Conformité de l’IA : encadrer les systèmes d’IA et utiliser l’IA pour les tâches de conformité

La conformité de l’IA recouvre deux réalités : le travail continu visant à garantir que les systèmes d’IA que votre organisation développe ou utilise respectent les lois, normes et politiques internes applicables, et le recours à l’IA pour les tâches de conformité routinières et à fort volume.

Cet article aborde ces deux sens : les risques auxquels répond la conformité de l’IA, les principaux cadres, la mise en place d’un programme de conformité, les contrôles applicables aux agents IA et les domaines où l’IA aide les équipes de conformité. Il se termine par les questions à poser avant d’acheter un outil de conformité.

Qu’est-ce que la conformité de l’IA ?

La conformité de l’IA désigne deux choses : faire en sorte que les systèmes d’IA respectent les règles fixées par la réglementation sur l’IA, et utiliser l’IA pour effectuer des tâches de conformité.

Au premier sens, la conformité de l’IA garantit qu’un système d’IA respecte les lois, réglementations, normes éthiques et politiques internes tout au long de son cycle de vie, des données d’entraînement jusqu’aux performances et à l’utilisation.

Par exemple, la Local Law 144 de la ville de New York impose aux employeurs qui utilisent un outil automatisé de décision en matière d’emploi de le soumettre à un audit de biais datant de moins d’un an, de rendre publiques les informations relatives à cet audit et d’en informer les employés ou les candidats.

La conformité réglementaire de l’IA est un travail continu, car les applications d’IA sont mises à jour, les données qu’elles traitent changent et la réglementation évolue.

Au second sens, les équipes de conformité utilisent l’IA pour des tâches routinières et à fort volume, comme la surveillance des transactions, l’examen de documents et le suivi des évolutions réglementaires.

Certaines institutions financières, par exemple, utilisent l’IA pour examiner les transactions et réduire les faux positifs dans les alertes de surveillance des transactions, avant que les analystes ne décident lesquelles nécessitent une déclaration d’activité suspecte.

Conformité de l’IA, gouvernance de l’IA et gestion des risques liés à l’IA

Ces trois notions se recoupent mais couvrent des champs différents : la gouvernance fixe les règles, la gestion des risques identifie ce qui pourrait mal tourner et la conformité garantit le respect des règles.

Pourquoi la conformité de l’IA est importante

Assurer la conformité de l’IA limite votre exposition aux amendes, protège la vie privée des personnes dont votre IA traite les informations et permet à votre organisation de rendre compte de son utilisation des systèmes d’IA en cas d’audit.

• Sanctions réglementaires : en vertu du règlement européen sur l’IA, le recours à une pratique d’IA interdite, comme la déduction des émotions des salariés sur leur lieu de travail, peut coûter jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial. Les fournisseurs et les déployeurs s’exposent à des amendes pouvant atteindre 15 millions d’euros ou 3 % en cas de manquement au règlement.
• Protection des données : un système d’IA qui traite des données personnelles est soumis aux lois sur la protection des données, comme le RGPD dans l’UE. Cela concerne les données d’entraînement, les prompts et les résultats contenant des données personnelles.
• Préparation aux audits : en documentant les systèmes d’IA que vous utilisez, qui les a approuvés et comment vous les surveillez, vous pouvez rendre des comptes aux régulateurs, aux auditeurs et aux clients.

Les principaux risques auxquels répond la conformité de l’IA

La conformité de l’IA répond à cinq risques principaux : les biais algorithmiques, le manque d’explicabilité, les hallucinations dans les processus réglementés, la confidentialité et la fuite des données, et l’IA fantôme (shadow AI).

