5 Points à prendre en compte pour accélérer son adoption de manière responsable

À l’heure actuelle, l’intelligence artificielle fait déjà partie du quotidien de nombreuses entreprises belges : pour le service aux clients, la comptabilité, le traitement des documents, le marketing, le reporting, la planification et la cybersécurité, entre autres.

Selon les derniers chiffres belges, environ 24 % des PME utilisaient l’IA en 2025. Dans les entreprises de taille moyenne, cette part a atteint 54,5 %.

Cette évolution n’a rien d’étonnant. L’IA peut faire gagner du temps sur les tâches répétitives ou chronophages et traiter de grandes quantités d’informations. Pour les entreprises, cela peut se traduire par des gains d’efficacité, une amélioration de la prestation de services et davantage de temps consacré aux activités stratégiques.

En même temps, l’IA n’est pas une fonctionnalité comme les autres. Cette technologie peut traiter des données à caractère personnel, influencer des décisions, enregistrer des informations confidentielles et générer des résultats erronés. L’entreprise reste responsable de la manière dont elle utilise l’IA, même lorsque le système a été développé par un fournisseur externe.

Les cinq points d’attention suivants conditionnent l’intégration responsable de l’IA dans les activités quotidiennes.

Sachez quelle IA est utilisée dans votre entreprise

Un premier défi réside dans l’utilisation non contrôlée de l’IA par les collaborateurs. Ils peuvent par exemple utiliser des agents conversationnels publics tels que ChatGPT ou Google Gemini pour résumer des textes, rédiger des e-mails, analyser des contrats ou générer du code.

Cette utilisation n’est pas nécessairement problématique. La situation devient risquée lorsque l’entreprise ignore quels outils sont utilisés, quelles données sont introduites et qui en vérifie les résultats. Par ailleurs, vos logiciels peuvent également intégrer des fonctionnalités d’IA, sans qu’on y pense.

Les entreprises qui utilisent un système d’IA dans le cadre de leurs activités professionnelles sont, en principe, ce qu’on appelle les « déployeurs ». Par conséquent, elles doivent non seulement se pencher sur l’achat de l’outil, mais aussi sur son utilisation au sein de leur organisation.

Recommandations pratiques :

Procédez à un inventaire IA. Notez pour chaque application :

• quel outil est utilisé ;
• dans quel but ;
• quelles données sont saisies ;
• quelles personnes ou quels processus sont concernés ;
• qui en est responsable en interne ;
• quel contrôle est requis avant utilisation.

Tenez également compte des utilisations de l’IA qui n’ont pas été soumises à la procédure d’achat officielle. Sans état des lieux, il vous sera bien difficile de mettre en place des règles adéquates.

Protégez les données à caractère personnel et les informations confidentielles

Un prompt peut aller bien au-delà d’une simple requête. Les employés peuvent, sans s’en rendre compte, saisir des noms, des données clients, des informations sur le personnel, des chiffres financiers, des contrats ou des secrets d’entreprise.

Dès lors que des données à caractère personnel sont traitées, le RGPD s’applique et continue de s’appliquer, même lorsque ce traitement est effectué à l’aide de l’IA. L’entreprise doit notamment être en mesure de justifier les raisons pour lesquelles les données sont traitées, la nécessité de ce traitement, la durée de conservation des données, ainsi que les mesures de sécurité mises en place.

Le RGPD et la loi sur l’IA sont complémentaires. Le fait qu’une application d’IA relève d’une catégorie de risque limitée ne signifie donc pas que les obligations en matière de protection de la vie privée disparaissent. Les principes de caractère non abusif, de limitation des finalités, de minimisation des données, d’exactitude, de transparence et de sécurité restent d’actualité.

Les secrets d’entreprise méritent également une attention particulière. Une entreprise ne sait pas toujours quelles données sont conservées par un service d’IA public, qui a accès aux données saisies ni si celles-ci sont utilisées pour entraîner les services ou les modèles.

