Des outils génératifs confrontés au cadre juridique existant
Un service de ressources humaines déploie un outil d'analyse automatique des candidatures. Quelques mois plus tard, des candidats contestent le tri effectué et demandent à comprendre les critères appliqués. Ce type de situation, devenu courant, illustre la difficulté à faire entrer des systèmes d'intelligence artificielle dans des catégories juridiques conçues avant leur apparition.
Le droit n'a pas attendu l'IA générative pour encadrer les traitements automatisés. Le règlement européen sur la protection des données, applicable depuis 2018, pose déjà des principes directement mobilisables : information des personnes concernées, droit à l'explication, interdiction des décisions entièrement automatisées produisant des effets significatifs. Ces règles s'appliquent indépendamment de la technologie employée.
La difficulté tient moins à l'absence de règles qu'à leur application. Un modèle d'apprentissage statistique ne restitue pas un raisonnement lisible. Expliquer pourquoi une candidature a été écartée suppose donc des dispositifs techniques spécifiques, que toutes les organisations ne mettent pas en place.
Responsabilités et frontières entre les acteurs
La chaîne de valeur de l'IA associe plusieurs intervenants : fournisseur du modèle, intégrateur, utilisateur final. Déterminer qui répond d'un dommage ou d'un manquement suppose de qualifier le rôle de chacun. Le droit applicable varie selon que l'organisation est responsable de traitement, sous-traitant, ou simple utilisateur d'un service tiers.
Le débat sur la responsabilité reste ouvert. Le droit civil exige traditionnellement la démonstration d'une faute et d'un lien de causalité. Or, face à un système complexe, cette démonstration devient difficile pour la victime. Plusieurs pistes sont discutées : renversement de la charge de la preuve, obligation de documentation à la charge du fournisseur, ou régime spécifique pour les systèmes à risque.
Les contrats jouent ici un rôle central. La répartition des obligations d'information, de sécurité et de mise à jour s'y négocie, souvent au détriment de l'acteur le moins informé. Une clause d'audit ou de transparence sur les données d'entraînement ne va pas de soi.
Un encadrement réglementaire en construction
Le règlement européen sur l'intelligence artificielle, adopté en 2024, introduit une approche par niveaux de risque. Certains usages sont interdits, d'autres soumis à des obligations renforcées d'évaluation, de documentation et de surveillance humaine. Le calendrier d'application est échelonné, ce qui laisse aux acteurs un temps d'adaptation.
Ce texte ne règle pas tout. Il coexiste avec le régime des données personnelles, la réglementation sectorielle et les règles de responsabilité. Les interactions entre ces corpus restent à préciser, notamment sur la qualification des systèmes et la portée des obligations de transparence. Les autorités de contrôle devront coordonner leurs lectures.
- Qualification du système et du niveau de risque
- Obligations de documentation et de traçabilité
- Information des personnes concernées
- Répartition contractuelle des responsabilités
Les entreprises doivent donc anticiper une charge documentaire réelle, sans toujours disposer des compétences internes. Les petites structures, moins outillées juridiquement, sont particulièrement exposées. Le contentieux, encore rare, devrait se développer à mesure que les usages se diffusent et que les contrôles s'intensifient.
