Risques et gouvernance
AI Act, RGPD, biais algorithmique, hallucinations, garde-fous, souveraineté numérique. Le vocabulaire pour distinguer l'expérimentation de la production responsable.
- AI ActL'AI Act est le règlement européen 2024/1689, premier cadre juridique mondial à classifier les systèmes d'IA par niveau de risque et à imposer des obligations différenciées : interdiction pour les usages inacceptables, exigences strictes pour les systèmes à haut risque, transparence pour les autres.
- AI Act pour dirigeantsL'AI Act, en vigueur depuis le 1er août 2024, classe les systèmes d'IA par niveau de risque, et l'Omnibus numérique a reporté jusqu'à fin 2027 les obligations sur le haut risque. Ce report ne dispense pas un comité de direction de cartographier ses usages, de former (article 4), de tracer et de désigner un responsable.
- AlignementL'alignement est l'ensemble des techniques visant à orienter le comportement d'un modèle d'IA vers les objectifs et les valeurs humaines de son utilisateur ou de son éditeur. Il transforme un modèle brut, capable de tout produire, en un assistant utile, honnête et qui refuse les demandes contraires aux règles fixées.
- Auditer la maturité IAAuditer la maturité IA consiste à mesurer ce qui est réellement utilisé, quelles données y circulent et quel cadre existe, puis à situer l'organisation entre déni, interdiction, cadrage et gouvernance. Sans inventaire des usages, une organisation ne peut pas affirmer qu'elle maîtrise ses risques liés à l'IA.
- Baromètre Shadow AI 2026En 2026, l'usage non encadré de l'IA générative au travail n'est plus marginal. Deux tiers des salariés de bureau qui utilisent l'IA pour leur travail l'ont déjà fait avec un outil qu'ils pensaient interdit, et 88 % ont déjà confié des informations professionnelles à une IA publique : e-mails, comptes rendus, données clients.
- Biais algorithmiqueUn biais algorithmique est une déviation systématique d'un modèle d'IA, héritée des données d'entraînement, des choix de conception ou du contexte de déploiement, qui produit des décisions inéquitables ou erronées au détriment d'un groupe de population ou d'un type de cas.
- Cadrer le shadow AICadrer le shadow AI, c'est écrire une politique IA lisible, fournir un outil validé et bien hébergé, et faire relire par une personne toute sortie à enjeu. Former avant de sanctionner.
- Deepfake (hypertrucage)Un deepfake (hypertrucage) est une image, un son ou une vidéo généré ou manipulé par une IA, qui ressemble à une personne, un lieu ou un événement réel et peut être pris à tort pour authentique. En Europe, l'AI Act impose d'indiquer qu'un tel contenu est artificiel. En France, l'article 226-8 du Code pénal punit sa diffusion sans consentement et sans mention.
- Données d'entraînementLes données d'entraînement sont l'ensemble des textes, images, codes et autres contenus utilisés pour entraîner un modèle d'IA. Leur composition détermine ce que le modèle sait, ce qu'il ignore, ses biais et ses risques juridiques. Une partie majeure du contentieux IA actuel porte sur leur provenance et leur licéité.
- Déléguer aux agents IAUn agent IA n'est pas un outil qu'on lance, c'est une décision qu'on délègue. Tant que la doctrine de délégation n'est pas écrite, chaque agent créé la trace à la place du décideur, et c'est la somme de ces choix par défaut, dispersés, qui compose la vraie politique IA de l'entreprise.
- Empreinte carbone de l'IAL'empreinte carbone de l'IA est l'ensemble des émissions de gaz à effet de serre liées à son cycle de vie : entraînement des modèles, fabrication des composants, fonctionnement des data centres et inférence à l'usage. Elle devient un poste de consommation significatif à l'échelle mondiale.
- Garde-fousLes garde-fous sont des couches techniques de contrôle, ajoutées en entrée ou en sortie d'un modèle d'IA, qui détectent et bloquent les comportements indésirables : prompts malveillants, fuites de données, contenus interdits. Ils sont distincts de l'alignement, qui agit sur le comportement par défaut du modèle lui-même.
- Gouvernance de l'IA dans le CAC 40 (étude 2026)Dans leurs documents d'enregistrement universels de l'exercice 2025, les 40 sociétés du CAC 40 décrivent toutes des usages de l'intelligence artificielle et 38 affichent une stratégie IA. Mais 19 seulement mentionnent une politique ou une charte IA, 9 indiquent l'avoir rendue publique, et 14 nomment une instance de direction chargée de piloter l'IA (étude WYP.agency, octobre 2026).
- Human in the loop (humain dans la boucle)Le human in the loop (humain dans la boucle) désigne un mode de fonctionnement où une personne valide, corrige ou rejette chaque décision d'un système d'IA avant qu'elle ne produise ses effets. Il se distingue du human on the loop, où l'IA agit seule sous la surveillance d'un humain capable d'intervenir, et du human out of the loop, où aucun humain n'intervient pendant le fonctionnement.