Mesures pratiques :

Introduisez une classification des données pour l’utilisation de l’IA. Déterminez quelles informations :

• peuvent être importées librement ;
• ne peuvent être traitées que dans un environnement préalablement approuvé par l’entreprise ;
• doivent d’abord être anonymisées ;
• ne peuvent jamais être saisies dans un outil d’IA externe.

Vérifiez également les paramètres relatifs à la conservation des données, à l’entraînement des modèles, aux sous-traitants et à l’hébergement. Une politique efficace en matière d’IA ne doit pas seulement stipuler ce qui est interdit, mais aussi proposer une alternative pratique et sûre.

Utilisez l’IA en soutien, mais ne lui faites pas confiance aveuglément lorsqu’il s’agit de prendre des décisions

Les résultats générés par l’IA peuvent paraître convaincants tout en étant incorrects. Elle peut générer des chiffres erronés, des sources inexistantes ou des fausses interprétations. De plus, dans le cas de processus sensibles, les biais inclus dans les données ou dans le modèle peuvent entraîner une inégalité de traitement.

Ce risque est particulièrement élevé lorsque l’IA est utilisée dans le cadre du recrutement, de l’évaluation du personnel, des promotions, de l’octroi de crédits ou de l’accès aux services. En fonction de leur utilisation et du contexte, de telles applications peuvent être soumises aux règles plus strictes qui s’appliquent à l’IA à haut risque.

Dans ce cas, le contrôle humain ne se limite pas à une simple validation formelle a posteriori. Reprendre tels quels les résultats générés par l’IA, c’est s’exposer à des risques. L’intervention humaine doit apporter une réelle plus-value.

La jurisprudence belge récente démontre les conséquences concrètes d’une utilisation imprudente de l’IA. Dans une affaire où l’IA avait été utilisée pour rédiger des actes de procédure, il est apparu que les sources et la jurisprudence citées n’existaient pas. Le problème n’était pas l’utilisation de l’IA, mais bien le fait que les résultats n’avaient pas été rigoureusement vérifiés.

Mesures pratiques :

Déterminez à l’avance pour quelles applications un contrôle humain est obligatoire. Pensez notamment aux :

• conseils juridiques, fiscaux ou financiers ;
• communications avec les clients ou les pouvoirs publics ;
• décisions en matière de ressources humaines ;
• décisions ayant des conséquences financières importantes ;
• consignes de sécurité critiques ;
• publications externes contenant des allégations factuelles.

Un protocole de contrôle simple peut suffire : vérifiez les faits, vérifiez les sources, évaluez leur pertinence dans le contexte et précisez qui a approuvé le résultat.

N’oubliez pas les travailleurs et le bien-être au travail

L’IA peut aider les collaborateurs, mais elle peut aussi avoir une incidence sur leur autonomie et l’organisation de leur travail. Pensez aux systèmes qui mesurent les performances, répartissent les tâches, sélectionnent les candidats ou suivent le rythme de travail.

En matière d’IA et de RH, la législation sur la protection de la vie privée n’est pas la seule à considérer. Les obligations d’information et de concertation, les risques de discrimination et la réglementation en matière de bien-être au travail sont également importants. Selon les cas, le conseil d’entreprise, le CPPT ou d’autres représentants du personnel doivent être impliqués dans les décisions.

Lors de la mise en place de nouvelles technologies, il convient également de prendre en compte les éventuelles conséquences psychosociales, telles que le stress lié à la technologie, l’augmentation de l’intensité du travail, le fait d’être joignable en permanence ou le sentiment d’être constamment surveillé.

De plus, l’identification des émotions est une limite à ne pas franchir. L’utilisation de l’IA pour deviner les émotions des salariés ou des candidats est en principe interdite, sous réserve d’exceptions limitées à des fins médicales ou de sécurité.

Mesures pratiques :

Évaluez les applications d’IA destinées aux RH en collaboration avec les services RH, juridique, informatique, le service de prévention et le délégué à la protection des données (DPO) de votre entreprise.

