Déployer l’IA dans sa structure

Chaque type de déploiement engendre son lot de précautions et d’encadrement à prévoir pour s’assurer du respect des différentes réglementations en vigueur (notamment le RGPD et la propriété intellectuelle). 

La mise à disposition d’un outil d’IA générative

L’utilisation de ce type d’IA est de plus en plus commune dans le milieu professionnel. Il faut dire que ces systèmes sont accessibles facilement depuis Internet et permettent de générer simplement du contenu (texte, image, vidéo) à partir d’une demande. Pour autant, plusieurs risques existent, qu’il est possible de prévenir et limiter en mettant en place un certain cadre : 

Le choix de l’outil 

Ce choix est primordial car, sans même soulever la question (parfois utopique) de la souveraineté numérique, la conformité de plusieurs de ces outils n’est pas certaine. En effet, le système peut avoir été entraîné sur des données au mépris de la réglementation en vigueur relative à la protection des données personnelles et à la propriété intellectuelle. Certains dispositifs réutilisent même les données des utilisateurs et celles qu’ils déposent dans l’outil pour l’entrainement d’un futur modèle, sans information préalable ni possibilité de s’y opposer. 

Au-delà des conditions du contrat (qu’il faut bien évidemment lire avec attention, notamment pour vérifier si la réutilisation des données pour l’entrainement est mentionnée), c’est la documentation technique du système qu’il faut consulter pour vérifier les mesures de sécurité, mais aussi, lorsque c’est possible, les informations propres à l’entrainement (comme la qualité des données utilisées ou l’existence de biais). 

L’encadrement des pratiques 

Il est indispensable de cadrer l’utilisation de l’IA générative avant même de la déployer auprès des agents. Pour ce faire, une charte d’utilisation spécifique doit être créée (ou intégrée à la charte informatique de la structure). Celle-ci doit couvrir plusieurs points, certains communs à toutes les structures car permettant de protéger les données et de respecter la règlementation en vigueur, et d’autres plus spécifiques à la politique choisie par chacun concernant les enjeux éthiques. 

Parmi les points essentiels et presque obligatoires, on retrouve d’abord le fait d’utiliser uniquement des comptes professionnels sur des outils validés par l’établissement. Ensuite, pour respecter les règles de protection des données personnelles, mais aussi celles de propriété intellectuelle, il est nécessaire d’indiquer le type de données qui ne doit pas être déposé dans l’outil. Enfin, la transparence à l’égard des personnes concernées quant à l’utilisation de l’IA doit être prévue, conformément au Règlement sur l’Intelligence Artificielle. 

Selon le positionnement de la structure, des règles d’utilisation peuvent également être définies concernant l’impact environnemental, ou encore les enjeux managériaux et éthiques.

La sensibilisation des utilisateurs

Malgré le sentiment de familiarité due à l’omniprésence de l’IA depuis plusieurs années, la compréhension du fonctionnement de l’IA générative est, le plus souvent, très lacunaire. Or, chaque utilisateur doit avoir été sensibilisé au fonctionnement de ce type d’outil pour en comprendre les limites, et ainsi rester critique lorsqu’il l’utilise. Le fait que l’IA générative soit conçue pour apporter des réponses vraisemblables plutôt que vraies et qu’il existe des risques d’hallucination doit être clair pour les utilisateurs, afin qu’ils vérifient et enrichissent systématiquement les réponses proposées. 

Par ailleurs, des méthodes de prompting peuvent également être expliquées aux utilisateurs, afin de leur apprendre à obtenir des réponses plus fiables. 

Acheter un logiciel métier doté d’IA

Les prestataires de logiciel métier proposent de plus en plus de technologie et module IA dans leurs solutions afin d’optimiser certaines tâches. De la même manière que les clauses RGPD doivent être intégrées dans les marchés publics et les contrats pour encadrer les traitements de données personnelles, des clauses IA doivent permettre de définir les responsabilités et obligations de chacun et minimiser les risques. 

En matière de responsabilité, il est particulièrement important de définir les obligations et rôles de la structure et du prestataire puisqu’il n’existe pas de régime juridique spécifique encadrant la responsabilité en cas de dommage causé par l’utilisation d’un système d’IA. Ainsi, en cas d’incident, il est primordial d’avoir défini en amont dans la clause, qui, du prestataire ou de la structure sera responsable et devra indemniser la victime. 

La clause doit également prévoir un certain nombre d’exigences concernant la gestion des risques, la transmission de la documentation technique pour permettre d’évaluer la conformité du dispositif à la règlementation en vigueur, l’existence de mesures techniques et organisationnelles suffisantes pour garantir un niveau approprié d’exactitude, de robustesse, de sécurité et de cybersécurité et l’obligation de mettre en place des mesures correctives en cas de non-conformité ou d’évolution de la règlementation en vigueur. 

La commission européenne propose un modèle de clauses contractuelles type qui doit être adapté à chaque cas d’usage. 

Développer son propre outil d’IA

En matière de protection des données personnelles, l’enjeu principal lors du développement d’un système d’IA concerne les données personnelles utilisées pour entrainer cet outil. Le respect des obligations du RGPD, mais aussi du Règlement IA doit être pris en compte dès le projet de développement et implique de définir l’objectif poursuivi par le dispositif, la responsabilité de la structure, surtout si elle fait appel à un tiers, les données qui vont être utilisées, en s’interrogeant sur le fondement autorisant leur utilisation et sur leur durée de conservation. Dans la mesure du possible, les personnes dont les données sont utilisées devront être informées, et pouvoir exercer une demande de droit. Enfin, afin de vérifier que les mesures de sécurité mises en place sont suffisantes au regard des risques pour les droits et libertés de ces personnes, une analyse d’impact relative à la protection des données devra être menée. 

La CNIL a mis à disposition une série de fiches, pour guider les structures dans la réalisation de ces différentes étapes. Le délégué à la protection des données doit, bien évidemment, être consulté dès le début du projet pour accompagner ce développement dans le respect de la conformité et le documenter.