Gouvernance de l'IA en entreprise : pourquoi la conformité RGPD et IA Act ne peut plus être un sujet réservé au DPO
Conformité, RGPD, IA Act : dans beaucoup d'entreprises, ces mots renvoient directement à un service : le juridique, le DPO, parfois la DSI. Un sujet que l'on délègue, que l'on coche, et dont on espère ne plus avoir à s'occuper. C'est justement l'angle mort que j'ai voulu creuser dans ce nouvel épisode de Digital Feeling, avec Leïla Chaudhry, consultante et experte en éthique et IA responsable.
Nous avions déjà co-animé un webinaire ensemble sur ces questions, et la demande de clarification était trop forte pour s'arrêter là. Dans ce 164 ème épisode, Leïla revient sur ce qui distingue une simple mise en conformité d'une véritable gouvernance de l'IA, sur le risque très concret du Shadow IA, et sur les premières jurisprudences qui commencent à dessiner les contours de la responsabilité des entreprises.
Gouvernance de l'IA : une définition
La gouvernance de l'IA en entreprise désigne l'ensemble des règles, rôles et responsabilités permettant de savoir qui fait quoi avec l'intelligence artificielle, dans quel cadre de sécurité, avec quelles limites, et avec quelle auditabilité. Contrairement à une approche de conformité classique, elle repose sur un pilotage collectif et non sur un seul département.
Comme le rappelle Leïla Chaudhry, la gouvernance ne se décrète pas depuis un seul bureau : elle se construit dès qu'une entreprise commence à intégrer des outils liés à l'intelligence artificielle, et elle engage plusieurs fonctions à la fois.
Pourquoi la conformité IA ne peut pas reposer sur un seul service
C'est la première idée forte de cet échange : dès qu'on parle d'IA, les responsabilités s'entremêlent. Il ne s'agit pas d'opposer le juridique, la DSI ou le métier, mais de les faire travailler ensemble au sein d'un même comité de pilotage.
Leïla détaille les rôles qui doivent, selon elle, être représentés autour de la table :
- Le métier / business owner, qui prend la décision et engage l'entreprise vis-à-vis de ses clients
- L'IT, qui évalue l'architecture et la performance de la solution
- La sécurité, qui contrôle les risques cyber sur la durée de vie du système
- Le juridique et la conformité, qui posent le cadre, définissent les usages autorisés et veillent au respect des obligations
- Le DPO, sur les questions de données personnelles et d'anonymisation
L'objectif : construire une gouvernance suffisamment robuste pour que les responsabilités soient claires et partagées, plutôt que diluées.
L'erreur la plus fréquente : se renvoyer la balle
Sur le terrain, l'erreur qu'elle observe le plus souvent chez ses clients n'est pas un manque de bonne volonté, mais un jeu de ping-pong organisationnel : l'IT qui dit que ce n'est pas son ressort, le métier qui renvoie vers la sécurité ou le juridique, et personne qui n'avance vraiment. Résultat : l'innovation attend, les projets prennent du retard, et l'absence de cadre clair finit par exposer l'entreprise à un non-respect des réglementations.
Cette gouvernance n'a d'ailleurs pas besoin d'être lourde ou ultra-formalisée pour être efficace. Ce que décrit Leïla ressemble davantage à un espace de dialogue régulier entre profils non techniques et techniques, chacun apportant sa brique : le juridique pose le cadre, le métier exprime le besoin, l'IT évalue la faisabilité, le DPO signale les points d'anonymisation nécessaires.
Le Shadow IA : le risque que la RGPD n'avait pas anticipé
Deuxième sujet central de l'épisode, et sans doute le plus concret pour beaucoup d'entreprises : le Shadow IA. On connaît le Shadow IT depuis longtemps ; le Shadow IA en est le prolongement direct, à une différence près : la vitesse à laquelle il se répand.
Le Shadow IA désigne l'usage, par des collaborateurs, d'outils d'intelligence artificielle non validés par l'entreprise (souvent des LLM grand public gratuits) pour traiter des données professionnelles, parfois personnelles, confidentielles ou stratégiques.
Un chiffre partagé par Leïla lors de notre précédent webinaire donne la mesure du problème : près de 70 % des entreprises auraient déjà été concernées par du Shadow IA, sans même en avoir conscience.
