Les principaux modèles linguistiques d’IA ne respectent généralement pas la législation européenne en matière de gouvernance de l’IA et de protection des données
L’intelligence artificielle a atteint une ampleur telle que son impact sur la société ne peut plus être ignoré. Pourtant, selon la fondation de recherche à but non lucratif Aithos, les modèles linguistiques d’IA les plus populaires, ceux qui sont à la base des plus grandes plateformes et des outils d’entreprise, ne respectent pas les normes juridiques essentielles en vigueur dans l’Union européenne. À l’aide de son système de tests de conformité, LARA (Legal Assessment for Real-world Agents), Aithos a constaté que tous les grands modèles linguistiques testés enfreignaient la réglementation européenne en matière de protection des données et d’utilisation responsable de l’IA.
Ces infractions sont graves. Il a été constaté que des modèles collectaient des données d’utilisateurs sans consentement en bonne et due forme, manipulaient les utilisateurs présentant des signes de vulnérabilité et établissaient des profils psychologiques, ce qui constitue une violation du Règlement général sur la protection des données (RGPD) et de la loi européenne sur l’IA. Il ne s’agit ni de cas marginaux ni d’erreurs isolées ; ce sont des résultats systématiques observés sur l’ensemble de l’échantillon de modèles testés.
Les dirigeants doivent prendre conscience de ce que cela implique. L’UE indique clairement que la confiance, la protection de la vie privée et la transparence ne sont pas des éléments facultatifs de la conception de l’IA ; il s’agit d’impératifs juridiques et stratégiques. Les entreprises qui utilisent des modèles d’IA doivent comprendre que le risque de non-conformité est désormais au cœur de leur stratégie opérationnelle. La non-conformité n’entraîne pas seulement des amendes, elle sape la crédibilité à long terme de la marque et limite l’accès au marché dans l’une des régions les plus réglementées au monde.
Les conclusions d’Aithos révèlent un écart considérable dans la capacité de l’IA à assumer une responsabilité juridique dans la pratique. Certains modèles ont échoué aux tests de conformité dans jusqu’à 93 % des cas, tandis que Claude Opus 4.7 d’Anthropic n’a réussi à respecter les normes réglementaires que dans environ 54 % des scénarios. Ces chiffres indiquent que même les systèmes les plus performants ne répondent toujours pas aux exigences légales. Pour les entreprises qui déploient ces systèmes, il n’est plus possible de se fier aveuglément aux fournisseurs ou aux créateurs de modèles. La conformité doit être vérifiée, et non présumée.
Le message adressé aux dirigeants est clair : la gouvernance de l’IA relève désormais de la compétence du conseil d’administration. Les entreprises qui prennent au sérieux le respect des normes éthiques et juridiques éviteront non seulement les risques liés à la réglementation, mais seront également mieux placées pour tirer parti de l’IA de manière sûre, responsable et compétitive sur les marchés mondiaux.
La responsabilité juridique en cas de non-conformité s’étend aux organisations qui déploient des systèmes d’IA personnalisés reposant sur ces modèles non conformes
L’étude Aithos a également mis en évidence un autre point : la responsabilité ne se limite pas aux entreprises qui créent des modèles d’IA à grande échelle. Toute organisation qui déploie des systèmes d’IA utilisant ces modèles, même s’ils ont été modifiés ou personnalisés, peut également être tenue pour responsable en vertu du droit de l’Union européenne. Cela inclut les entreprises qui développent des chatbots, des agents numériques et des outils d’automatisation internes à partir de modèles de base tiers. Si ces modèles de base ne respectent pas les normes du RGPD ou de la loi sur l’IA, les entreprises qui les utilisent partagent cette responsabilité juridique.
Pour les dirigeants, il s’agit là d’un signal d’alarme important. Il ne suffit plus de se fier aux déclarations de conformité des fournisseurs d’IA. Les dirigeants d’entreprise doivent vérifier, auditer et surveiller en permanence leurs systèmes d’IA afin de garantir leur conformité tout au long de leur déploiement et de leur utilisation. Cela implique d’assumer la responsabilité de comprendre comment les données circulent au sein de la technologie, de la collecte jusqu’à la production de résultats. La transparence dans le fonctionnement des modèles, les mécanismes de consentement des utilisateurs et la gestion des biais ne sont plus de simples mesures de protection techniques facultatives ; ce sont des impératifs commerciaux définis par la loi.
Aithos souligne que la responsabilité est partagée, car la chaîne de responsabilité ne s’interrompt pas dès lors qu’un modèle d’IA quitte les mains de son développeur. Le risque lié à la conformité s’étend désormais à l’ensemble du processus de mise en œuvre, du développement à l’intégration, en passant par l’interaction avec l’utilisateur final. L’Union européenne attend des organisations qu’elles conservent des preuves de conformité à chaque étape, afin de garantir que tout produit ou service basé sur l’IA puisse faire l’objet d’un audit visant à vérifier sa conformité à la législation.
Les dirigeants devraient accorder la même priorité à l’infrastructure de conformité qu’à la cybersécurité ou au contrôle financier. Cela implique notamment d’adopter des cadres d’évaluation des risques, de mettre en place des responsables de la conformité en interne spécialisés dans la réglementation relative à l’IA, et de faire appel à des auditeurs indépendants pour valider le comportement des systèmes d’IA. Si la conformité peut accroître la complexité opérationnelle, elle renforce également la résilience, tant sur le plan juridique que sur celui de la réputation, des entreprises qui souhaitent exercer leurs activités en toute confiance au sein de l’UE et au-delà.
La conclusion est claire : la responsabilité juridique en matière d’IA ne cesse de s’étendre. Qu’une entreprise développe son propre modèle ou s’appuie sur un modèle existant, la responsabilité de la conformité ne peut être externalisée. Celles qui mettent en place dès à présent des cadres solides seront non seulement en mesure de respecter les exigences réglementaires, mais aussi de contribuer à définir la norme mondiale émergente en matière de déploiement responsable de l’IA.
Un projet en tête ?
Planifiez un appel de 30 minutes avec nous.
Des experts senior pour vous aider à avancer plus vite : produit, tech, cloud & IA.
Principaux faits marquants
- La non-conformité en matière d’IA constitue un risque stratégique : tous les principaux modèles linguistiques d’IA testés par Aithos se sont révélés non conformes aux normes de l’UE, avec des infractions constatées dans jusqu’à 93 % des cas. Les dirigeants devraient considérer la gouvernance de l’IA comme un enjeu crucial au sein du conseil d’administration, en intégrant des contrôles de conformité directement dans la stratégie d’IA afin de préserver l’accès au marché et la confiance envers la marque au sein de l’UE.
- La responsabilité en matière de conformité s’étend à tous les utilisateurs : les organisations qui intègrent ou personnalisent des systèmes d’IA reposant sur des modèles non conformes sont tout autant responsables au regard du droit de l’Union européenne. Les dirigeants doivent donner la priorité aux audits de conformité de bout en bout et aux mécanismes de transparence afin d’atténuer les risques partagés et de renforcer la résilience réglementaire.
Un projet en tête ?
Planifiez un appel de 30 minutes avec nous.
Des experts senior pour vous aider à avancer plus vite : produit, tech, cloud & IA.
