Introduction

L’orientation de l’Intelligence Artificielle (IA) vers le bien commun constitue un socle essentiel de la confiance numérique, dépassant la stricte conformité réglementaire pour interroger la finalité même des technologies déployées.

Le Règlement (UE) 2024/1689 sur l’IA (AI Act ou RIA) incarne cette ambition en établissant un cadre juridique harmonisé qui promeut une IA « axée sur l’humain et digne de confiance », tout en garantissant un niveau élevé de protection de la santé, de la sécurité et des droits fondamentaux consacrés dans la Charte des droits fondamentaux de l’Union européenne — y compris la démocratie, l’État de droit et la protection de l’environnement (considérant 1). L’IA doit ainsi rester un outil au service des personnes, visant à améliorer le bien-être humain, et non à s’y substituer ou à porter atteinte à l’autonomie individuelle.

Le règlement met en garde contre les usages dévoyés de l’IA — pratiques de manipulation, d’exploitation ou de contrôle social — explicitement interdites car contraires aux valeurs de l’Union : dignité humaine, liberté, égalité, démocratie et État de droit, ainsi qu’aux droits fondamentaux comme la non-discrimination, la protection des données, la vie privée et les droits de l’enfant (considérants 27 à 29). Les systèmes d’IA doivent être conçus pour prévenir la perte du libre arbitre humain, l’homogénéisation des sociétés, et pour favoriser la diversité et l’inclusivité, conformément à l’approche fondée sur les risques et à la nécessité d’une supervision humaine effective (considérant 27).

En interdisant certaines pratiques inacceptables (pratiques manipulatrices, notation sociale, catégorisation biométrique sur des critères sensibles), en posant des exigences strictes pour les systèmes d’IA (SIA) à haut risque, et en exigeant transparence, robustesse et contrôle humain, le cadre du Règlement IA vise à instaurer une IA de confiance, au service des citoyens et des valeurs fondamentales de l’Union.

Une IA de confiance ne se limite donc pas à la performance technique : elle implique que les systèmes soient conçus, déployés et gouvernés dans le respect des valeurs fondamentales, de la transparence, de l’explicabilité, de la sécurité et de la responsabilité, tout en anticipant et limitant les usages détournés ou les biais discriminatoires. Elle implique aussi des enjeux de souveraineté et de maîtrise technologique. Elle doit permettre à tout moment la compréhension et le contrôle de ses décisions, garantir la traçabilité de ses processus, prévenir les effets indésirables et rester alignée sur les intérêts et les droits des personnes.

1.Le cadre juridique de l’IA

1.1. Le règlement européen sur l’IA

Avec l’entrée en vigueur du Règlement sur l’IA, l’Union européenne franchit une étape majeure vers une régulation fondée sur la confiance, en imposant un haut niveau de protection des droits fondamentaux dans le développement et le déploiement des systèmes d’intelligence artificielle à haut risque. Le texte introduit une logique d’évaluation de l’impact de ces dispositifs et s’inscrit dans une démarche d’anticipation des risques centrée sur les personnes.

Le RIA prévoit 4 catégories pour classer les SIA en fonction de leur niveau de risque :

• SIA interdits (Art. 5) : l’utilisation de ces systèmes n’est pas autorisée, le risque associé étant inacceptable.
• SIA à haut risque (Art. 6) : niveau de risque pour lequel le RIA prévoit le plus d’exigences — documentation, qualité des données, performance, sécurité, système de gestion et d’atténuation des risques, et présence d’un contrôle humain dans le système.
• SIA avec obligations particulières de transparence (Art. 50) : exigences de transparence pour l’utilisateur.
• SIA à risque minime : pas d’obligations.

1.2. Articulation entre le Règlement IA et le RGPD

Le Règlement européen sur l’IA présente des points communs avec l’analyse d’impact relative à la protection des données prévue à l’article 35 du RGPD : toutes deux relèvent d’une approche ex ante, doivent être actualisées en cas de modification substantielle, et reposent sur une évaluation des risques fondée sur les droits. Mais leur périmètre diffère : le RGPD est centré avant tout sur la protection des données personnelles, tandis que le RIA couvre l’ensemble des droits fondamentaux consacrés par la Charte de l’UE — dignité, liberté d’expression, non-discrimination, droits des travailleurs, protection des enfants et de l’environnement (cf. article 1^er et considérant 48 du RIA).

