AI Act : l’angle mort des entreprises est l’IA qu’elles utilisent sans le savoir
En vigueur depuis début août, l’AI Act met fin à l’illusion d’une responsabilité limitée : les entreprises doivent reprendre le contrôle et répondre de l’ensemble des IA intégrées à leur écosystème.
Début août, une nouvelle étape de l’AI Act est entrée en vigueur. Beaucoup de dirigeants se sont interrogés : « Sommes-nous concernés ? » Cette question est déjà mal posée.
L’AI Act ne concerne pas uniquement les entreprises qui développent des modèles d’intelligence artificielle. Elle s’applique également à toutes celles qui utilisent, parfois à leur insu, l’intelligence artificielle développée par d’autres.
L’angle mort des entreprises : l’IA qu’elles utilisent sans le savoir
Depuis quelques années, les entreprises réfléchissent à leur stratégie en matière d’IA. Faut-il déployer un chatbot ou automatiser certaines tâches ? Pendant que les comités de direction débattent des chartes d’usage, l’IA s’est déjà immiscée dans tous les services.
Elle est présente dans les CRM, les ERP, les logiciels RH, les outils marketing et les assistants bureautiques. Les solutions développées par les prestataires sont omniprésentes, sans oublier cette « IA fantôme » échappant à toute gouvernance : un collaborateur qui utilise son abonnement personnel à un LLM, un développeur qui génère du code avec un assistant IA, une équipe marketing qui produit des visuels via un outil non référencé. D’après une étude de YouGov pour Microsoft, 61 % des utilisateurs en entreprise utilisent des IA via leurs comptes personnels au moins une fois par semaine, et 38 % quotidiennement.
La question à se poser est alors passée de : « Utilisons-nous l’IA ? » à : « Savons-nous seulement où elle se trouve ? »
La conformité de l’IA : nouveau critère de sélection entre partenaires
L’AI Act ne fait pas de l’intelligence artificielle un enjeu réglementaire, mais un sujet commercial. Demain, un grand groupe ne demandera plus seulement à un fournisseur ce qu’il vend, mais également quelles intelligences artificielles interviennent dans son produit, comment elles sont supervisées, quelles données elles utilisent, et comment les décisions automatisées peuvent être expliquées. La gouvernance de l’IA devient ainsi un critère de confiance, conditionnant l’accès au marché.
Les entreprises perçoivent ce sujet davantage comme une question commerciale qu’une préoccupation de sécurité et d’éthique. Ce changement de paradigme est significatif. Jusqu’ici, la conformité était un exercice documentaire ; avec l’AI Act, elle devient une preuve d’ingénierie. Il ne suffira plus de déclarer une vertu, il faudra le prouver dans l’architecture des systèmes, la formation des collaborateurs et le suivi des incidents.
Reprendre le contrôle de l’invisible
Les entreprises qui pensent pouvoir résoudre le sujet en rédigeant une politique IA passent à côté de l’essentiel. Comment gouverner ce que l’on ignore ?
Il est crucial de cartographier l’existant, d’identifier toutes les IA manipulant des données de l’entreprise, y compris celles intégrées dans les logiciels du quotidien et celles utilisées par les partenaires.
Ce paradoxe de cette nouvelle étape réglementaire est frappant. Les entreprises se préparent à encadrer une intelligence artificielle qu’elles croient avoir choisie. Mais l’AI Act les oblige à reprendre le contrôle sur des usages de l’IA qui se sont développés plus rapidement que leur gouvernance.
Il ne s’agit pas d’une nouvelle obligation administrative, mais de la fin d’une illusion : celle selon laquelle une entreprise ne serait responsable que des technologies qu’elle développe elle-même. Elle devra aussi répondre de toutes celles auxquelles elle a confié une partie de son activité.
(Source : YouGov pour Microsoft)
