L'Europe rend l'IA transparente. Pas la dépendance qu'elle crée.
L'Europe vient d'imposer davantage de transparence sur l'intelligence artificielle. C'est une bonne nouvelle. Mais elle ne règle pas la gouvernance des dépendances à l'IA au sein des organisations. Une DSI peut parfaitement savoir qu'elle utilise une IA, tout en ayant déjà perdu la maîtrise de son système d'information.
Le 20 juillet, la Commission européenne a publié ses lignes directrices sur les obligations de transparence de la législation sur l'IA. L'article 50 en constitue le socle. Concrètement, à partir du 2 août, les fournisseurs devront signaler qu'un utilisateur dialogue avec une IA. Par ailleurs, les contenus générés devront porter une marque lisible par machine. Enfin, une échéance complémentaire, le 2 décembre, imposera cette traçabilité aux systèmes déjà déployés.
C'est une avancée réelle. C'est aussi, si l'on n'y prend garde, un trompe-l'œil. Les DSI et RSSI pourraient en effet croire avoir réglé la question de leur dépendance en cochant une simple case de conformité.
Étiqueter n'est pas gouverner les dépendances à l'IA
L'Europe demande d'identifier une IA. Elle ne demande pas d'évaluer la dépendance qu'elle crée. C'est pourtant cette dépendance qui déterminera demain la capacité d'une organisation à rester maîtresse de son système d'information.
La transparence, telle que la définit l'article 50, répond à une question précise : sait-on qu'on interagit avec une IA ? Sait-on qu'un contenu en est issu ? C'est donc une exigence de loyauté envers l'utilisateur final. Elle ne traite pas, en revanche, de la gouvernance de la dépendance au fournisseur. Elle laisse également de côté la réversibilité et la maîtrise des choix d'architecture.
Ainsi, une DSI peut être parfaitement transparente vis-à-vis de ses usagers. Dans le même temps, elle peut avoir progressivement perdu sa capacité interne à comprendre, faire évoluer ou remplacer les solutions utilisées. Le marquage lisible par machine d'un contenu généré ne dit rien de cela. Il ne renseigne pas sur qui détient, en réalité, la capacité de faire évoluer, corriger ou remplacer le système qui l'a produit.
Le risque d'une conformité qui ignore la gouvernance des dépendances à l'IA
L'expérience du terrain m'a appris une régularité. J'ai dirigé le SI de l'académie de Versailles pendant 15 ans, puis conduit la fusion Caen-Rouen. Or, chaque fois qu'une obligation réglementaire est bien conçue mais circonscrite, elle tend à devenir, dans les organisations, le nouvel horizon de la conformité. Le risque avec l'article 50 est identique à celui que j'ai déjà documenté sur d'autres dossiers. Des DSI vont investir dans le marquage et l'étiquetage. Elles obtiendront leur satisfecit d'audit, puis considéreront la question de leur dépendance à l'IA comme close.
Or la gouvernance précède la technologie. Ce n'est pas le label apposé sur le contenu qui protège une organisation. La vraie protection vient d'ailleurs, face à une dépendance cognitive croissante envers un éditeur ou un hyperscaler. Elle vient de la capacité, en amont, à poser les bonnes clauses contractuelles. Elle vient aussi de la capacité à évaluer son indice de capital de maîtrise et à garantir la réversibilité technique. L'actualité VMware-Broadcom a d'ailleurs rappelé cet enjeu critique à nombre de DSI — un rappel que la gouvernance des dépendances à l'IA ne peut pas se permettre d'ignorer.
Ce que l'article 50 devrait déclencher, et ne déclenchera pas seul
Le calendrier est révélateur. Le rapport parlementaire Chatelain-Latombe (n° 3054) sur les dépendances numériques et l'entrée en application de l'article 50 tombent en effet à quelques semaines d'intervalle. Les deux textes parlent de souveraineté, mais à des étages différents. L'un se situe à l'étage de l'usager final, l'autre à celui de l'infrastructure et des choix d'architecture. Une DSI qui se contenterait de traiter le premier sans avoir engagé le second n'aurait fait qu'un tiers du chemin.
L'obligation de transparence devrait donc être l'occasion, pour chaque DSI, de conduire une véritable analyse de dépendance des systèmes d'IA en production. C'est précisément l'objectif de l'AIDN (Analyse d'Impact des Dépendances Numériques), le cadre d'analyse que je développe pour aider les organisations à structurer leur gouvernance des dépendances à l'IA. Appliquée à chaque système d'IA, elle pose ainsi trois questions :
- Souveraineté juridique & hébergement : qui héberge les modèles, et sous quel droit ?
- Réversibilité & architecture : quelles sont les conditions réelles de sortie ou de migration ?
- Capital de maîtrise : quel degré de dépendance cognitive s'est installé au sein même des équipes métiers et techniques ?
Ce travail ne figure dans aucune ligne directrice de la Commission. Il reste donc, comme toujours, à la charge de la gouvernance interne.
Une fenêtre à ne pas laisser se refermer sur une simple case cochée
Le code de bonnes pratiques accompagnant les lignes directrices offre une sécurité juridique bienvenue. Mais la sécurité juridique n'est pas la souveraineté cognitive.
Une IA transparente n'est pas nécessairement une IA maîtrisée.
En définitive, la conformité répond à une question : « Sommes-nous en règle ? ». La gouvernance en pose une autre : « Restons-nous libres de nos choix demain ? ».
La souveraineté numérique ne commence donc pas lorsqu'une IA se déclare.
Elle commence lorsqu'une organisation reste capable de s'en passer.
Jacky Galicher est consultant en gouvernance IT et souveraineté numérique, ancien DSI de l'académie de Normandie et de l'académie de Versailles. Il est l'auteur du cadre conceptuel AIDN (Analyse d'Impact des Dépendances Numériques).