Si le RIA et le RGPD reposent tous deux sur une approche par les risques, ils diffèrent sur les points suivants :

2.Les critères de l’IA de confiance

2.1. Transparence

La transparence désigne l’idée que toutes les parties prenantes affectées par le résultat d’un système d’IA devraient pleinement comprendre son fonctionnement interne, depuis son développement, son entraînement et son déploiement jusqu’aux facteurs qui influencent ses décisions. C’est donc le cycle de vie de l’IA qui doit être pris en compte, des données d’entraînement jusqu’au résultat issu des données fournies à l’algorithme. La réglementation européenne intègre les chaînes de responsabilité lorsque plusieurs acteurs interviennent.

Cela implique que les autorités de régulation soient en mesure, sous certaines conditions, d’examiner le code source, les données de fonctionnement et les critères de décision des algorithmes, dans le cadre des IA à haut risque. Pour ces systèmes, le principe de transparence s’applique sur plusieurs éléments.

→ La transparence des données

Cette exigence vise à s’assurer de l’exactitude et de la licéité des données utilisées par le système d’IA, et à lutter contre la discrimination qui pourrait résulter de biais. L’utilisation des données doit d’abord répondre aux principes de transparence du RGPD, notamment lors de leur utilisation pour l’apprentissage de l’algorithme, même si elles ne sont pas identifiables dans les données de sortie. Au titre de l’article 12 du RGPD (précisé aux articles 13 et 14), le responsable de traitement doit informer la personne concernée des données ou catégories de données concernées, de l’identité du responsable, des finalités et de la base juridique du traitement. Des exceptions existent en cas de collecte indirecte.

Le Règlement européen sur l’IA va au-delà et introduit une exception aux règles de protection des données, dans un objectif de correction des biais : les fournisseurs de systèmes d’IA à haut risque peuvent traiter, aux fins de la détection et de la correction des biais, des catégories particulières de données à caractère personnel. Une documentation devra être établie par le fournisseur de modèle d’IA à usage général et tenue à disposition des autorités de régulation.

→ La transparence des algorithmes

Le RIA prévoit des obligations de transparence des algorithmes tant pour les IA à usage général que pour les IA à haut risque, tout en prenant en compte les enjeux de propriété intellectuelle : les autorités de surveillance et la Commission européenne sont soumises au respect de la confidentialité des informations transmises. Des obligations moindres de transparence, via une documentation technique moins détaillée, sont transmises aux « déployeurs » (considérant 13 : « une personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant un système d’IA sous son autorité, sauf si le système d’IA est utilisé dans le cadre d’une activité personnelle non professionnelle »).

Deux obligations pèsent sur les fournisseurs :

• Élaborer et tenir à jour la documentation technique du modèle d’IA pour les autorités de contrôle.
• Élaborer et tenir à jour les informations et la documentation pour les fournisseurs d’IA souhaitant intégrer le modèle dans leur système, dans le respect des conditions de confidentialité.

Le Code de bonnes pratiques de l’IA à usage général, publié par la Commission européenne, prévoit de faire figurer notamment : les informations générales (nom du fournisseur, famille de modèle, mise sur le marché…) ; les propriétés du modèle (architecture, modalités des entrées et sorties…) ; les méthodes de distribution et de licence ; l’utilisation du modèle (politique d’usages acceptables, usages envisagés, types de systèmes d’IA d’intégration) ; le processus d’entraînement (étapes principales, spécifications techniques, paramètres…) ; les informations sur les données d’entraînement, de test et de validation (type, nombre de points de données, provenance, mesures liées aux données personnelles…) ; les ressources informatiques (hardware) ; la consommation énergétique ; et des mesures additionnelles pour les fournisseurs d’IA à risque systémique (évaluation, adaptation du modèle, architecture, test).

