L’intelligence artificielle s’intègre progressivement dans les outils du quotidien des collectivités : assistants de rédaction, chatbots, logiciels métiers, analyse de données, recrutement ou encore gestion des infrastructures.
Mais derrière ces nouveaux usages se trouvent souvent des données, parfois personnelles, ainsi que de nouvelles responsabilités.
Depuis l’entrée en vigueur du règlement européen sur l’intelligence artificielle (RIA ou AI Act), le 1er août 2024, les acteurs publics doivent progressivement intégrer de nouvelles obligations en complément de celles déjà prévues par le RGPD.
Pourquoi les collectivités sont-elles concernées ?
Dans la majorité des cas, une collectivité est considérée comme déployeur d’un système d’IA, c’est-à-dire qu’elle utilise une solution développée par un tiers.
Cela peut concerner par exemple :
- un assistant de rédaction ;
- un chatbot sur un site internet ;
- une IA générative ;
- un outil intégré à un logiciel métier ;
- un système d’aide au recrutement ;
- une caméra ou un dispositif d’analyse automatisée.
Plus rarement, une collectivité peut également être considérée comme fournisseur lorsqu’elle développe ou fait développer un système d’IA qu’elle met ensuite en service sous son propre nom.
Les obligations dépendent ensuite principalement du niveau de risque associé à l’utilisation de l’IA.
4 niveaux de risque à connaître
Le règlement européen classe les usages de l’intelligence artificielle selon une approche fondée sur les risques.
🔴 Les pratiques interdites
Certains usages sont considérés comme incompatibles avec les droits fondamentaux.
Sont notamment concernés :
- certaines techniques de manipulation des personnes ;
- l’exploitation de personnes vulnérables ;
- les systèmes de notation sociale ;
- certaines formes de prédiction du risque de commission d’une infraction ;
- certaines utilisations de la reconnaissance faciale ;
- la reconnaissance des émotions sur le lieu de travail ou dans l’enseignement ;
- certaines catégorisations biométriques.
Exemple : une collectivité ne pourrait pas attribuer un « score de civisme » à ses administrés et utiliser cette note pour déterminer l’accès à un service public.
🟠 Les systèmes d’IA à haut risque
Il s’agit de systèmes susceptibles d’avoir un impact important sur la santé, la sécurité ou les droits fondamentaux des personnes.
Plusieurs usages peuvent particulièrement concerner les collectivités :
Aides et prestations sociales
Par exemple, un outil utilisé pour participer à l’évaluation de l’éligibilité d’une personne à une prestation.
Recrutement et ressources humaines
Par exemple, une IA permettant de présélectionner automatiquement des candidatures.
Infrastructures critiques
Par exemple, certains systèmes intervenant dans la gestion de l’eau, de l’électricité, du chauffage ou du trafic routier.
Éducation et formation
Certains systèmes utilisés dans les processus d’admission, d’affectation ou d’évaluation peuvent également être concernés.
La qualification dépend toutefois de l’usage concret du système et de son influence sur la décision finale.
🟡 Les systèmes soumis à des obligations de transparence
Certains outils ne présentent pas un niveau de risque élevé mais peuvent créer une confusion pour l’utilisateur.
C’est notamment le cas de certains chatbots ou agents conversationnels.
Lorsqu’un administré échange avec une intelligence artificielle, il doit en principe être informé qu’il interagit avec une machine, sauf lorsque cela est évident.
🟢 Les usages présentant un risque faible ou minimal
De nombreux systèmes d’IA utilisés au quotidien ne présentent qu’un risque très limité.
C’est par exemple le cas de certains filtres anti-spam ou outils d’assistance sans impact significatif sur les droits des personnes.
Ils restent toutefois concernés par certaines règles générales, notamment en matière de maîtrise et d’utilisation responsable de l’intelligence artificielle.
Quelles obligations pour les collectivités ?
Pour les systèmes d’IA à haut risque, plusieurs obligations doivent progressivement être anticipées.
Réaliser une analyse des risques
Certains organismes publics utilisant une IA à haut risque devront réaliser une analyse d’impact sur les droits fondamentaux.
Elle permettra notamment d’identifier :
- les personnes concernées ;
- les risques liés au système ;
- les conséquences potentielles d’une erreur ou d’un biais ;
- les mesures mises en place pour limiter ces risques.
