Autoriser, encadrer ou refuser : évaluer un outil d’IA
La question n'est pas « cet outil est-il dangereux ? » mais « pour quel usage, avec quelles données, sous quelles garanties ? ». Voici la grille que nous utilisons.
Commencer par la donnée, pas par l’outil
Le même service peut être anodin ou inacceptable selon ce qu'on lui soumet. Reformuler un texte public n'engage rien ; y déposer un dossier de candidature, une pièce médicale ou un contrat client change entièrement la nature du traitement.
Qualifiez d'abord la catégorie de données que l'usage envisagé implique. Tout le reste de l'évaluation en découle.
Les garanties qui comptent réellement
Quatre points départagent les fournisseurs. L'engagement contractuel de non-réutilisation des données pour l'entraînement, écrit et pas seulement affiché sur une page marketing. L'existence d'un accord de sous-traitance et la localisation effective des traitements. La durée de conservation et la possibilité de désactiver la journalisation. Enfin la réversibilité : que récupérez-vous, et sous quel format, le jour où vous partez.
Une offre grand public et une offre entreprise du même éditeur diffèrent souvent sur ces quatre points. C'est généralement là que se joue la décision, pas sur la qualité du modèle.
Classer avant d’arbitrer
Un usage qui relève de l'annexe III de l'AI Act — recrutement, évaluation des personnes, accès à des services essentiels — ne se traite pas comme une aide à la rédaction. La classification n'est pas un exercice administratif : elle détermine le niveau d'exigence et le temps que vous devrez y consacrer.
Documentez le raisonnement, pas seulement la conclusion. Un an plus tard, personne ne se souviendra pourquoi tel outil avait été jugé à risque limité — et c'est exactement ce qu'on vous demandera.
Questions fréquentes
Combien de temps prend une évaluation ?
Quelques dizaines de minutes pour un usage simple avec un fournisseur documenté ; nettement plus dès que des données personnelles sensibles ou un usage annexe III entrent en jeu, car une analyse d'impact devient alors nécessaire.
Faut-il refuser tous les outils grand public ?
Non — il faut cadrer ce qu'on leur soumet. Beaucoup d'usages légitimes ne traitent aucune donnée sensible ; les interdire sans distinction pousse à l'usage clandestin.
Qui doit trancher ?
La décision se prend rarement seul : la sécurité qualifie le risque technique, le DPO le risque sur les personnes, le métier l'utilité. L'important est que quelqu'un soit nommément responsable de la décision finale.
Une décision documentée vaut mieux qu’une interdiction oubliée.
Voyez comment la plateforme instruit et trace ces arbitrages.
Dans le même silo
Voir aussi : Checklist AI Act · Le registre des usages IA · Usages publics à haut risque (annexe III) · Sécurité des IA génératives