→ La transparence vis-à-vis des utilisateurs finaux

La législation européenne introduit également des obligations de transparence dans deux cas :

• Interaction avec une IA : les personnes concernées doivent être informées qu’elles interagissent avec un système d’IA, sauf si cela ressort clairement du contexte. Une information doit ainsi être faite pour les chatbots utilisant de l’IA.
• Résultat produit par une IA : les fournisseurs de systèmes d’IA (y compris à usage général) générant des contenus de synthèse — audio, image, vidéo ou texte — veillent à ce que les sorties soient marquées dans un format lisible par machine et identifiables comme générées ou manipulées par une IA. Cela implique de mettre en œuvre des mécanismes techniques d’identification fiables, robustes et efficaces tout au long du cycle de vie. L’AI Office publiera les guidelines correspondantes en juin 2026.

Des exceptions existent en cas d’utilisation de l’IA pour la prévention ou la détection des infractions pénales, d’enquêtes ou de poursuites, ou lorsque le contenu généré a fait l’objet d’un examen humain ou d’un contrôle éditorial et qu’une personne physique ou morale en assume la responsabilité éditoriale.

2.2. Explicabilité et auditabilité

L’IA de confiance repose sur sa capacité à être comprise, auditée et tracée tout au long de son cycle de vie : mécanismes d’explicabilité des algorithmes, documentation rigoureuse des décisions, et preuve de continuité assurant la traçabilité des actions. Plusieurs axes doivent être privilégiés.

Une documentation des algorithmes et des modèles

Les modèles doivent être documentés de manière exhaustive (méthodologie de conception, jeux de données, transformations appliquées, résultats attendus). Chaque mise à jour doit être consignée dans un registre accessible assurant la traçabilité des versions et des modifications. L’enjeu est de pouvoir démontrer à tout moment les fondements d’une décision prise par une IA — rejoignant les principes de gestion documentaire où chaque version est conservée et accessible en cas d’audit ou de litige.

Des preuves de continuité

La continuité des systèmes IA doit être garantie par des mécanismes de conservation des preuves numériques (archivage des versions de modèles, logs des actions critiques). Chaque décision automatisée doit être archivée de manière à pouvoir être réexaminée en cas de litige ou d’audit. Une approche « document management » doit intégrer la traçabilité algorithmique : chaque décision associée à un jeu de données et à une version d’algorithme spécifique.

Une explicabilité des décisions

Les modèles doivent être accompagnés d’outils d’explication permettant de retracer le raisonnement de l’IA — démarche essentielle dans les secteurs à haut risque (RH, médical, énergie, financier). Ces solutions doivent être adaptées aux profils des utilisateurs : visualisations simplifiées pour les métiers, rapports techniques pour les data scientists. Il est nécessaire de conserver des journaux pour répondre aux demandes d’explicabilité ou aux contestations. Dans le cadre du RIA, ces outils permettent aussi de démontrer la conformité des modèles en cas d’audit.

2.3. Fiabilité et robustesse

La robustesse est citée dans l’annexe IV du Règlement européen sur l’IA comme un élément déterminant. La validation de la fiabilité des SIA devra passer par des tests rigoureux (matrice de confusion, validation croisée, injection de données trompeuses…) avant le déploiement. Données de tests, tests automatisés, tests de non-régression, inventaire de la configuration de tests, logiciels, librairies tierces et résultats des tests devront être archivés / séquestrés chez une autorité tierce indépendante. Malgré ces mesures, les phénomènes d’hallucinations restent un défi majeur et demanderont une vigilance constante.