Posez-vous au moins les questions suivantes :

• Quelle décision a une incidence sur le système ?
• Les salariés ou les candidats font-ils l’objet d’un profilage ?
• Cette application peut-elle indirectement entraîner une discrimination ?
• Qui peut annuler le résultat ?
• Les données erronées peuvent-elles être corrigées ?
• Quelles sont les obligations en matière de consultation et d’information ?
• Quel est l’impact de ce système sur la charge de travail et l’autonomie ?
  
  

Rendez les contrats et la gouvernance aussi pratiques que la technologie

En général, l’IA n’est pas entièrement développée en interne. Les entreprises utilisent l’IA via des plateformes cloud, des licences logicielles, des API et des applications d’entreprise. De ce fait, une partie du contrôle incombe au fournisseur.

Une disposition générale telle que « pas d’IA sans autorisation préalable » peut sembler une bonne mesure de protection, mais est souvent trop restrictive dans la pratique. En effet, l’IA peut être intégrée aux services habituels d’un fournisseur. Il vaut mieux faire la distinction entre une utilisation à faible risque, comme le soutien aux tâches en interne, et une utilisation dans laquelle l’IA influence directement la communication avec les clients, les décisions ou les transactions.

L’évaluation d’un fournisseur doit notamment porter sur l’utilisation des données, l’entraînement des modèles, la sécurité, les sous-traitants ultérieurs, la propriété intellectuelle, les droits d’audit, le signalement des incidents, les modifications apportées aux modèles et la résiliation du contrat.

La même logique s’applique en interne. La gouvernance de l’IA ne doit pas nécessairement déboucher sur la création d’un nouvel organe de contrôle complexe. Il faut toutefois que les responsabilités soient clairement définies : qui approuve les nouvelles applications, qui gère l’inventaire, qui traite les incidents et qui doit rendre des comptes à la direction ?

Par ailleurs, la loi sur l’IA exige la mise en place de mesures visant à favoriser la culture de l’IA au sein de l’organisation. Cette loi n’impose pas de formation spécifique ni de certificat particulier, mais la formation et les directives pratiques doivent être adaptées au rôle, à l’expérience et au contexte des collaborateurs concernés.

Mesures pratiques :

Définissez un cadre pour l’IA comprenant :

• un responsable de la gouvernance de l’IA ;
• une liste des outils approuvés ;
• des règles relatives à l’utilisation des données ;
• une procédure d’autorisation pour les applications sensibles ;
• un point de contrôle humain obligatoire ;
• une procédure en cas d’incident ;
• une formation adaptée aux fonctions.

Pour les systèmes d’IA capables d’agir d’eux-mêmes (par exemple, envoyer des messages, modifier des données ou lancer des transactions), des garanties supplémentaires sont nécessaires. Travaillez avec des restrictions d’accès, des niveaux d’autorisation, la journalisation et une fonction d’arrêt efficace.

Conclusion – N’attendez plus pour encadrer l’IA

La réglementation européenne en matière d’IA repose sur une approche fondée sur les risques. Toutes les applications d’IA ne nécessitent pas un vaste projet de mise en conformité, mais chaque entreprise doit savoir ce qu’elle utilise et quelles conséquences cette utilisation peut avoir.

Commencez par ces quatre étapes :

1. recensez les applications et les expériences actuelles en matière d’IA ;
2. évaluez, pour chaque application, l’impact sur les personnes, les données et les processus de l’entreprise ;
3. établissez des règles claires en matière d’autorisation, d’utilisation des données et de contrôle humain ;
4. réexaminez les contrats avec les fournisseurs ainsi que les processus existants en matière de protection de la vie privée, de ressources humaines et d’informatique.

Nul besoin de freiner le développement de l’IA. Les entreprises qui en tireront le plus grand profit ne seront probablement pas celles qui adopteront cette technologie de la manière la plus effrénée, mais bien celles qui parviendront à concilier rapidité et sens des responsabilités.

Une courte analyse des risques ou de la gouvernance de l’IA peut rapidement mettre en évidence les principales lacunes et les améliorations les plus réalisables. Ainsi, l’IA ne devient pas un projet de plus, mais un élément maîtrisable s’inscrivant dans le cadre plus large de la gestion de l’entreprise.