L’intelligence artificielle peut assister une équipe conformité, mais elle ne garantit pas la conformité d’une entreprise. Elle peut aider à classer des documents, repérer des écarts, prioriser des contrôles ou suivre des évolutions réglementaires. La décision, l’interprétation juridique, la validation des preuves et la responsabilité restent encadrées par des personnes, des procédures et les textes applicables.
Pourquoi parler d’assistance plutôt que de garantie ?
La conformité dépend du secteur, du territoire, du rôle de l’organisation et du cas d’usage. Un outil peut produire un faux positif, ne pas repérer un événement important, s’appuyer sur une donnée incomplète ou devenir obsolète après une modification réglementaire. Même un système performant sur un jeu de tests ne prouve pas que toutes ses sorties futures seront exactes.
Le règlement européen sur l’intelligence artificielle adopte une approche par les risques. Pour les systèmes à haut risque concernés, il prévoit notamment une gestion continue des risques, de la documentation, une journalisation, des informations destinées aux déployeurs, un contrôle humain, ainsi que des exigences de robustesse, d’exactitude et de cybersécurité. Ces mécanismes organisent la maîtrise du risque ; ils ne transforment pas l’IA en arbitre automatique de la conformité.
Quatre usages réalistes de l’IA pour la conformité
1. Trier et rapprocher des documents
Des techniques d’extraction et de classification peuvent aider à identifier des clauses, rapprocher une pièce d’un contrôle ou signaler un dossier incomplet. L’équipe gagne surtout un moyen de prioriser sa revue. Elle doit conserver les documents d’origine, connaître les règles de classement, tester la qualité des résultats et prévoir le traitement des exceptions.
Exemple de scénario, et non résultat client : une équipe reçoit plusieurs versions de politiques internes. Un outil peut suggérer les passages modifiés et les rattacher à un référentiel. Un responsable vérifie ensuite la portée du changement, approuve la version applicable et consigne la décision.
2. Détecter des anomalies à examiner
Sur des transactions ou des journaux techniques, un modèle peut faire remonter des événements atypiques selon les critères définis. Une anomalie n’est pas nécessairement une fraude ou une non-conformité ; c’est un signal à qualifier. Les seuils, le taux d’alertes inutiles, les cas manqués et les changements de comportement doivent être suivis dans le temps.
Cette logique complète les contrôles déterministes et l’expertise métier. Le dossier iSoluce sur l’IA et l’accélération des vérifications d’audit présente ce contexte ; il ne faut pas confondre rapidité de traitement et preuve de conformité.
3. Soutenir la veille réglementaire
Un système peut collecter des publications, proposer un résumé et orienter chaque texte vers le bon responsable. La source officielle doit rester accessible, datée et vérifiable. L’organisation doit définir les juridictions surveillées, les domaines couverts, la fréquence de revue et la personne qui décide si un changement affecte les processus internes.
4. Préparer la traçabilité d’un contrôle
L’IA peut aider à rechercher des éléments dans un corpus ou à préparer une synthèse. La piste d’audit doit néanmoins permettre de retrouver la source, la version, l’auteur de la validation et les éventuelles corrections. Une réponse générée sans référence vérifiable ne constitue pas, à elle seule, une preuve suffisante.
Méthode de déploiement contrôlé
- Inventorier le cas d’usage : préciser la décision assistée, les utilisateurs, les personnes affectées, les données, les fournisseurs et les textes applicables.
- Qualifier les risques : examiner les erreurs possibles, les discriminations, la confidentialité, la sécurité, la dépendance au fournisseur et les effets d’un usage hors périmètre.
- Définir les contrôles : organiser les droits d’accès, la validation humaine, la conservation des traces, les tests, la remontée d’incidents et une solution de repli.
- Tester sur un périmètre limité : constituer des cas représentatifs, inclure des exceptions et comparer les résultats à une référence validée par le métier.
- Mesurer et réexaminer : suivre les erreurs, les alertes, les corrections humaines, les changements de données et les évolutions réglementaires.
- Décider : documenter la mise en service, la limitation, la suspension ou le retrait du système.
Cette démarche rejoint les fonctions « Govern, Map, Measure, Manage » du cadre volontaire AI RMF du NIST. Ce cadre n’est ni une certification ni une liste universelle d’obligations : il aide à structurer la gouvernance, la compréhension du contexte, la mesure et le traitement des risques.
Données personnelles et décisions automatisées
Lorsqu’un système d’IA traite des données personnelles, les principes du RGPD restent applicables. La CNIL rappelle notamment la nécessité d’une finalité déterminée, légitime et explicite. Selon le cas, il faut aussi examiner la base légale, la minimisation, la durée de conservation, l’information des personnes, la sécurité et l’exercice des droits.
Une vigilance particulière s’impose lorsqu’une personne fait l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou l’affectant de manière significative. Une validation humaine de façade ne suffit pas : l’intervenant doit disposer des compétences, de l’autorité et du temps nécessaires pour examiner la situation, comprendre les limites de la sortie et contester le résultat si besoin.
Questions à poser avant de choisir un outil
- Quelles données entrent dans le système, où sont-elles traitées et combien de temps sont-elles conservées ?
- Peut-on retrouver la source d’une alerte ou d’un résumé ?
- Quels tests couvrent le contexte réel, les cas rares et les groupes potentiellement affectés ?
- Qui valide, corrige, suspend et documente le système ?
- Comment les changements du modèle, du fournisseur ou de la réglementation sont-ils suivis ?
- Quelle procédure s’applique si l’outil est indisponible ou produit une sortie incohérente ?
Décider entre expérimentation, accompagnement et formation
Une expérimentation interne peut convenir à un usage limité, réversible et sans donnée sensible, si l’équipe sait évaluer les résultats. Un accompagnement est préférable lorsque le processus touche plusieurs métiers, des données personnelles, des décisions importantes ou un cadre sectoriel. Une formation aide les équipes d’audit et de conseil à construire un langage commun, cadrer les cas d’usage et exercer leur jugement sur des scénarios concrets.
Pour approfondir, consultez la formation IA dans le conseil et l’audit, parcourez les formations iSoluce ou contactez l’équipe afin de préciser le contexte. Ces échanges ne remplacent pas l’analyse d’un conseil juridique ou d’un spécialiste de la conformité lorsque l’enjeu l’exige.
French