Conformité de l’IA : encadrer les systèmes d’IA et utiliser l’IA pour le travail de conformité

La conformité de l’IA recouvre deux réalités : le travail continu visant à garantir que les systèmes d’IA que votre organisation conçoit ou utilise respectent les lois, les normes et les politiques internes applicables, et l’utilisation de l’IA pour des tâches de conformité routinières et à grand volume.

Cet article aborde ces deux sens : les risques auxquels répond la conformité de l’IA, les principaux cadres, la mise sur pied d’un programme de conformité, les contrôles applicables aux agents d’IA et les domaines où l’IA aide les équipes de conformité. Il se termine par les questions à poser avant d’acheter un outil de conformité.

Qu’est-ce que la conformité de l’IA?

La conformité de l’IA désigne deux choses : faire en sorte que les systèmes d’IA respectent les règles établies par la réglementation sur l’IA, et utiliser l’IA pour effectuer le travail de conformité.

Dans le premier sens, la conformité de l’IA garantit qu’un système d’IA respecte les lois, les règlements, les normes éthiques et les politiques internes tout au long du cycle de vie de l’IA, des données d’entraînement jusqu’au rendement et à l’utilisation.

Par exemple, la Local Law 144 de la Ville de New York oblige les employeurs qui utilisent un outil automatisé de décision en matière d’emploi à le faire soumettre à un audit de biais datant de moins d’un an au moment de son utilisation, à rendre publiques les informations sur cet audit et à aviser les employés ou les candidats.

Le travail de conformité réglementaire de l’IA est continu, car les applications d’IA sont mises à jour, les données qu’elles traitent changent et la réglementation évolue.

Dans le second sens, les équipes de conformité utilisent l’IA pour des tâches routinières et à grand volume, comme la surveillance des transactions, l’examen de documents et le suivi des changements réglementaires.

Certaines institutions financières, par exemple, utilisent l’IA pour examiner les transactions et réduire les faux positifs dans les alertes de surveillance des transactions avant que les analystes décident lesquelles nécessitent une déclaration d’opération douteuse.

Conformité de l’IA, gouvernance de l’IA et gestion des risques liés à l’IA : quelles différences?

Ces trois notions se recoupent, mais couvrent des champs différents : la gouvernance établit les règles, la gestion des risques détermine ce qui pourrait mal tourner, et la conformité garantit que les règles sont respectées.

Pourquoi la conformité de l’IA est importante

Assurer la conformité de l’IA limite votre exposition aux amendes, protège la vie privée des personnes dont votre IA traite les renseignements et permet à votre organisation de rendre compte de son utilisation des systèmes d’IA en cas d’audit.

• Sanctions réglementaires : En vertu du règlement européen sur l’IA, le recours à une pratique d’IA interdite, comme l’inférence des émotions des employés au travail, peut coûter jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial. Les fournisseurs et les déployeurs s’exposent à des amendes pouvant atteindre 15 millions d’euros ou 3 % en cas d’infraction au règlement.
• Protection des données : Un système d’IA qui traite des données personnelles est assujetti aux lois sur la protection des données, comme le RGPD dans l’UE. Cela comprend les données d’entraînement, les requêtes et les résultats contenant des données personnelles.
• Préparation aux audits : Tenir des registres indiquant quels systèmes d’IA vous utilisez, qui les a approuvés et comment vous les surveillez vous permet de rendre des comptes aux organismes de réglementation, aux auditeurs et aux clients.

Les principaux risques auxquels répond la conformité de l’IA

La conformité de l’IA répond à cinq risques principaux : les biais algorithmiques, le manque d’explicabilité, les hallucinations dans les processus réglementés, la confidentialité et la fuite des données, ainsi que l’IA fantôme.