Agrandir

Voici comment se manifestent les principaux risques, avec des exemples de contrôles permettant de les maîtriser :

• Biais algorithmiques : un modèle reproduit des schémas présents dans ses données d’entraînement qui désavantagent certains groupes. Un outil de recrutement, par exemple, peut moins bien classer des candidats en fonction d’un indicateur indirect de l’âge ou de l’origine ethnique, comme l’année d’obtention du diplôme ou le code postal. Les audits de biais, qui comparent les résultats entre groupes démographiques, aident à détecter ces schémas.
• Manque d’explicabilité : l’organisation est incapable de montrer comment un modèle est parvenu à une décision. Si un prêteur ne peut pas expliquer pourquoi un modèle a refusé un prêt, il ne peut pas justifier ce résultat. Les organisations préviennent ce risque en documentant les données d’entrée et la logique de décision des modèles, et en choisissant des modèles dont les résultats sont traçables.
• Hallucinations dans les processus réglementés : un outil d’IA générative affirme avec assurance une information fausse. Par exemple, un avocat peut demander à un outil d’IA de lui fournir de la jurisprudence à l’appui d’un argument et recevoir des références à des décisions de justice qui n’existent pas. Exiger des sources pour chaque résultat, et les faire vérifier par une personne qualifiée, permet de repérer ce type d’erreurs.
• Confidentialité et fuite des données : des informations confidentielles ou relatives aux clients se retrouvent dans un outil échappant au contrôle de l’organisation. Par exemple, un employé peut coller des fiches clients dans un outil d’IA public qui conserve les données saisies pour entraîner de futurs modèles. N’utiliser que des outils approuvés, assortis de limites contractuelles sur l’entraînement et la conservation des données, réduit ce risque.
• IA fantôme : les employés utilisent des outils d’IA que l’organisation n’a pas approuvés ou dont elle n’a pas connaissance. Dans une enquête de Compliance Week de 2026, 42 % des participants ont signalé une utilisation non encadrée de l’IA par les employés. Parmi les solutions possibles figurent une liste d’outils approuvés associée à un processus d’approbation rapide des outils d’IA, ainsi que des passerelles web.

Principaux cadres de conformité de l’IA

La conformité de l’IA s’appuie sur des cadres de gouvernance de l’IA contraignants, comme le règlement européen sur l’IA, et sur des cadres volontaires, comme le NIST AI Risk Management Framework et la norme ISO/IEC 42001, qui aident les organisations à s’y conformer.

Règlement européen sur l’IA (AI Act)

Le règlement européen sur l’IA (règlement (UE) 2024/1689) adopte une approche de la réglementation de l’IA fondée sur les risques : certaines pratiques sont purement et simplement interdites, les systèmes à haut risque sont soumis à des restrictions strictes, tandis que d’autres ne font l’objet que de règles de transparence allégées. Il s’applique aux fournisseurs et aux déployeurs, où qu’ils se trouvent, « lorsque les sorties produites par le système d’IA sont utilisées dans l’Union ».

Les obligations prévues par le règlement européen sur l’IA dépendent du rôle de l’organisation :

• Les organisations qui développent un système d’IA à haut risque ou le commercialisent sous leur propre nom (les fournisseurs) doivent réaliser une évaluation de la conformité, apposer le marquage CE, enregistrer le système, tenir une documentation technique et en assurer la surveillance après sa mise sur le marché.
• Celles qui utilisent un système conçu par un tiers (les déployeurs) doivent suivre les instructions du fournisseur, confier le contrôle humain à des personnes disposant « des compétences, de la formation et de l’autorité nécessaires », conserver les journaux pendant au moins six mois et informer les travailleurs et les autres personnes concernées par ses décisions.

Agrandir

Le règlement entre en application par étapes. Les règles relatives aux pratiques interdites, à la maîtrise de l’IA et à l’IA à usage général s’appliquent depuis 2025, tandis que les obligations relatives aux systèmes à haut risque s’appliqueront à compter du 2 décembre 2027, et du 2 août 2028 pour l’IA intégrée à des produits couverts par la législation européenne sur la sécurité des produits.

