plusieurs fonctions :
JURIDIQUE → DPO → INFORMATIQUE → CYBERSÉCURITÉ → RH → ACHATS → MÉTIERS → CONFORMITÉ / ÉTHIQUE
Toutes les organisations ne disposent évidemment pas de l’ensemble de ces fonctions.
L’essentiel est d’identifier clairement qui autorise, qui contrôle, qui conseille et qui intervient en cas d’incident.
Assurer une traçabilité adaptée
Pour les usages qui le nécessitent, il peut être utile de documenter :
- les outils utilisés ;
- les validations ;
- les limites identifiées ;
- les contrôles réalisés ;
- certaines décisions importantes.
L’objectif n’est pas de créer une bureaucratie autour de chaque utilisation de l’IA, mais d’adapter le niveau de contrôle au niveau de risque.
Encadré pratique — Utiliser l’IA dans une association
Une association peut utiliser l’intelligence artificielle pour la rédaction, la communication, la traduction, la synthèse de documents, la recherche d’informations, la gestion de projets ou certaines tâches administratives.
Même dans une petite structure reposant principalement sur des bénévoles, quelques règles simples permettent de réduire les risques.
Avant d’utiliser un outil d’IA
- Identifier précisément l’usage recherché.
- Vérifier si l’outil est adapté à un usage associatif ou professionnel.
- Éviter de transmettre inutilement des données personnelles, sensibles ou confidentielles.
- Anonymiser les informations lorsque l’identité des personnes n’est pas nécessaire.
- Vérifier les informations produites avant de les réutiliser ou de les publier.
- Maintenir une validation humaine pour les contenus ou décisions importants.
Quelques exemples concrets
Rédiger un article ou une publication : vérifier les faits, les sources et le contenu avant publication.
Résumer un document interne : vérifier préalablement s’il contient des informations confidentielles ou personnelles.
Analyser des candidatures de bénévoles : renforcer la vigilance concernant les données personnelles, les biais et les décisions concernant les personnes.
Traduire un document : éviter de transmettre des informations sensibles à un outil dont les conditions de traitement ne sont pas connues.
Préparer un compte rendu : anonymiser les informations personnelles lorsqu’elles ne sont pas nécessaires.
Effectuer une recherche : contrôler les informations obtenues à partir de sources fiables avant de les réutiliser.
Une règle simple
Pas de donnée sensible sans nécessité, pas de publication sans vérification et pas de décision importante sans contrôle humain.
Pour une petite association, il n’est pas nécessaire de construire immédiatement une gouvernance complexe. Une charte IA courte, quelques règles concernant les données, une liste d’outils autorisés et l’identification d’un responsable peuvent déjà constituer une première base.
L’encadrement pourra ensuite évoluer progressivement avec les usages, les risques, les obligations applicables et les retours d’expérience.
5. Une dimension internationale : l’exemple du Brésil
Dans un environnement international, la vigilance devient encore plus importante.
L’AI Act constitue un cadre européen majeur dans un contexte où les outils, les prestataires, les infrastructures techniques et les flux de données dépassent fréquemment les frontières.
Il s’inscrit également dans une dynamique plus large, dans laquelle plusieurs pays réfléchissent à l’encadrement juridique de l’intelligence artificielle.
L’exemple du Brésil illustre cette dynamique internationale. Les travaux menés autour d’un cadre juridique consacré à l’IA accordent notamment une attention aux risques, aux droits des personnes, à la transparence et à la gouvernance des systèmes.
Indépendamment de l’évolution de ce cadre spécifique, les usages de l’IA au Brésil restent également concernés par les règles existantes, notamment en matière de protection des données personnelles, de droit du numérique et de responsabilité.
Pour les organisations intervenant dans plusieurs pays, cette dimension internationale appelle notamment une attention particulière :
- aux données utilisées ;
- aux prestataires ;
- aux transferts éventuels de données ;
- aux responsabilités contractuelles ;
- aux réglementations applicables dans les différents environnements concernés.
