Les cinq risques concrets
| Risque | Exemple | La parade |
|---|---|---|
| Erreurs et inventions | Un délai légal ou un prix faux dans une réponse au client | Vérifier chiffres, dates, noms et références sur une source sûre |
| Biais | Un tri de candidatures qui défavorise un profil, parce que les exemples d'origine le faisaient | Pas de décision automatisée sur des personnes ; contrôle humain réel |
| Fuite de données | Un fichier clients collé dans un compte personnel gratuit | Compte professionnel avec contrat, anonymisation, charte |
| Actions non voulues | Un agent qui envoie cinquante e-mails à partir d'une consigne mal comprise | Accès minimal, actions réversibles, validation avant envoi |
| Instructions cachées | Un document lu par l'agent contient une consigne qui le détourne | Ne pas laisser un agent exécuter ce qu'il trouve dans des contenus externes |
Ce que dit l'AI Act
- Former : depuis le 2 février 2025, l'article 4 demande aux entreprises qui utilisent l'IA de prendre des mesures pour soutenir la maîtrise de l'IA de leur personnel. Aucun certificat n'est exigé (voir l'obligation de formation).
- Interdits : depuis le 2 février 2025, il est interdit d'utiliser un système d'IA pour déduire les émotions d'une personne sur le lieu de travail, sauf raisons médicales ou de sécurité.
- Transparence : depuis le 2 août 2026, les personnes doivent être informées qu'elles échangent avec une IA, et les images, vidéos ou sons réalistes générés ou modifiés par IA doivent être signalés.
- Haut risque : utiliser l'IA pour le recrutement (tri de candidatures, évaluation) ou la gestion des salariés (évaluation, promotion) entraîne les obligations du déployeur de l'article 26, applicables au 2 décembre 2027 : contrôle humain par des personnes formées, journaux conservés au moins six mois, information préalable des représentants du personnel et des salariés concernés.
Ce que dit le RGPD
- Un contrat avec l'éditeur de l'outil dès que des données personnelles y passent (article 28).
- Pas de données sensibles (santé, opinions, origine…) sauf exceptions précises (article 9).
- Pas de décision fondée exclusivement sur un traitement automatisé qui affecte significativement une personne, sauf exceptions, et toujours une intervention humaine possible (article 22).
- Une analyse d'impact quand le traitement présente un risque élevé, par exemple l'évaluation systématique de personnes (article 35).
Ce que dit le Code du travail
- Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui ne lui a pas été présenté avant (article L1222-4).
- Les candidats sont informés, avant leur mise en œuvre, des méthodes et techniques d'aide au recrutement (article L1221-8).
- À partir de 50 salariés, le CSE est consulté sur l'introduction de nouvelles technologies (article L2312-8).
Les six règles d'une IA responsable dans une PME
- Une liste des outils autorisés et des comptes à utiliser.
- Une liste des données qu'on ne saisit jamais.
- Une relecture humaine de tout ce qui part à l'extérieur.
- Pas de décision sur une personne confiée à l'IA.
- Des agents limités au minimum d'accès, avec des actions réversibles.
- Une équipe formée, et une trace de cette formation.
La charte IA met ces règles par écrit, la checklist des obligations dit ce qui s'applique à votre entreprise, et le kit conformité IA fournit charte, registre et mentions prêts à adapter.
Pour continuer
Toutes les pages de la rubrique sont sur Agents IA : définition et usages. Pour former l'équipe, le parcours de formation IA est gratuit, et la page Formation IA en entreprise réunit les formations par outil et par métier. Pour une séance animée pour toute l'équipe : formation accompagnée.
Méthode et sources
Références utilisées :
- AI Act Service Desk (Commission européenne), article 4 : maîtrise de l'IA
- AI Act Service Desk, article 5 : pratiques interdites
- AI Act Service Desk, article 50 : obligations de transparence
- AI Act Service Desk, article 26 : obligations des déployeurs de systèmes à haut risque
- AI Act Service Desk, annexe III : systèmes d'IA à haut risque
- CNIL, RGPD chapitre 3 : droits de la personne (article 22, décision automatisée)
- CNIL, RGPD chapitre 4 : responsable du traitement et sous-traitant (articles 28 et 35)
- Légifrance, Code du travail, article L1221-8 (information des candidats sur les méthodes de recrutement)
- Légifrance, Code du travail, article L2312-8 (consultation du CSE)
Cet outil est vérifié par des tests automatiques sur des cas connus. Une erreur ? Signalez-la sur la page Contact.
Mis à jour le
Questions fréquentes
Quels sont les risques de l'IA en entreprise ?
Les erreurs et inventions dans les réponses, les biais dans les décisions sur des personnes, les fuites de données saisies dans des outils sans contrat, et pour les agents, des actions non voulues répétées à grande échelle.
Qu'est-ce qu'un biais de l'IA ?
Une erreur systématique qui favorise ou défavorise certains cas, souvent héritée des données d'origine. Elle est particulièrement grave dans le recrutement ou l'évaluation, d'où l'interdiction des décisions entièrement automatisées sur des personnes.
Qu'est-ce qu'une IA responsable pour une PME ?
Des règles simples et écrites : outils autorisés, données interdites, relecture humaine, pas de décision automatisée sur des personnes, équipe formée. Une charte IA les réunit.