2.4. Souveraineté

La souveraineté numérique peut se définir comme la capacité à maîtriser l’ensemble des technologies sur toute la chaîne de valeur de la donnée et à identifier son degré de dépendance à des technologies extra-européennes. Les dispositifs d’IA sont d’autant plus au cœur des enjeux de souveraineté qu’ils exploitent des données pouvant être sensibles (personnelles, économiques…). Au-delà des moteurs d’IA, il convient de s’assurer que les données sont hébergées dans des environnements souverains, non soumis aux règles d’extraterritorialité. L’intégralité de ce qui compose l’IA doit être sous contrôle : investissements en R&D, matériel, données et algorithmes, réseaux, logiciels, hébergement… De nombreuses initiatives visant à définir les critères de dépendance sont en cours, via l’Observatoire du Numérique et le CSF Numérique de confiance.

2.5. Sobriété

La soutenabilité environnementale de l’IA s’impose désormais comme une priorité. Il convient de s’interroger systématiquement sur la pertinence de recourir à l’IA. Lorsque ce recours s’avère nécessaire, la sobriété doit guider chaque étape : concevoir des systèmes économes, avec une puissance de calcul et un volume de données adaptés aux besoins. Cela nécessite une gouvernance interne et d’interroger fournisseurs et prestataires sur leurs engagements environnementaux. Adopter une approche sobre contribue directement à renforcer la confiance des utilisateurs.

2.6. Supervision humaine

La supervision humaine est une pierre angulaire du RIA et une exigence fondamentale d’une IA digne de confiance. Elle assure que l’IA ne se substitue jamais à la responsabilité et à l’autonomie humaines et demeure un outil au service des personnes, en limitant la délégation de pouvoir à la technologie et en préservant le libre arbitre. Le RIA exige que les systèmes à haut risque (santé, justice, éducation, emploi, accès aux services essentiels) restent sous contrôle humain effectif, avec des mécanismes de supervision, de validation et de recours. Ce contrôle humain sur les sorties (outputs) est indispensable pour éviter que des erreurs d’appréciation, des biais ou des hallucinations produisent des conséquences dommageables, parfois irréversibles, en permettant à l’utilisateur de valider ou corriger le résultat algorithmique.

2.7. Finalité et notice d’utilisation

Le RIA indique que le fournisseur d’un SIA s’engage à transmettre une notice d’utilisation. Celle-ci joue un rôle central pour garantir la transparence, la sécurité et la conformité des systèmes, en particulier à haut risque : elle permet aux déployeurs de faire un choix éclairé et contribue à la responsabilisation des fournisseurs. Cette notice comprend :

• L’identité et les coordonnées du fournisseur du système d’IA et, éventuellement, de son mandataire.
• La destination du système d’IA.
• Le niveau d’exactitude des résultats, y compris les informations relevant de la robustesse et de la cybersécurité.
• Les circonstances connues ou prévisibles d’utilisation susceptibles d’entraîner des risques pour la santé, la sécurité ou les droits fondamentaux.
• Les capacités et caractéristiques techniques du système à fournir des informations pertinentes pour expliquer ses sorties.
• La performance du système à l’égard des personnes ou groupes de personnes spécifiques auxquels il est destiné.
• Les spécifications relatives aux données d’entrée et aux jeux de données d’entraînement, de validation et de test utilisés.
• Les informations permettant aux déployeurs d’interpréter les sorties et de les utiliser de manière appropriée.
• Les modifications du système et de sa performance prédéterminées par le fournisseur lors de l’évaluation initiale de la conformité.
• Les mesures de contrôle humain.
• Les mesures techniques facilitant l’interprétation des sorties par les déployeurs.
• Les ressources informatiques et matérielles nécessaires.
• La durée de vie attendue du système à haut risque.
• Toutes les mesures de maintenance et de suivi, y compris leur fréquence, notamment les mises à jour logicielles.
• Une description des mécanismes permettant aux déployeurs de collecter, stocker et interpréter correctement les journaux.

2.8. Non-discrimination et respect de la personne humaine

L’IA ne doit pas devenir un instrument de standardisation des comportements ou des valeurs, mais respecter la diversité des individus et des cultures. Le maintien de la diversité, la préservation de la dignité humaine et la non-discrimination constituent des critères fondamentaux d’une IA de confiance. Le considérant 27 du RIA indique que « les systèmes d’IA sont développés et utilisés comme un outil au service des personnes, qui respecte la dignité humaine et l’autonomie de l’individu ». Mesurer la capacité d’un système à respecter et favoriser les différences individuelles et culturelles devient ainsi une exigence centrale.