Un même outil d’intelligence artificielle peut être utilisé dans plusieurs environnements juridiques : sa gouvernance doit donc également intégrer cette dimension internationale.
Points de vigilance
« Un outil d’IA accessible au grand public peut être utilisé librement dans une organisation »
Non.
L’accessibilité d’un outil ne signifie pas qu’il soit adapté à tous les usages professionnels ou à toutes les catégories de données.
« Une réponse produite par une IA est fiable lorsqu’elle paraît convaincante »
Non.
La qualité rédactionnelle d’une réponse ne garantit ni son exactitude, ni son actualité, ni son adaptation au contexte.
« Utiliser un prestataire externe transfère toute la responsabilité au fournisseur »
Non.
L’organisation utilisatrice peut conserver des obligations propres liées à la manière dont elle déploie et utilise le système.
« Encadrer l’IA signifie empêcher son utilisation »
Non.
Une gouvernance proportionnée vise au contraire à permettre les usages pertinents tout en maîtrisant les risques associés.
Ce qu’il faut retenir
L’intelligence artificielle offre de réelles opportunités pour les associations, les entreprises et les administrations.
Son utilisation doit cependant être adaptée à la nature de l’usage, aux données concernées et aux risques associés.
L’AI Act introduit un cadre européen dont l’application est progressive.
La protection des données, la confidentialité, la qualité des résultats et la supervision humaine constituent des points de vigilance essentiels.
La gouvernance de l’IA doit rester proportionnée à la taille, aux moyens et aux activités de l’organisation.
Former les utilisateurs et clarifier les responsabilités constituent des éléments essentiels d’une utilisation responsable.
Perspectives
L’intelligence artificielle continuera à s’intégrer progressivement dans les activités des associations, des entreprises et des administrations.
Les organisations devront donc développer une approche permettant de concilier innovation, efficacité, conformité et maîtrise des risques.
Cette évolution suppose notamment de renforcer :
- la connaissance des usages ;
- la formation ;
- la gouvernance des données ;
- la supervision humaine ;
- la cybersécurité ;
- la veille juridique et réglementaire ;
- la capitalisation des retours d’expérience.
Les règles internes devront également évoluer avec les technologies, les usages et les réglementations.
La gouvernance de l’intelligence artificielle doit ainsi s’inscrire dans une démarche d’amélioration continue.
Comprendre pour mieux agir
L’intelligence artificielle offre de réelles opportunités pour les associations et les entreprises : gain de temps, aide à la rédaction, amélioration de certains processus et accès facilité à l’information.
Le bon réflexe n’est ni de refuser l’IA, ni de l’adopter sans cadre.
Il consiste à comprendre les usages, vérifier les outils, former les équipes, adapter les documents internes, clarifier les responsabilités et maintenir une supervision humaine adaptée.
Dans ce contexte, la sécurité juridique repose sur une démarche progressive :
IDENTIFIER → ENCADRER → FORMER → VÉRIFIER → DOCUMENTER → AMÉLIORER
Utilisée de manière responsable, l’intelligence artificielle peut devenir un véritable levier de performance, de confiance et d’innovation.
Comprendre les usages et leurs risques constitue l’une des premières conditions pour utiliser l’intelligence artificielle avec discernement.
Sources et références recommandées
- Union européenne — Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle
- Commission européenne — ressources institutionnelles relatives à l’AI Act
- CNIL — ressources relatives à l’intelligence artificielle et à la protection des données personnelles
- Autorité nationale de protection des données du Brésil (ANPD)
- Travaux institutionnels et législatifs brésiliens relatifs à l’encadrement de l’intelligence artificielle
Publication ADESS – Sensibilisation / Intelligence artificielle
ADESS – Association des Experts en Sécurité et Sûreté
Cette publication présente des éléments généraux de sensibilisation relatifs à l’utilisation responsable de l’intelligence artificielle. Elle ne constitue pas un avis juridique et ne remplace pas l’analyse des textes, obligations et réglementations applicables à une situation particulière.
Luana CRISPIM - ID :
