« Est-ce qu'on a le droit ? » C'est souvent la première question qu'un dirigeant me pose quand on parle d'un cas d'usage concret. La réponse est presque toujours oui, et elle est beaucoup moins coûteuse à obtenir qu'on ne l'imagine. À une condition : se la poser au moment du cadrage, pas trois jours avant la mise en production.
Précision utile avant d'aller plus loin : je ne suis pas juriste, cet article n'est pas un avis juridique. C'est une grille de lecture pour savoir quand il faut en demander un.
La logique du texte : ce n'est pas l'outil qui compte, c'est l'usage
L'erreur la plus fréquente consiste à chercher si tel modèle ou tel éditeur « est conforme ». Le règlement européen ne raisonne pas comme ça. Il classe les systèmes d'IA selon le risque qu'ils font peser sur les personnes, dans un contexte d'usage donné.
Autrement dit : le même modèle de langage peut relever d'un régime très léger quand il reformule une fiche produit, et d'un régime nettement plus encadré quand il trie des candidatures. Ce n'est pas la technologie qui change, c'est ce qu'elle décide et sur qui.
Cette bascule est la seule chose vraiment importante à retenir. Elle explique pourquoi la question « on a le droit ? » n'a jamais de réponse générale.
Les quatre étages, en langage simple
Le texte distingue quatre grandes catégories.
- Les usages interdits. Une liste courte et assez éloignée du quotidien d'une PME : notation sociale généralisée, exploitation des vulnérabilités de personnes, certaines formes de surveillance biométrique. Si tu t'y reconnais, le sujet dépasse largement l'IA.
- Le haut risque. Là où une décision automatisée ou assistée pèse sur la vie des gens : recrutement et gestion de carrière, accès au crédit, éducation, certains usages liés à la sécurité des produits. Ce régime impose une vraie documentation, une gestion des risques, une supervision humaine formalisée.
- Le risque limité. Essentiellement des obligations de transparence : dire aux personnes qu'elles interagissent avec une IA, signaler les contenus générés. C'est là que tombe la majorité des chatbots et des générateurs de contenus.
- Le risque minimal. Tout le reste, et c'est le plus gros volume : synthèse de documents internes, aide à la rédaction, classement de tickets, recherche dans une base documentaire, préparation de comptes rendus.
Dans les entreprises que j'accompagne, la répartition réelle est très déséquilibrée. L'immense majorité des cas d'usage relève du minimal ou du limité. Ce qui n'est pas une raison pour ne rien écrire, on y revient.
Les deux zones où il faut ralentir
Deux familles d'usages méritent qu'on s'arrête sérieusement avant d'avancer.
Les ressources humaines. Tri de CV, aide à la présélection, évaluation de performance, attribution de tâches. Dès qu'un système contribue à une décision qui affecte la carrière de quelqu'un, on quitte le régime tranquille. Ça ne veut pas dire « interdit », ça veut dire : documentation, supervision humaine réelle et démontrable, information des personnes concernées, et un juriste dans la boucle.
La notation de personnes. Scoring de clients, hiérarchisation de bénéficiaires, priorisation d'usagers selon un profil. Même logique. Le fait que le calcul existait déjà dans un tableur ne change rien à la qualification.
Un cas typique que je vois passer : une PME veut « faire un premier tri des candidatures » parce qu'elle en reçoit trop. L'intention est légitime. La bonne réponse est rarement le tri automatique. C'est souvent de faire résumer et structurer chaque candidature pour que le recruteur lise plus vite, sans que le système classe ou élimine. Même gain de temps, régime tout à fait différent.
Qualifier au cadrage, pas à la mise en production
Voilà le point qui fait la vraie différence économique. Qualifier le niveau de risque au moment où on choisit le cas d'usage prend une demi-heure. Le découvrir après six semaines de développement coûte le développement.
Concrètement, j'ajoute trois lignes à la fiche de cadrage de chaque cas d'usage :
Qui est affecté par la sortie du système ? Un collaborateur interne, un client, un candidat, personne ? Le système décide-t-il, ou propose-t-il à un humain qui décide ? La personne concernée sait-elle qu'une IA intervient ?
Trois réponses écrites. Si les deux premières font apparaître une décision qui engage une personne, on ne va pas plus loin sans avis juridique. Si tout est interne et supervisé, on avance en notant simplement les réponses au dossier.
C'est aussi ce qui rend le sujet gérable : tu n'as pas besoin d'un programme de conformité. Tu as besoin d'un réflexe de qualification, appliqué à chaque nouveau cas, et d'une trace de ce que tu as répondu.
Ce qui reste vrai quel que soit le niveau de risque
Même sur du risque minimal, trois choses tiennent partout et ne coûtent presque rien :
- Informer quand une personne extérieure interagit avec un système automatisé.
- Garder une trace de ce qui tourne : quel outil, pour quel usage, sous la responsabilité de qui.
- Maintenir une relecture humaine sur tout ce qui sort de l'entreprise.
Ces trois points ne sont pas de la conformité pour la conformité. Ce sont les mêmes réflexes qui rendent un système débuggable et défendable.
À faire cette semaine
Prends la liste des usages IA déjà en place chez toi, même informels. Pour chacun, écris une ligne : qui est affecté, qui décide, qui est informé. Tu identifieras en une heure les deux ou trois cas qui méritent un vrai regard juridique — et tu constateras que tous les autres tiennent debout tels quels.