2.9. Éthique et équité

L’éthique et l’équité sont deux piliers fondamentaux et complémentaires d’une IA de confiance — exigence morale et légale, mais aussi condition d’acceptabilité et de confiance du grand public. L’éthique recouvre l’ensemble des valeurs et principes moraux guidant la conception et l’usage des systèmes : transparence des algorithmes, respect strict de la vie privée, prise en compte des biais des données d’entraînement, attention aux conséquences sociales, humaines et environnementales. L’équité impose une impartialité rigoureuse, garantissant que les résultats ne génèrent aucune discrimination ou injustice envers un individu ou un groupe, et une vigilance particulière quant à la diversité et la représentativité des données.

Assurer l’éthique et l’équité ne relève pas uniquement d’un défi technique : cela suppose un dialogue structuré entre ingénieurs, juristes, sociologues, experts des données et représentants des utilisateurs finaux. Ce dialogue interdisciplinaire, associé à un cadre normatif clair et partagé, est indispensable.

2.10. Sécurité

Pour un système d’IA, il s’agira de signaler les incidents et vulnérabilités en matière de cybersécurité conformément aux exigences de la directive NIS2. Une politique de divulgation coordonnée de vulnérabilité doit être mise en œuvre par l’entreprise. Par ailleurs, chaque SIA devrait disposer d’une politique de sécurité des systèmes d’information (PSSI), et l’entreprise être dotée d’un plan de continuité d’activité (PCA) et d’un plan de reprise d’activité (PRA). La norme ISO 27001 recense les mesures permettant de sécuriser un système d’intelligence artificielle.

2.11. Responsabilité

Le RIA ne traite pas directement de la responsabilité juridique en cas de dysfonctionnement d’un système d’IA, les États membres n’ayant pas trouvé d’accord sur le sujet. En l’absence de dispositions spécifiques, la répartition des responsabilités entre producteur, fournisseur ou utilisateur reste soumise aux législations nationales. En France :

• Le régime de la responsabilité du fait des produits défectueux (articles 1245 à 1245-17 du Code civil), mais ces dispositions ne s’appliquent pas en matière d’IA car non applicables aux biens incorporels. Au niveau européen, la Directive (UE) 2024/493 du Parlement européen et du Conseil du 21 février 2024 relative à la responsabilité du fait des produits défectueux abroge et remplace la Directive 85/374/CEE ; ce texte doit être transposé en droit français au plus tard le 9 décembre 2026 et s’appliquera aux solutions d’IA.
• Le droit commun de la responsabilité civile délictuelle : les articles 1240 et suivants du Code civil.
• La responsabilité du fait des choses (article 1242-1 du Code civil) : « On est responsable non seulement du dommage que l’on cause par son propre fait, mais encore de celui qui est causé par le fait des personnes dont on doit répondre, ou des choses que l’on a sous sa garde. » Elle peut aussi s’appliquer dans le cadre d’une intelligence artificielle.

3.La gouvernance nécessaire à une IA de confiance

La mise en place d’une gouvernance centrale et efficace pour les IA de confiance est un enjeu stratégique. Elle implique différentes directions (juridiques, techniques, métiers) et repose sur des piliers fondamentaux : la formation des équipes, la structuration des données et la standardisation des processus IA. Elle permet de standardiser outils et méthodes, et de mutualiser les ressources (modèles, données, bonnes pratiques). Ces méthodologies rigoureuses doivent s’appliquer aux projets internes comme externes, afin de cadrer les initiatives et d’éviter les projets non conformes.

3.1. Formation interne

L’article 4 du RIA, entré en vigueur le 2 février 2025, oblige toute organisation à être en capacité de maîtriser son système d’IA : « Les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA pour leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation. »

Les équipes doivent être formées non seulement à l’utilisation des modèles IA, mais aussi à leur explicabilité et leur auditabilité. Une collaboration avec les data scientists peut garantir la qualité et la traçabilité des données. Une gouvernance des formations pourra inclure une sensibilisation aux risques de biais algorithmiques, des méthodes de détection, et la gestion des cas de non-conformité.