Agrandir

Voici comment se manifestent les principaux risques, ainsi que des exemples de contrôles qui permettent de les maîtriser :

• Biais algorithmiques : Un modèle reproduit des tendances présentes dans ses données d’entraînement qui désavantagent certains groupes. Un outil de recrutement, par exemple, pourrait moins bien classer des candidats en fonction d’un indicateur indirect de l’âge ou de l’origine ethnique, comme l’année d’obtention du diplôme ou le code postal. Les audits de biais, qui comparent les résultats entre groupes démographiques, aident à détecter ces tendances.
• Manque d’explicabilité : L’organisation est incapable de montrer comment un modèle est parvenu à une décision. Si un prêteur ne peut pas expliquer pourquoi un modèle a refusé un prêt, il ne peut pas défendre ce résultat. Les organisations préviennent ce risque en documentant les données d’entrée et la logique décisionnelle des modèles, et en choisissant des modèles dont les résultats sont traçables.
• Hallucinations dans les processus réglementés : Un outil d’IA générative affirme avec assurance quelque chose de faux. Par exemple, un avocat pourrait demander à un outil d’IA de la jurisprudence à l’appui d’un argument et recevoir des citations de décisions judiciaires qui n’existent pas. Exiger des sources pour chaque résultat, et les faire vérifier par une personne qualifiée, permet de repérer ces erreurs.
• Confidentialité et fuite des données : Des renseignements confidentiels ou des données de clients se retrouvent dans un outil qui échappe au contrôle de l’organisation. Par exemple, un employé pourrait coller des dossiers clients dans un outil d’IA public qui conserve les données saisies pour entraîner de futurs modèles. N’utiliser que des outils approuvés, assortis de limites contractuelles sur l’entraînement et la conservation des données, réduit ce risque.
• IA fantôme : Des employés utilisent des outils d’IA que l’organisation n’a pas approuvés ou qu’elle ne peut pas voir. Dans un sondage de Compliance Week de 2026, 42 % des participants ont signalé une utilisation non encadrée de l’IA par des employés. Parmi les solutions possibles figurent une liste d’outils approuvés, combinée à un processus d’approbation rapide des outils d’IA, et des passerelles Web.

Principaux cadres de conformité de l’IA

La conformité de l’IA s’appuie sur des cadres de gouvernance de l’IA contraignants, comme le règlement européen sur l’IA, et sur des cadres volontaires, comme le NIST AI Risk Management Framework et la norme ISO/IEC 42001, qui aident les organisations à s’y conformer.

Règlement européen sur l’IA

Le règlement européen sur l’IA (règlement (UE) 2024/1689) adopte une approche fondée sur les risques en matière de réglementation de l’IA : certaines pratiques sont carrément interdites, les systèmes à haut risque sont soumis à des restrictions strictes, tandis que les autres ne sont assujettis qu’à de légères règles de transparence. Il s’applique aux fournisseurs et aux déployeurs, où qu’ils se trouvent, « lorsque les sorties produites par le système d’IA sont utilisées dans l’Union ».

Les obligations prévues par le règlement européen sur l’IA dépendent du rôle de l’organisation :

• Les organisations qui développent un système d’IA à haut risque ou qui le commercialisent sous leur propre nom (les fournisseurs) doivent réaliser une évaluation de la conformité, apposer le marquage CE, enregistrer le système, tenir à jour la documentation technique et en assurer la surveillance après sa mise sur le marché.
• Celles qui utilisent un système conçu par une autre partie (les déployeurs) doivent suivre les instructions du fournisseur, confier le contrôle humain à des personnes disposant « des compétences, de la formation et de l’autorité nécessaires », conserver les journaux pendant au moins six mois et informer les travailleurs et les autres personnes touchées par ses décisions.

Agrandir

Le règlement entre en application par étapes. Les pratiques interdites, la maîtrise de l’IA et les règles relatives à l’IA à usage général s’appliquent depuis 2025, tandis que les obligations relatives aux systèmes à haut risque entrent en application le 2 décembre 2027, et le 2 août 2028 pour l’IA intégrée aux produits visés par la législation européenne sur la sécurité des produits.