La norme EN 18286:2026 relative aux systèmes de management de la qualité est la première norme européenne venant à l’appui du règlement. Les fournisseurs qui l’appliquent sont présumés satisfaire à l’exigence du règlement en matière de système de management de la qualité.

NIST AI Risk Management Framework

Le NIST AI RMF (Risk Management Framework), publié en janvier 2023, est un cadre américain volontaire articulé autour de quatre fonctions : Govern (gouverner), Map (cartographier), Measure (mesurer) et Manage (gérer).

Son Generative AI Profile, publié en juillet 2024, applique ce cadre aux risques liés à l’IA générative.

ISO/IEC 42001

ISO/IEC 42001 est la norme internationale relative aux systèmes de management de l’IA ; elle couvre les politiques, les rôles et les processus qui encadrent le développement et l’utilisation responsables de l’IA. La certification est volontaire et délivrée par des organismes de certification indépendants, et non par l’ISO elle-même.

Un certificat porte sur le système de management de l’organisation, et non sur un produit d’IA spécifique.

Règles américaines et sectorielles applicables à l’IA

Les États-Unis n’ont pas de loi fédérale unique sur l’IA. Les règles émanent des villes, des États, ainsi que des lois et réglementations existantes qui s’appliquent à l’IA.

Par exemple, la loi SB26-189 du Colorado, qui entre en vigueur le 1er janvier 2027, encadre les technologies de prise de décision automatisée, et les lois sur la protection de la vie privée, comme le California Consumer Privacy Act (CCPA) ou la loi HIPAA, s’appliquent dès que l’IA traite des données protégées.

Comment mettre en place un programme de conformité de l’IA

La mise en place d’un programme de conformité de l’IA comporte six étapes : recenser vos systèmes d’IA, les classer par niveau de risque, associer des contrôles aux règles applicables, désigner des responsables, documenter chaque système et le surveiller en conservant des enregistrements vérifiables par un auditeur.

Agrandir

Chaque étape ci-dessous se termine par l’enregistrement qu’elle produit :

1. Recensez chaque système d’IA. Dressez la liste des systèmes que votre organisation développe, achète ou utilise, y compris les fonctionnalités d’IA intégrées aux logiciels existants et les outils adoptés par les employés sans approbation. Indiquez ce que fait chacun d’eux, qui l’utilise et à quelles données il accède.
   Livrable : un inventaire des systèmes d’IA.
2. Classez chaque cas d’usage par niveau de risque. Évaluez chaque système selon le préjudice qu’il pourrait causer, à l’aide d’une grille telle que les niveaux de risque du règlement européen sur l’IA. Par exemple, un outil qui fixe les primes d’assurance vie est à haut risque au sens du règlement, contrairement à un outil qui résume des réunions internes.
   Livrable : un registre des risques.
3. Associez des contrôles aux règles applicables. Dressez la liste des lois, normes et politiques internes qui s’appliquent à chaque système, ainsi que du contrôle qui répond à chaque exigence de conformité. Par exemple, un examen humain documenté contribue à satisfaire aux exigences de contrôle humain du règlement européen sur l’IA pour les systèmes à haut risque et à la recommandation du NIST AI RMF en faveur de processus de supervision humaine documentés.
   Livrable : une cartographie des contrôles.
4. Désignez des responsables et des points de contrôle humain. Nommez un responsable pour chaque système et déterminez à quel moment une personne examine ses résultats. Par exemple, les équipes juridique et conformité sont responsables des obligations, l’équipe sécurité des contrôles techniques, les responsables métier de leurs cas d’usage, et un dirigeant assume la responsabilité globale. Veillez à ce que les collaborateurs de toute l’organisation soient informés et établissez des canaux de communication clairs.
   Livrable : des responsables désignés pour chaque système.
5. Documentez chaque système. Consignez la finalité, les données d’entraînement, les tests et les limites connues de chaque système dans des formats tels que les fiches de modèle (model cards) et les analyses d’impact. Les fournisseurs de systèmes à haut risque doivent également préparer la documentation technique prévue à l’annexe IV du règlement européen sur l’IA.
   Livrable : un dossier de documentation par système.
6. Surveillez, journalisez et conservez des preuves. Concevez dès le départ les journaux comme des preuves d’audit, afin de montrer ce qu’un système a fait et qui l’a examiné. Le règlement européen sur l’IA exige que les systèmes à haut risque enregistrent automatiquement les événements tout au long de leur cycle de vie. Une piste d’audit doit consigner :
   • Le modèle et la version utilisés
   • Les entrées et les sorties, ou un échantillon défini de celles-ci
   • Les données d’entraînement ou d’affinage
   • Les points d’examen humain et leurs résultats
   • Les actions effectuées par un agent et les autorisations qu’il a utilisées
   • La durée de conservation de chaque enregistrement