3.2. Structuration des données

La gouvernance des données est un levier central : traçabilité des jeux de données, gestion des métadonnées, standardisation des formats. L’élaboration de politiques documentaires, procédures qualité ou de gouvernance — permettant de consigner les décisions IA et les versions des modèles — est essentielle pour garantir la traçabilité des données et des modèles. Des référentiels communs pourront en découler pour assurer une cohérence dans le suivi des données entre les différents départements.

3.3. Standardisation des processus IA

Pour garantir la conformité des systèmes, il est essentiel de mettre en place des standards de documentation, d’audit et de vérification des modèles. L’inclusion d’un cycle de vie documenté pour chaque projet IA permet d’aligner chaque phase (de la conception à la mise en production) sur les exigences du RIA. L’articulation avec les métiers du DPO, du RSSI ou du records management assure une gestion intégrée des preuves numériques : versionnage, sécurité, archivage électronique et réversibilité des modèles. La norme ISO 42001 « Système de management de la qualité appliquée à l’Intelligence artificielle » permet un accompagnement global — juridique, organisationnel et sécuritaire — de la mise en place et de l’utilisation d’un système d’IA.

3.4. Implication des tiers et partenaires

Un aspect clé de la gouvernance consiste à s’assurer que les fournisseurs de solutions IA respectent les mêmes exigences de transparence, d’auditabilité et de continuité que celles définies en interne. Cela inclut des clauses contractuelles sur la traçabilité des modèles, l’accès aux audits et la documentation des décisions automatisées, avec des points de contrôle réguliers.

Initiatives grand public

Pour qu’une IA soit véritablement de confiance, il ne suffit pas qu’elle soit techniquement performante ou réglementairement conforme : le public doit pouvoir se l’approprier en pleine connaissance de cause. L’IA reste trop souvent perçue comme complexe, opaque, voire menaçante. Un effort collectif de pédagogie et de sensibilisation est indispensable pour dépasser les idées reçues, éclairer les enjeux sociétaux et éthiques, et rendre accessibles ses principes de fonctionnement, ses usages et ses limites.

Le rôle des pouvoirs publics est essentiel pour impulser ces actions à grande échelle — comme les Café IA ou le plan national Osez l’IA — mais il doit être complété par la mobilisation d’entreprises, d’institutions académiques, de collectivités locales et d’associations. Ce large partenariat est la clé d’une pédagogie réussie, permettant à chacun de se forger une opinion éclairée et critique, à partir d’informations fiables et transparentes, et favorisant une appropriation active et responsable de ces technologies.

Arbre de décision

Que faut-il mettre en place pour utiliser un système d’intelligence artificielle ?

Conclusion

L’intelligence artificielle est une technologie profondément transformatrice, aux impacts majeurs sur nos économies, nos sociétés et nos vies quotidiennes. À ce titre, elle ne peut rester sans encadrement. Les réflexions autour des critères, des moyens et de la gouvernance d’une IA de confiance ne font que commencer. Si les textes réglementaires apportent des premiers jalons, de nombreux aspects restent à préciser, notamment en matière de responsabilité, de transparence ou d’éthique.

Pour garantir l’adoption d’une technologie maîtrisée et bénéfique à tous, il apparaît indispensable de l’accompagner par des règles claires, des standards partagés et une gouvernance transparente. La création d’un label d’IA de confiance constituerait ainsi une avancée majeure pour établir un cadre commun, protéger les utilisateurs et valoriser les acteurs engagés dans une démarche responsable.

La mise en place de standards et de règles communes ne pourra réussir que par la mobilisation conjointe de l’ensemble des parties prenantes : pouvoirs publics, entreprises, monde académique, société civile. C’est à ce prix que l’intelligence artificielle pourra devenir non seulement une source d’innovation, mais aussi un vecteur de progrès collectif et de confiance.