AI Act : les usages interdits, impossible à rendre conformes

AI Act : les usages interdits, impossible à rendre conformes

L’AI Act impose des interdictions absolues sur certains usages d’IA qui touchent aux droits fondamentaux. Aucun audit ni garde-fou ne permet de les rendre conformes : il faut les abandonner.

L’Article 5 cible ceux qui menacent directement les droits fondamentaux. Ces interdictions obligent les entreprises à abandonner des projets, même prometteurs. Elles doivent aussi documenter ces renoncements et intégrer les limites dans une charte IA alignée sur le RGPD.

Anne-Angélique de Tourtier, experte en privacy et gouvernance IA, explique pourquoi ces lignes rouges ne bougent pas et comment les détecter tôt.

Six grandes catégories interdites par l’Article 5

L’AI Act cible les impacts sur l’humain, pas la technologie elle-même. L’Article 5 liste six usages prohibés dès qu’ils portent atteinte à la dignité, la vie privée, l’égalité ou encore la justice.

• La manipulation cognitive arrive en tête. Un jeu vidéo qui insère des messages subliminaux pour inciter un enfant à des actes dangereux tombe sous le coup de l’Art. 5, 1.a.

• L’exploitation de vulnérabilités suit. Un algorithme qui repère une fragilité financière et pousse à un crédit toxique (Art. 5, 1.b).

• Le scoring social est fermement rejeté. Art. 5, 1.c, l’Europe refuse le modèle du bon citoyen noté par l’État. La reconnaissance biométrique en temps réel dans l’espace public reste interdite à des fins répressives, sauf menace terroriste imminente (Art. 5, 1.h).

• L’Art. 5, 1.e banni la police prédictive individuelle. On ne peut pas prédire une infraction future sur le seul profilage d’une personne.

• Enfin, l’inférence émotionnelle au travail ou à l’école est prohibée. Juger fatigue ou engagement d’un salarié via ses traits faciaux viole l’Art. 5, 1.f.

Anne-Angélique de Tourtier note que ces catégories sont posées, mais le défi sera vraisemblablement jurisprudentiel. En effet, des notions comme la « manipulation » restent floues et peuvent être sujettes à interprétation.

Différence radicale entre interdit et haut risque

Les systèmes à haut risque, listés à l’Annexe III, sont autorisés, mais sous haute surveillance. Autrement dit, ces technologies exigent documentation, audits, supervision et intervention humaine obligatoire.

« En revanche, pour les usages interdits, il n’y a pas de mise en conformité possible. C’est un non absolu. » affirme Anne-Angélique de Tourtier.

Beaucoup d’entreprises n’ont pas encore intégré cette réalité et imaginent pouvoir ajuster n’importe quel projet. Le RGPD avait déjà posé des jalons avec l’Art. 22 sur la décision automatisée ; l’IA suit désormais la même trajectoire.

Par ailleurs, il y a des projets « bienveillants » qui virent au rouge. Une intention positive, comme innovation sociale, peut vite exposer à un risque juridique majeur.

Anne-Angélique illustre : « Un organisme souhaite déployer un outil d’analyse de la voix dans son service client pour « aider les agents à mieux gérer le stress ». Sur le papier, c’est de l’optimisation. Mais si cet outil déduit des émotions sans base légale ou sert à évaluer l’agent, on frôle l’interdiction de l’inférence émotionnelle en milieu professionnel. ».

Anne-Angélique de Tourtier rappelle aussi que l’IA n’a rien d’intelligent, elle n’est que le miroir de ce qu’on lui donne. Il y a donc un risque de corrélation lié aux données sensibles.

Des données biaisées ou de mauvaise qualité permettent à l’IA de déduire des informations effacées. C’est là que le rôle du Data Analyst, coordonné par un Digital Ethic Officer, devient crucial. Ces nouveaux postes permettent de surveiller « ce qu’on donne à manger » à l’IA.

C’est par une maîtrise des règles de gestion et des audits de biais réguliers (conformément à l’Art. 10) que l’on s’assure que la machine ne réintroduise pas de discriminations indirectes par des chemins détournés.

Shadow IA et opacité des briques cloud

Des technologies interdites peuvent se glisser dans des solutions cloud ou data sans alerter l’acheteur. Une vidéoprotection « intelligente » analyse parfois genre ou émotions des passants en arrière-plan.

« C’est le piège du « Shadow IA » (…) Le risque est technique, mais la responsabilité, elle, reste bien juridique. » Toutefois, Anne-Angélique de Tourtier rassure que cet enjeu majeur va devoir évoluer.

Les fournisseurs devront fournir des notices obligatoires d’ici l’été 2026. Et les entreprises doivent exiger documentation et transparence contractuelle.

« Une PME n’aura raisonnablement pas les moyens d’auditer le code source d’un géant du Cloud, et la transparence totale peut être une illusion technique. Mais maîtriser, c’est au moins chercher à sortir de l’opacité : savoir ce qu’on achète, exiger une documentation sérieuse et une transparence contractuelle. »

Documenter le renoncement devient alors la nouvelle preuve de maturité. L’AI Act oblige à tracer les projets abandonnés pour raisons d’interdiction.

« Documenter pourquoi vous avez décidé de ne pas lancer un projet prouve à l’autorité de contrôle que votre gouvernance fonctionne. Dire : « Nous avons identifié ce risque et nous avons renoncé à cet usage » est le signe d’une entreprise responsable, » explique Anne-Angélique.

Le document sert aussi de référence future : il justifie un éventuel redémarrage sous conditions strictes ou un maintien à l’arrêt.

Bâtir un socle de confiance durable

L’AI Act impose, de manière indirecte, une collaboration étroite entre innovation, data et DPO. Le DPO n’agit plus en fin de chaîne.

« Pour que la conformité ne soit plus un contrôle technique subi en fin de projet, elle doit devenir une collaboration initiale : le DPO n’est pas un censeur, mais un copilote qui aide les équipes Data et Innovation à bâtir un socle de confiance pérenne. »

Le défi consiste à confronter le millefeuille législatif à la réalité du terrain. Selon cet expert d’Adequacy, il est possible de concurrencer les géants d’outre-Atlantique tout en respectant nos règles. « C’est un pari audacieux : prouver que l’on peut allier performance, conformité et éthique. »

« Mais sans investissement massif des pouvoirs publics dans nos solutions nationales et européennes, les systèmes d’IA dominants resteront une tentation évidente. La conformité est notre assurance-vie : elle nous évite de bâtir sur des fondations instables et de devoir tout débrancher le jour où le système devient incontrôlable. » ajoute-t-elle.

Pour finir, une charte IA doit bien évidemment s’aligner sur la politique RGPD. Cette concordance fixe les interdits même quand la technique les permet.

« Ce document doit devenir aussi essentiel que le règlement intérieur. C’est ce qui transforme une contrainte légale en une véritable culture d’entreprise forte » insiste Anne-Angélique de Tourtier.