Le mécanisme est souvent le même : une entreprise peut interdire l'accès à certains outils sur les postes de travail professionnels, mais rien n'empêche un collaborateur d'utiliser son smartphone personnel pour poser une question, rédiger un email, ou transmettre des informations client : noms, données personnelles, parfois des éléments confidentiels comme un brevet ou un futur modèle de véhicule pas encore annoncé.
Pourquoi les dirigeants sous-estiment ce risque
Leïla identifie plusieurs biais récurrents chez les dirigeants :
- Le biais de la fausse sécurité : penser que les données de l'entreprise sont bien protégées, alors qu'elles transitent par des outils grand public sans consentement ni cadre.
- Le biais de la taille : se dire que la CNIL cible surtout les grands groupes (Google, Amazon) et que les sanctions record ne concernent pas les PME.
- Le calcul de risque à court terme : préférer encaisser une éventuelle amende plutôt que d'investir dans la formation ou l'accompagnement, sans intégrer le coût réel d'un contrôle.
Or, comme le rappelle Leïla, la réglementation s'applique à toutes les entreprises, quelle que soit leur taille. Une sanction proportionnelle au chiffre d'affaires reste un choc financier, même pour une structure modeste.
Comment limiter le Shadow IA sans bloquer l'innovation
Interdire ne suffit pas : dans les faits, un employeur ne peut pas empêcher l'usage d'un LLM sur un terminal personnel. La réponse de Leïla repose sur trois leviers complémentaires :
- Sensibiliser les équipes aux enjeux RGPD et IA Act, au-delà d'une simple charte d'usage signée une fois
- Cartographier et classifier les données selon leur niveau de sensibilité (données publiques déjà disponibles en ligne vs données confidentielles ou stratégiques à chiffrer et dont le partage doit être strictement encadré)
- Proposer une alternative interne : mettre à disposition des collaborateurs une IA d'entreprise ou des outils intégrés, pour qu'ils gagnent en productivité sans ouvrir de faille de sécurité
Sur ce dernier point, elle évoque, sans entrer dans le détail technique, la possibilité de s'appuyer sur des modèles déjà entraînés (elle cite Mistral à titre d'exemple) et de les adapter avec les données propres de l'entreprise plutôt que de partir de zéro.
Conformité et souscription : ce que change une licence entreprise
Un point que nous n'évoquons pas assez souvent : souscrire une licence entreprise à un outil d'IA générateur (Claude, ChatGPT en version professionnelle) plutôt que de laisser les équipes utiliser des comptes gratuits change la donne en matière de confidentialité et de chiffrement des échanges avec, pour Google, quelques conditions à vérifier de plus près. Ce n'est pas gratuit, mais c'est aussi ce qui permet de sécuriser réellement les usages plutôt que de les subir.
Et cela pose une question de fond que Leïla formule très clairement : faire de l'IA pour faire de l'IA n'a pas de sens. Avant de déployer un outil auprès de tous les collaborateurs, la vraie question est de savoir qui en a réellement besoin, pour quel usage, et pour quel gain de productivité.
RGPD, IA Act : une superposition de textes, pas une redondance
Beaucoup d'entreprises se demandent si le RGPD, antérieur à la démocratisation de l'IA générative, est encore adapté. Pour Leïla, la réponse tient en un principe simple : il n'y a pas d'IA sans données, et il n'y a pas d'IA de qualité sans données de qualité donc pas d'IA sans RGPD.
L'IA Act ne remplace pas le RGPD : il vient s'y superposer, avec ses propres exigences en matière de gestion des risques algorithmiques, notamment sur les sujets à fort enjeu humain.
Les premières jurisprudences à connaître
Leïla cite plusieurs précédents qui donnent une idée assez nette des priorités des autorités :
Cas Sujet Enseignement CNIL vs Amazon Algorithmes de surveillance de la productivité (rythme de travail, pauses) Les outils de contrôle algorithmique du travail sont une cible prioritaire des sanctions Algorithmes de tri de CV (ATS) Biais introduits par les données d'entraînement, pas par l'algorithme lui-même Un système entraîné sur les profils "qui ont réussi" dans l'entreprise peut reproduire des discriminations existantes (âge, profil type) Air Canada Chatbot ayant transmis une information erronée à un client L'entreprise reste juridiquement responsable des décisions prises par ses outils d'IA, y compris un simple chatbot Employé licencié après usage d'une IA "gratuite" Faute liée à l'usage d'un outil non validé, avec impact client L'employeur ne peut pas se dédouaner en argumentant que c'est "la faute du salarié", l'entreprise reste responsable.