La norme EN 18286:2026 sur les systèmes de gestion de la qualité est la première norme européenne à appuyer le règlement. Les fournisseurs qui l’appliquent sont présumés satisfaire à l’exigence du règlement en matière de gestion de la qualité.

Cadre de gestion des risques liés à l’IA du NIST (AI Risk Management Framework)

Le NIST AI RMF (Risk Management Framework), publié en janvier 2023, est un cadre américain volontaire articulé autour de quatre fonctions : Gouverner (Govern), Cartographier (Map), Mesurer (Measure) et Gérer (Manage).

Son profil sur l’IA générative (Generative AI Profile), publié en juillet 2024, applique le cadre aux risques liés à l’IA générative.

ISO/IEC 42001

La norme ISO/IEC 42001 est la norme internationale relative aux systèmes de gestion de l’IA; elle couvre les politiques, les rôles et les processus qui encadrent le développement et l’utilisation responsables de l’IA. La certification est volontaire et est délivrée par des organismes de certification indépendants, et non par l’ISO elle-même.

Un certificat couvre le système de gestion de l’organisation, et non un produit d’IA précis.

Règles américaines et sectorielles applicables à l’IA

Les États-Unis n’ont pas de loi fédérale unique sur l’IA. Les règles proviennent des villes, des États ainsi que des lois et règlements existants qui s’appliquent à l’IA.

Par exemple, la loi SB26-189 du Colorado, qui entre en vigueur le 1er janvier 2027, encadre les technologies de prise de décision automatisée, et les lois sur la protection de la vie privée, comme la California Consumer Privacy Act (CCPA) ou la HIPAA, s’appliquent dès que l’IA traite des données protégées.

Comment mettre sur pied un programme de conformité de l’IA

La mise sur pied d’un programme de conformité de l’IA comporte six étapes : dresser l’inventaire de vos systèmes d’IA, les classer selon le risque, associer des contrôles aux règles applicables, désigner des responsables, documenter chaque système et le surveiller au moyen de registres qu’un auditeur peut vérifier.

Agrandir

Chacune des étapes ci-dessous se termine par le livrable qu’elle produit :

1. Dressez l’inventaire de chaque système d’IA. Répertoriez les systèmes que votre organisation conçoit, achète ou utilise, y compris les fonctionnalités d’IA intégrées aux logiciels existants et les outils adoptés par les employés sans approbation. Consignez ce que fait chacun, qui l’utilise et à quelles données il accède.
   Livrable : Un inventaire de l’IA.
2. Classez chaque cas d’utilisation selon le risque. Évaluez chaque système en fonction du préjudice qu’il pourrait causer, à l’aide d’un système de classification comme les niveaux de risque du règlement européen sur l’IA. Par exemple, un outil qui fixe les primes d’assurance vie est à haut risque au sens du règlement, contrairement à un outil qui résume des réunions internes.
   Livrable : Un registre des risques.
3. Associez des contrôles aux règles applicables. Répertoriez les lois, les normes et les politiques internes qui s’appliquent à chaque système, ainsi que le contrôle qui satisfait à chaque exigence de conformité. Par exemple, une révision humaine documentée contribue à satisfaire aux exigences de contrôle humain du règlement européen sur l’IA pour les systèmes à haut risque et à l’appel du NIST AI RMF en faveur de processus documentés de contrôle humain.
   Livrable : Une cartographie des contrôles.
4. Désignez des responsables et des points de contrôle humain. Nommez un responsable pour chaque système et déterminez à quelle étape une personne examine ses résultats. Par exemple, les services juridiques et de conformité sont responsables des obligations, la sécurité des contrôles techniques, les responsables métier de leurs cas d’utilisation, et un membre de la haute direction assume la responsabilité globale. Assurez-vous que les personnes de toute l’organisation sont informées et établissez des canaux de communication clairs.
   Livrable : Des responsables désignés pour chaque système.
5. Documentez chaque système. Consignez l’objectif, les données d’entraînement, les essais et les limites connues de chaque système dans des formats comme les fiches de modèle et les évaluations d’impact. Les fournisseurs de systèmes à haut risque doivent également préparer la documentation technique prévue à l’annexe IV du règlement européen sur l’IA.
   Livrable : Un dossier de documentation du système.
6. Surveillez, journalisez et conservez des preuves. Concevez dès le départ les journaux comme des preuves d’audit pour montrer ce qu’un système a fait et qui l’a examiné. Le règlement européen sur l’IA exige que les systèmes à haut risque enregistrent automatiquement les événements tout au long de leur cycle de vie. Une piste d’audit devrait consigner :
   • Le modèle et la version utilisés
   • Les données d’entrée et de sortie, ou un échantillon défini de celles-ci
   • Les données d’entraînement ou de réglage fin
   • Les points de révision humaine et leurs résultats
   • Les actions effectuées par un agent et les autorisations qu’il a utilisées
   • La durée de conservation de chaque registre

