Être en conformité avec l’IA Act ne suffit pas à définir les conditions dans lesquelles une entreprise peut utiliser l’IA. Réglementation, engagements contractuels, choix des solutions et règles internes se combinent pour définir un cadre d’usage. Chez CGI, le choix a été fait de poser des règles claires pour accélérer l’adoption. Tour d’horizon avec Thibaud Cacaly, directeur juridique chez CGI en France pour qui l’enjeu est de rendre ce cadre suffisamment clair et opérationnel pour permettre aux équipes d’avancer en confiance.
L’IA Act est souvent présenté comme une menace pour tirer de la valeur avec l’IA.
L’IA Act est un texte structurant et ambitieux, mais sa logique est avant tout proportionnée aux risques : il interdit certains usages jugés incompatibles avec nos valeurs européennes et encadre plus fortement ceux susceptibles de présenter des risques importants pour la santé, la sécurité ou les droits fondamentaux.
Pour le reste, il laisse une place importante à l’usage et à l’innovation. Cela ne signifie évidemment pas une absence de règles : à ce cadre réglementaire viennent s’ajouter les autres législations applicables, mais aussi les règles que les entreprises se donnent à elles-mêmes et celles qu’elles définissent contractuellement.
Quel rôle joue alors le contrat dans l’encadrement de l’IA ?
Un rôle essentiel : Si les clauses spécifiquement consacrées à l’IA sont relativement récentes, son utilisation était déjà encadrée par des engagements plus traditionnels, auxquels s’ajoutent aujourd’hui des attentes très variables selon les clients, leur activité et les enjeux propres aux services concernés.
Nos règles internes permettent de traiter un socle commun de risques liés à l’utilisation de l’IA. Le contrat permet ensuite d’aller plus loin : adapter nos engagements au contexte et aux attentes de chaque client, tout en définissant clairement dans quelles conditions l’IA peut être utilisée pour délivrer nos services.
Comment faire en sorte que les équipes ne soient pas bloquées par ces exigences contractuelles ?
Le véritable enjeu est de rendre ces règles opérationnelles. Le risque n’est pas seulement d’enfreindre une règle, mais aussi de ne pas savoir suffisamment rapidement quelle règle s’applique à un usage donné. La direction juridique de CGI en France a donc développé un outil interne d'analyse contractuelle capable d'examiner les contrats et leurs annexes afin d'identifier les clauses qui encadrent l'utilisation de l'intelligence artificielle. On doit pouvoir repérer une restriction avant d'intégrer un usage IA dans le delivery, pas la découvrir après coup.
Au-delà de cet outil, les équipes doivent voir en un coup d'œil les outils autorisés, les données qu'elles peuvent utiliser et les cas qui exigent une validation. C'est ça, une gouvernance qui sécurise sans ralentir.
Lorsque le recours à l’IA est possible, peut-on pour autant utiliser n’importe quelle solution ?
Non. Une solution n'est référencée que si elle répond à nos standards de sécurité, avec une localisation maîtrisée pour le stockage et l'inférence, et des garanties claires en matière de propriété intellectuelle et de contrefaçon. Certaines solutions, pourtant attractives, sont écartées parce qu'elles ne les atteignent pas.
Un même outil peut ainsi être parfaitement adapté à certains usages et ne pas l'être à d'autres, tout dépend de l'environnement dans lequel il est déployé et des données qui lui sont transmises.
Peut-on vraiment définir une règle commune pour tous les usages de l’IA ?
Non, parce qu’il n’existe pas une réponse unique à tous les usages de l’IA. Le cadre juridique fixe certaines limites, mais il laisse aussi aux entreprises de nombreux choix : quels usages développer, quels outils autoriser, quelles données peuvent leur être confiées et quels contrôles mettre en place.
Chez CGI, nous avons par exemple défini des restrictions selon la sensibilité des informations manipulées. Certaines données ne doivent jamais être exposées à l'IA : des opérations de fusion-acquisition, des résultats financiers non encore publiés, ou certaines données personnelles. Avant d'utiliser un outil, il faut donc savoir quelles données vont être traitées, dans quel environnement et avec quelles garanties.
Les entreprises évoluent pourtant dans un même cadre réglementaire européen. Qu’est-ce qui fait la différence en matière de maturité ?
La préparation. Chez CGI, nous avons anticipé la transformation profonde du cadre réglementaire applicable au numérique, dont l’IA Act n’est qu’une composante. Formation des équipes, évolution de nos modèles contractuels et de nos capacités d’engagement, identification des cas d’usage sensibles : nous avons progressivement adapté notre organisation à ce nouvel environnement.
Nous ne découvrons pas les contraintes au moment où un projet se présente, mais disposons en amont du cadre nécessaire pour accompagner son développement.
La conformité peut-elle accélérer l’adoption de l’IA plutôt que la ralentir ?
Oui, c’est tout le paradoxe. Plus une organisation maîtrise les limites de l’IA, plus elle peut avancer vite. Des règles claires sur les outils, les usages et les données permettent aux équipes de savoir immédiatement jusqu’où elles peuvent aller et d’agir en confiance.
Une conformité bien conçue ne se contente donc pas de protéger l’entreprise. Lorsqu'elle est suffisamment claire et opérationnelle, elle facilite le déploiement de l’IA et la création de valeur !