Un principe commun ressort de ces exemples : on ne peut jamais reporter la responsabilité sur "la faute de la machine". L'IA reste un outil ; la responsabilité juridique reste entièrement du côté de l'entreprise qui le déploie.
Sur le sujet spécifique des ATS et du recrutement, Leïla voit dans l'IA Act une opportunité positive : en imposant des degrés de protection pour les décisions à impact humain, le texte pourrait justement remettre un peu d'humain dans des processus de recrutement devenus, depuis des années déjà, largement automatisés et parfois déshumanisants.
Privacy by Design : intégrer la conformité dès la première minute
Dernier point structurant de l'échange : à quel moment intégrer la conformité dans un projet IA ? La réponse de Leïla est sans ambiguïté : dès la conception, en s'appuyant sur le principe de Privacy by Design.
Un projet d'IA conçu sans respecter le RGPD dès le départ s'expose à un scénario coûteux : les autorités peuvent, dans certains cas, contraindre une entreprise à détruire purement et simplement le modèle développé, parce qu'il ne respecte pas les droits des personnes ou la protection des données personnelles. Tout le temps et l'argent investis sont alors perdus, et il faut recommencer de zéro.
Intégrer la conformité en amont n'est donc pas qu'une contrainte réglementaire : c'est aussi, très concrètement, un avantage concurrentiel. Une entreprise en règle ne prend pas le risque d'être arrêtée en plein projet et de devoir tout reprendre à zéro.
Deux principes reviennent régulièrement dans les propos de Leïla sur ce point : la source des données doit toujours être claire, et leur traitement doit rester transparent même si, comme je le souligne dans l'épisode en écho au livre d'Éric Hazan, la transparence algorithmique reste un sujet complexe, parfois plus exigeant que celui qu'on demande aux humains eux-mêmes.
Les 3 conseils de Leïla Chaudhry pour démarrer une réflexion IA responsable
Pour conclure l'épisode, je demande toujours à mes invités un conseil actionnable. Voici les trois axes que Leïla propose aux entreprises qui démarrent leur réflexion sur l'IA responsable :
- Concevoir et déployer les systèmes en s'appuyant sur le RGPD, en s'assurant que toutes les obligations sont respectées : information des personnes, base légale, sécurité des données.
- Se former et sensibiliser ses équipes au Shadow IA, en intégrant des cas d'usage métier concrets plutôt qu'une charte théorique, et en identifiant les besoins réels avant de choisir une technologie.
- Se mettre en conformité dès maintenant, sans attendre l'entrée en vigueur complète de l'IA Act. Le calendrier de certains volets du texte a pu glisser (notamment avec le paquet dit "omnibus numérique"), mais RGPD et IA Act se superposent déjà : attendre, c'est prendre du retard sur un cadre qui s'applique en grande partie dès aujourd'hui.
En résumé
La gouvernance de l'IA responsable n'est ni un sujet purement juridique, ni un sujet purement technique : c'est un sujet collectif, qui engage le métier, l'IT, la sécurité et le juridique autour d'une même table. Le vrai risque aujourd'hui n'est pas tant la complexité du RGPD ou de l'IA Act que le Shadow IA, cet usage informel, individuel, largement invisible pour la direction, qui expose l'entreprise sans qu'elle en ait toujours conscience.
Retenez surtout ceci : la conformité intégrée dès la conception coûte moins cher que la conformité corrigée après coup. Et la meilleure IA n'est pas la plus puissante, c'est celle qui répond à un vrai besoin métier, dans un cadre maîtrisé.
💡 Soutenez le podcast :
✅ Abonnez-vous à DigitalFeeling sur LinkedIn
✅ Rejoignez ma newsletter : substack.com/@elodiechenol
✅ Laissez 5 ⭐ sur Apple Podcasts ou Spotify
✅ Partagez cet épisode à un dirigeant qui en aurait besoin
🎙️ Abonnez-vous à Digital Feeling sur votre plateforme d'écoute préférée pour ne manquer aucun épisode.
Hébergé par Audiomeans. Visitez audiomeans.fr/politique-de-confidentialite pour plus d'informations.