Livrable : Des registres de surveillance et une piste d’audit.

Des outils spécialisés de conformité de l’IA, comme IBM watsonx.governance et OneTrust AI Governance, peuvent prendre en charge certaines parties de ce programme, notamment l’inventaire de l’IA, les évaluations des risques au regard du règlement européen sur l’IA et la documentation.

Comment approuver les outils d’IA que les employés peuvent utiliser

Avant d’approuver un outil d’IA, vérifiez quatre éléments :

• Accès aux données : Les fichiers, les systèmes et les bases de connaissances connectées que l’outil peut lire, et s’ils contiennent des données personnelles qu’il pourrait exposer.
• Entraînement sur les données saisies : Si le fournisseur utilise les requêtes, les fichiers ou les résultats pour entraîner ses modèles, et si votre contrat avec lui l’interdit.
• Conservation : Combien de temps le fournisseur conserve les requêtes, les fichiers et l’historique des conversations, et si vous pouvez réduire cette durée.
• Hébergement et transferts : L’endroit où le fournisseur stocke et traite les données, y compris les transferts hors de votre région.

Contrôles de conformité pour les agents d’IA

Les agents d’IA nécessitent plus de contrôles que les outils de clavardage, car ils déterminent eux-mêmes leurs étapes et agissent au moyen des outils et des autorisations qui leur sont accordés. Trois contrôles permettent de les maîtriser :

• Accès selon le principe du moindre privilège : N’accordez à un agent que les outils et les autorisations nécessaires à sa tâche. L’autonomie excessive (Excessive Agency), soit la capacité d’un agent à en faire plus que ce que sa tâche exige, figure parmi les principaux risques de sécurité selon le OWASP Top 10 for LLM Applications 2026.
• Un journal de chaque action : Consignez chaque appel d’outil, les données consultées et les autorisations utilisées, afin de retracer ce qu’un agent a fait et pour qui.
• Approbation humaine pour les actions à fort impact : Exigez qu’une personne confirme les étapes qui envoient des données à l’extérieur de l’organisation, transfèrent de l’argent ou sont irréversibles.

Comment l’IA est utilisée dans le travail de conformité

Les équipes de conformité et de gestion des risques utilisent l’IA pour surveiller les contrôles, évaluer les risques, suivre les changements réglementaires, examiner des documents et trier les alertes liées à la criminalité financière.

Dans un sondage de Compliance Week mené en 2026 auprès de 193 leaders en conformité, en éthique, en gestion des risques et en audit, plus de 83 % ont déclaré utiliser l’IA, et près de 40 % ont indiqué que leur entreprise l’avait déployée pour l’évaluation et la surveillance des risques.