Livrable : des enregistrements de surveillance et une piste d’audit.

Des outils spécialisés de conformité de l’IA, comme IBM watsonx.governance et OneTrust AI Governance, peuvent prendre en charge certaines parties de ce programme, notamment l’inventaire de l’IA, les évaluations des risques au regard du règlement européen sur l’IA et la documentation.

Comment approuver les outils d’IA que les employés peuvent utiliser

Avant d’approuver un outil d’IA, vérifiez quatre points :

• Accès aux données : les fichiers, les systèmes et les bases de connaissances connectées que l’outil peut lire, et s’ils contiennent des données personnelles qu’il pourrait exposer.
• Entraînement sur les données saisies : si le fournisseur utilise les prompts, les fichiers ou les résultats pour entraîner ses modèles, et si votre contrat avec lui l’interdit.
• Conservation : combien de temps le fournisseur conserve les prompts, les fichiers et l’historique des conversations, et si vous pouvez réduire cette durée.
• Hébergement et transferts : où le fournisseur stocke et traite les données, y compris les transferts hors de votre région.

Contrôles de conformité pour les agents IA

Les agents IA nécessitent davantage de contrôles que les outils de chat, car ils déterminent eux-mêmes leurs étapes et agissent au moyen des outils et des autorisations qui leur sont accordés. Trois contrôles permettent de les maîtriser :

• Accès selon le principe du moindre privilège : n’accordez à un agent que les outils et les autorisations nécessaires à sa tâche. L’« Excessive Agency » (autonomie excessive), situation dans laquelle un agent peut faire plus que ce que sa tâche exige, figure parmi les principaux risques de sécurité selon l’OWASP Top 10 for LLM Applications 2026.
• Un journal de chaque action : enregistrez chaque appel d’outil, les données consultées et les autorisations utilisées, afin de retracer ce qu’un agent a fait et pour qui.
• Approbation humaine pour les actions à fort impact : exigez qu’une personne confirme les étapes qui envoient des données hors de l’organisation, déplacent des fonds ou sont irréversibles.

Comment l’IA est utilisée dans le travail de conformité

Les équipes de conformité et de gestion des risques utilisent l’IA pour surveiller les contrôles, évaluer les risques, suivre les évolutions réglementaires, examiner des documents et trier les alertes liées à la criminalité financière.

Dans une enquête de Compliance Week menée en 2026 auprès de 193 responsables de la conformité, de l’éthique, des risques et de l’audit, plus de 83 % ont déclaré utiliser l’IA, et près de 40 % ont indiqué que leur entreprise l’avait déployée pour l’évaluation et la surveillance des risques.