- IA explicable (XAI)L'IA explicable (XAI, pour explainable AI) regroupe les méthodes qui permettent de comprendre pourquoi un système d'IA a produit un résultat donné, et de l'expliquer à la personne concernée. En Europe, c'est aussi une exigence juridique : depuis l'arrêt de la CJUE du 27 février 2025, une personne visée par une décision automatisée peut exiger une explication de la procédure et des principes concrètement appliqués.
- IA frugaleL'IA frugale désigne un service d'IA dont la nécessité face à une solution moins consommatrice a été démontrée, qui applique des bonnes pratiques pour réduire son impact environnemental et dont les usages ont été questionnés pour rester dans les limites planétaires. Cette définition est celle de l'AFNOR Spec 2314, référentiel français publié en juin 2024 et téléchargeable gratuitement.
- IA responsableL'IA responsable désigne une manière de concevoir, d'acheter et d'utiliser l'IA qui respecte des principes vérifiables : équité, respect des droits et de la vie privée, transparence, robustesse, responsabilité clairement attribuée et sobriété environnementale. La référence internationale est constituée des cinq principes de l'OCDE, adoptés en mai 2019 et révisés en mai 2024.
- Injection de prompt (prompt injection)L'injection de prompt (prompt injection) est une attaque qui consiste à glisser des instructions dans le texte traité par une IA pour détourner son comportement : ignorer ses consignes, divulguer des données, déclencher une action. Classée premier risque des applications fondées sur les LLM par l'OWASP (LLM01:2025), elle vise surtout les assistants et agents qui lisent des contenus externes : pages web, emails, documents, CV.
- ISO/IEC 42001ISO/IEC 42001 est la norme internationale, publiée en décembre 2023 par l'ISO et la CEI, qui fixe les exigences d'un système de management de l'intelligence artificielle (SMIA) : politique, rôles, analyse des risques et des impacts, mesures de contrôle et amélioration continue. Elle est volontaire et certifiable, mais ce n'est pas une norme harmonisée de l'AI Act : un certificat ISO 42001 ne vaut pas présomption de conformité au règlement européen.
- Littératie IA (maîtrise de l'IA, article 4)La littératie IA, appelée maîtrise de l'IA dans la version française de l'AI Act, désigne les compétences, les connaissances et la compréhension qui permettent d'utiliser des systèmes d'IA en connaissance de cause et d'en mesurer les possibilités, les risques et les préjudices possibles. L'article 4 de l'AI Act oblige depuis le 2 février 2025 toute organisation qui fournit ou déploie de l'IA à prendre des mesures pour la développer chez ses équipes, sans imposer de formation type ni de certificat.
- Marquage des contenus générés par IA (article 50)Le marquage des contenus générés par IA désigne les signaux, lisibles par une machine (filigrane invisible, métadonnées) ou par une personne (étiquette, mention), qui indiquent qu'une image, une vidéo, un son ou un texte a été produit ou modifié par une IA. L'article 50 de l'AI Act l'impose depuis le 2 août 2026 : les fournisseurs marquent techniquement les sorties de leurs systèmes génératifs, et les entreprises qui diffusent des deepfakes ou certains textes d'intérêt public doivent le signaler.
- Omnibus numérique (Digital Omnibus)L'Omnibus numérique (Digital Omnibus) est un paquet de simplification des règles numériques européennes présenté par la Commission le 19 novembre 2025. Son volet IA, le règlement (UE) 2026/1744 en vigueur depuis le 27 juillet 2026, reporte au 2 décembre 2027 les obligations haut risque de l'AI Act, tandis que son volet données, qui modifierait le RGPD, est toujours en négociation au 14 octobre 2026.
- Red teamingLe red teaming, emprunté à la cybersécurité, est la pratique de tester un système d'IA en simulant des tentatives d'usage adverse : contournement des règles, extraction de données sensibles, génération de contenus interdits. Il vise à identifier les vulnérabilités avant qu'un acteur malveillant ne les exploite en production.
- RGPD et IALe RGPD encadre tout traitement de données personnelles par un système d'IA opéré dans l'Union européenne ou visant des personnes qui s'y trouvent. Quatre obligations s'appliquent en priorité : finalité explicite, minimisation des données, droits d'accès et d'opposition, et étude d'impact pour les traitements à risque élevé.
- Souveraineté numériqueLa souveraineté numérique est la capacité d'une entreprise ou d'un État à maîtriser ses données, ses infrastructures et ses outils IA, indépendamment de juridictions étrangères. Elle conditionne la confidentialité, la conformité réglementaire et la résilience aux ruptures d'accès dictées par des décisions politiques externes.
- Sycophancy (complaisance des IA)La sycophancy (en français : complaisance ou flagornerie de l'IA) est la tendance d'un modèle d'IA générative à adapter ses réponses pour donner raison à l'utilisateur, parfois au détriment de l'exactitude. Elle vient en partie de l'entraînement sur les préférences humaines, qui récompense les réponses agréables plus que les réponses justes.
- Sécuriser l'IA générative en entrepriseInterdire l'IA générative pousse les usages dans l'ombre, la laisser faire expose l'entreprise. Une charte écrite, un outil validé et un contrôle humain sur les sorties couvrent le RGPD, l'AI Act et la responsabilité de l'entreprise sans freiner personne.