Voici des cas d’utilisation courants de l’IA en conformité :

• Surveillance continue de la conformité et collecte de preuves : L’IA effectue des vérifications et recueille des preuves de leur efficacité (p. ex., des inspections de sécurité de l’équipement en retard dans une usine).
• Évaluation et priorisation des risques : L’IA classe les unités d’affaires ou les tiers selon le risque (p. ex., des fournisseurs visés par de nouvelles sanctions ou exposés à des litiges).
• Veille réglementaire : L’IA suit les publications des organismes de réglementation et résume les changements (p. ex., des lignes directrices anticorruption révisées qui abaissent la limite des cadeaux dans la politique sur les dépenses).
• Examen des documents et des politiques : L’IA compare les contrats et les politiques aux exigences (p. ex., des contrats fournisseurs sans clause de droit d’audit).
• Filtrage lié à la criminalité financière : L’IA trie les alertes de surveillance des transactions et de vérification des clients (p. ex., des correspondances de noms avec des listes de sanctions qui s’avèrent concerner une autre personne).

L’IA utilisée pour la conformité nécessite la même gouvernance que les autres systèmes d’IA. Comme l’a déclaré la Financial Conduct Authority du Royaume-Uni en octobre 2026, « les entreprises sont responsables des systèmes d’IA qu’elles développent, acquièrent et déploient – y compris de leurs résultats et de leurs effets », et elle a mis en garde contre le fait de faire de la révision humaine « un exercice de “cases à cocher” ».

En pratique, les outils d’IA peuvent prendre en charge des tâches routinières comme la collecte de preuves ou le signalement des changements réglementaires, mais pas les décisions qui engagent la responsabilité juridique, comme décider s’il faut déclarer une activité suspecte ou comment concevoir les politiques.

Contrôles des données dans Perplexity Enterprise

Perplexity Enterprise donne aux administrateurs les contrôles portant sur l’entraînement à partir des données saisies, l’accès aux données et la conservation :

• Aucun entraînement sur vos données : Perplexity n’utilise jamais le contenu des entreprises pour entraîner ses modèles d’IA, et ses ententes avec des fournisseurs de modèles tiers leur interdisent de l’utiliser pour l’entraînement.
• Contrôle d’accès : l’authentification unique (SSO), le SCIM et les autorisations basées sur les rôles déterminent qui peut téléverser des fichiers et partager des réponses.
• Conservation et journaux d’audit : les fichiers joints aux sessions sont supprimés après sept jours. Les organisations comptant 50 postes ou plus, ou au moins un poste Enterprise Max, peuvent aussi définir la durée de conservation des sessions et recevoir des journaux d’audit de l’activité des utilisateurs.
• Certifications : Perplexity est certifiée SOC 2 Type II, est conforme au RGPD et ne permet le traitement de renseignements médicaux protégés qu’en vertu d’une entente d’associé d’affaires (Business Associate Agreement) signée.

Pour une présentation de ces contrôles, communiquez avec notre équipe des ventes afin de réserver une démonstration personnalisée.

Foire aux questions

Qu’est-ce que la conformité de l’IA dans l’UE?

La conformité de l’IA dans l’UE consiste à respecter les obligations du règlement européen sur l’IA propres à votre rôle (fournisseur ou déployeur) et au niveau de risque de chaque système. Ces obligations s’appliquent par étapes, celles visant les systèmes à haut risque entrant en vigueur le 2 décembre 2027.

Qu’est-ce qu’une IA conforme à la HIPAA?

Une IA conforme à la HIPAA est un outil utilisé dans le respect des mesures de protection prévues par la HIPAA pour les renseignements médicaux protégés. Si le fournisseur stocke ou traite ces renseignements, le département de la Santé et des Services sociaux des États-Unis exige d’abord la signature d’une entente d’associé d’affaires (Business Associate Agreement).

Le règlement européen sur l’IA s’applique-t-il aux entreprises américaines?

Oui. Le règlement sur l’IA vise les entreprises américaines qui mettent des systèmes d’IA sur le marché de l’UE ainsi que celles dont les résultats générés par l’IA sont utilisés dans l’UE.

L’IA peut-elle remplacer les responsables de la conformité?

L’IA ne peut pas remplacer les responsables de la conformité. Les organisations sont responsables de leur travail, et les technologies d’IA peuvent commettre des erreurs; les responsables de la conformité doivent donc toujours examiner attentivement et approuver les résultats produits par l’IA.