Cette démarche viendra compléter, lorsque cela est nécessaire, l’analyse d’impact relative à la protection des données (AIPD) prévue par le RGPD.
Maintenir un contrôle humain
Une décision importante ne doit pas reposer aveuglément sur le résultat proposé par une intelligence artificielle.
Les agents chargés de superviser ces outils doivent disposer des compétences et de l’autorité nécessaires pour contrôler, corriger ou remettre en cause les résultats produits par le système.
Garantir la transparence
Les personnes concernées doivent être informées dans certaines situations lorsqu’une intelligence artificielle intervient dans un traitement ou une décision.
Cette transparence est particulièrement importante lorsqu’un système interagit directement avec les administrés ou intervient dans un processus ayant des conséquences importantes pour eux.
Surveiller les systèmes utilisés
Une collectivité doit également rester attentive au fonctionnement des outils déployés : qualité des données utilisées, biais éventuels, anomalies, incidents ou résultats incohérents.
Former et sensibiliser les agents : une obligation déjà en vigueur
Depuis le 2 février 2025, le règlement prévoit une obligation de littératie en intelligence artificielle.
Concrètement, les organismes utilisant des systèmes d’IA doivent prendre des mesures pour permettre aux personnes qui les utilisent de disposer d’un niveau de compréhension suffisant.
Pour une collectivité, cela peut passer par :
- la sensibilisation des agents ;
- des formations adaptées aux métiers ;
- une charte d’utilisation de l’IA ;
- une cartographie des outils utilisés ;
- des règles concernant les données pouvant être transmises aux IA ;
- une documentation des actions de formation réalisées.
L’objectif n’est pas de transformer tous les agents en experts de l’intelligence artificielle, mais de leur permettre d’en comprendre les possibilités, les limites et les risques.
Attention au « Shadow AI »
L’un des principaux enjeux concerne aujourd’hui le développement du Shadow AI : l’utilisation d’outils d’intelligence artificielle par des agents sans qu’ils aient nécessairement été identifiés ou validés par leur organisation.
Copier un dossier nominatif, un document interne ou des données personnelles dans un outil d’IA grand public peut entraîner la transmission de ces informations à un tiers.
Il est donc essentiel de définir clairement quels outils peuvent être utilisés et quelles informations peuvent leur être transmises.
En particulier, les données personnelles, informations confidentielles et documents sensibles ne doivent pas être transmis à une IA sans s’être assuré que cet usage est autorisé et sécurisé.
Les principales dates à retenir
2 février 2025
Entrée en application des premières pratiques interdites et de l’obligation de littératie en IA.
2 août 2025
Entrée en application de certaines dispositions relatives notamment aux modèles d’IA à usage général.
2 août 2026
Application d’une grande partie du règlement et de plusieurs obligations de transparence.
2 décembre 2026
Entrée en application de nouvelles interdictions concernant certains contenus générés ou manipulés par intelligence artificielle.
2 décembre 2027
Application des principales obligations concernant les systèmes d’IA à haut risque relevant de l’annexe III.
2 août 2028
Application des obligations concernant certains systèmes d’IA à haut risque intégrés à des produits réglementés.
2 août 2030
Échéance prévue pour la mise en conformité de certains systèmes d’IA à haut risque déjà utilisés par des autorités publiques.
Comment anticiper dès maintenant ?
Avant même l’entrée en application de l’ensemble des obligations, quelques actions permettent déjà aux collectivités de préparer leur mise en conformité :
1. Recenser les outils d’IA utilisés, y compris ceux intégrés aux logiciels métiers.
2. Identifier les données traitées, notamment lorsqu’il s’agit de données personnelles ou confidentielles.
3. Évaluer les risques associés aux différents usages.
4. Sensibiliser et former les agents aux bonnes pratiques.
5. Définir des règles internes d’utilisation de l’IA, par exemple à travers une charte.
6. Associer les référents RGPD, les services informatiques et les métiers aux nouveaux projets intégrant de l’intelligence artificielle.
L’objectif : permettre aux collectivités de bénéficier des opportunités offertes par l’IA tout en garantissant des usages maîtrisés, transparents et respectueux des droits des administrés et des agents.