Intelligence artificielle : « Nous sommes en présence d’un lance-missile nucléaire », assure Jean-Philippe Encausse (Nagarro)

Dans un contexte de généralisation des systèmes d’IA dans les entreprises, la régulation européenne — et notamment l’AI Act — soulève autant d’attentes que de questionnements. Faut-il prioriser la conformité juridique ou la performance technologique ? Peut-on bâtir une IA réellement responsable sans acculturation ni gouvernance ? L’Europe va-t-elle trop loin ? Maître Élise Dufour, avocate experte en droit des nouvelles technologies (propriété intellectuelle, tech et data) au sein du cabinet Stephenson-Harwood, et Jean-Philippe Encausse, Innovation Solution Architect chez Nagarro, croisent ici leurs points de vue.

The Media Leader : L’IA responsable est-elle un enjeu technique ou juridique avant tout ?

Élise Dufour : C’est d’abord un enjeu sociétal. Mais sur le plan opérationnel, les deux dimensions — juridique et technique — sont fondamentales. Le droit propose une approche par les risques : certains systèmes sont interdits (comme ceux exploitant les personnes vulnérables ou la reconnaissance faciale en temps réel), d’autres qualifiés à haut risque ou à usage général sont encadrés selon leur finalité. Toute la chaîne de valeur — développeurs, revendeurs, déployeurs — est concernée. Le cadre juridique doit donc précéder l’intégration technique.

Jean-Philippe Encausse : L’IA existe depuis longtemps, mais son usage massif bouleverse tout. Avant, elle touchait des secteurs de niche ; aujourd’hui, elle peut remplacer des métiers entiers. C’est ce changement d’échelle qui oblige à poser des limites. Il faut éviter les abus sans freiner l’innovation. Et comme souvent dans la tech, l’encadrement juridique arrive après la disruption. La régulation est indispensable, car nous sommes en présence d’un lance-missile nucléaire, mais elle doit garder une forme de souplesse.

TML : Le cadre européen (AI Act) vous semble-t-il suffisamment clair et pertinent pour encadrer le développement de l’IA dans l’entreprise ? Certaines obligations (transparence, traçabilité, évaluation de risques…) sont-elles réellement applicables en l’état ? Quels écueils voyez-vous ?

E.D : Le texte n’est pas encore totalement en vigueur. Les interdictions s’appliquent depuis février, les modèles à usage général seront régulés cet été, les IA à haut risque en 2025. Pour l’instant, l’AI Act s’adresse surtout aux grands acteurs. Les PME ne sont ni formées ni équipées pour suivre le niveau d’exigence attendu. Les obligations de transparence ou d’audit sont lourdes, parfois inadaptées à la réalité des entreprises.

J-P.E : En entreprise, on commence souvent par un POC (proof of concept). On teste ce qu’on peut faire techniquement, puis on regarde si c’est légalement faisable. La réalité est souvent déceptive. Il y a un décalage entre les ambitions réglementaires et les capacités réelles des entreprises. Les grands groupes commencent par le juridique, les autres naviguent à vue.

L’IA repose souvent sur des réutilisations ou des croisements de données qui sortent du cadre initial

Me Elise Dufour

TML : Intégrer une IA, c’est aussi revoir sa conformité RGPD ?

E.D : Absolument. Le RGPD impose que toute donnée soit collectée pour une finalité précise. Or, l’IA repose souvent sur des réutilisations ou des croisements de données qui sortent du cadre initial. Il faut donc nettoyer les bases, informer les personnes, obtenir leur consentement si une décision automatisée est prise. Le risque de détournement de finalité est élevé. Sans rigueur sur la donnée, l’IA devient juridiquement instable.

TML : L’Europe va-t-elle trop loin dans sa volonté de réguler, ou pas assez ?

J-P.E : L’Europe joue la carte de la précaution, parfois jusqu’à l’excès. Mais face à des technologies aussi puissantes, c’est compréhensible. Le vrai problème, c’est que les usages explosent : des millions d’images générées chaque jour, des modèles qui s’entraînent entre eux… Le cadre légal devient vite dépassé par la technique. Et il faut aussi intégrer une éthique du partage et de la transparence, qui n’est pas purement juridique.

E.D : Le droit technologique est souvent en retard. Et aujourd’hui, il est aussi d’une complexité qui décourage. Les obligations de traçabilité sont très difficiles à mettre en œuvre avec des modèles auto-apprenants. Même quand on veut agir en justice, c’est un parcours d’obstacles : territorialité, preuve, exception de fouille de textes, etc. Le système est déloyal pour les petits, et quasi-impraticable.

TML : Le droit des affaires, le droit de la propriété intellectuelle suffisent-ils à protéger les savoirs face à l’IA ?

E.D : Non. Aujourd’hui, les systèmes d’IA peuvent moissonner des contenus sans rémunération. Il faudrait mettre en place un système équitable de rétribution — comme une forme de licence globale ou de dépôt décentralisé. La création doit être rémunérée, qu’elle soit artistique, intellectuelle ou scientifique. Sinon, c’est un appauvrissement généralisé.

J-P.E : Le problème, c’est la traçabilité. Si, par exemple, une IA reprend trois voix pour en créer une nouvelle, comment rémunérer chacun ? Et comment anticiper la valeur ? Peut-être faut-il inverser la logique : taguer ce que l’on souhaite protéger explicitement, plutôt que de partir du principe que tout est protégé. Mais on n’a pas encore les outils techniques adaptés à cela.

Il faudra peut-être accepter que tout ne soit pas traçable, et se concentrer sur la responsabilisation des usages

Jean-Philippe Encausse

TML : Peut-on construire une IA responsable uniquement par la contrainte réglementaire ?

E.D : Non. La réglementation est nécessaire, mais elle doit s’appuyer sur des principes éthiques. Le fondement d’une IA responsable, c’est la transparence. Les systèmes doivent être compréhensibles, vérifiables. Sinon, ils seront rejetés. L’obligation de formation, déjà en vigueur, est un bon début, mais il faut aller plus loin : acculturation, gouvernance interne, audit.

TML : Quels garde-fous techniques sont aujourd’hui possibles ?

J-P.E : Sur la base du RGPD, on sait déjà comment sécuriser des données. Mais dès qu’on passe à l’IA générative, la chaîne se brouille. Il devient très difficile de remonter à la source. Les modèles se nourrissent les uns des autres, les contenus sont massifs, les traces se perdent. Il faudra peut-être accepter que tout ne soit pas traçable, et se concentrer sur la responsabilisation des usages. Ou sur la traçabilité des productions sensibles via des systèmes dédiés, mais ce n’est pas encore prêt techniquement.

TML : Qu’attendez-vous encore de la mise en œuvre de l’AI Act ?

J-P.E : Il faut des principes forts, mais surtout une capacité à taper sur les entreprises qui transgressent à grande échelle. Comme avec le RGPD, seuls les gros sont véritablement concernés. Cela fluidifie les choses pour les autres. Mais tout cela doit s’articuler avec du bon sens, et ne pas freiner inutilement l’innovation.

E.D : J’attends surtout un meilleur ciblage. L’AI Act vise surtout les systèmes à haut risque, mais dans les faits, des IA beaucoup plus banales circulent sans encadrement. On risque de passer à côté du vrai sujet : comment les petites et moyennes entreprises peuvent s’approprier ces outils sans être broyées par la complexité réglementaire. Le texte est bien intentionné, mais il est démesuré pour la majorité des structures.