Parmi les cas d’usage courants de l’IA en matière de conformité :

• Surveillance continue de la conformité et collecte de preuves : l’IA effectue des contrôles et recueille des preuves de leur efficacité (p. ex. inspections de sécurité des équipements en retard dans une usine).
• Évaluation et hiérarchisation des risques : l’IA classe les unités opérationnelles ou les tiers selon leur niveau de risque (p. ex. fournisseurs visés par de nouvelles sanctions ou exposés à des litiges).
• Veille réglementaire : l’IA suit les publications des régulateurs et résume les changements (p. ex. des lignes directrices anticorruption révisées qui abaissent le plafond des cadeaux dans la politique de notes de frais).
• Examen des documents et des politiques : l’IA compare les contrats et les politiques aux exigences (p. ex. contrats fournisseurs dépourvus de clause de droit d’audit).
• Filtrage lié à la criminalité financière : l’IA trie les alertes issues de la surveillance des transactions et des contrôles clients (p. ex. correspondances de noms avec des listes de sanctions qui s’avèrent concerner une autre personne).

L’IA utilisée à des fins de conformité nécessite la même gouvernance que les autres systèmes d’IA. Comme l’a déclaré la Financial Conduct Authority britannique en octobre 2026, « les entreprises sont responsables des systèmes d’IA qu’elles développent, acquièrent et déploient, y compris de leurs résultats et de leurs effets », tout en mettant en garde contre le fait de réduire l’examen humain à « un simple exercice consistant à “cocher des cases” ».

En pratique, les outils d’IA peuvent prendre en charge des tâches routinières comme la collecte de preuves ou le signalement des évolutions réglementaires, mais pas les décisions qui engagent une responsabilité juridique, comme celle de déclarer ou non une activité suspecte ou la manière de concevoir les politiques.

Contrôles des données dans Perplexity Enterprise

Perplexity Enterprise offre aux administrateurs des contrôles portant sur l’entraînement à partir des entrées, l’accès aux données et leur conservation :

• Aucun entraînement sur vos données : Perplexity n’utilise jamais le contenu de l’entreprise pour entraîner ses modèles d’IA, et ses accords avec les fournisseurs de modèles tiers leur interdisent de l’utiliser pour l’entraînement.
• Contrôle d’accès : le SSO, le SCIM et les autorisations basées sur les rôles déterminent qui peut importer des fichiers et partager des réponses.
• Conservation et journaux d’audit : les fichiers joints aux sessions sont supprimés au bout de sept jours. Les organisations disposant d’au moins 50 postes, ou d’au moins un poste Enterprise Max, peuvent également définir la durée de conservation des sessions et recevoir des journaux d’audit de l’activité des utilisateurs.
• Certifications : Perplexity est certifié SOC 2 Type II, se conforme au RGPD et n’autorise le traitement d’informations de santé protégées que dans le cadre d’un Business Associate Agreement signé.

Pour une présentation de ces contrôles, contactez notre équipe commerciale afin de réserver une démo personnalisée.

Questions fréquentes

Qu’est-ce que la conformité IA dans l’UE ?

La conformité IA dans l’UE consiste à respecter les obligations du règlement européen sur l’IA qui s’appliquent à votre rôle (fournisseur ou déployeur) et au niveau de risque de chaque système. Ces obligations s’appliquent par étapes, les exigences relatives aux systèmes à haut risque prenant effet le 2 décembre 2027.

Qu’est-ce qu’une IA conforme à la HIPAA ?

Une IA conforme à la HIPAA est un outil utilisé dans le respect des garanties prévues par la HIPAA pour les informations de santé protégées. Si le fournisseur stocke ou traite ces informations, le ministère américain de la Santé et des Services sociaux exige au préalable la signature d’un Business Associate Agreement.

Le règlement européen sur l’IA s’applique-t-il aux entreprises américaines ?

Oui. Le règlement sur l’IA couvre les entreprises américaines qui mettent des systèmes d’IA sur le marché de l’UE, ainsi que celles dont les résultats produits par l’IA sont utilisés dans l’UE.

L’IA peut-elle remplacer les responsables de la conformité ?

L’IA ne peut pas remplacer les responsables de la conformité. Les organisations sont responsables de leur travail et les technologies d’IA peuvent commettre des erreurs : les responsables de la conformité doivent donc toujours examiner attentivement et approuver les résultats produits par l’IA.