IA et conformité : automatiser sans déléguer la responsabilité

La conformité produit beaucoup de texte : politiques, questionnaires, analyses d’écarts, réponses à des demandes clients. C’est un terrain où l’assistance automatisée fait gagner un temps réel.

C’est aussi un terrain où une erreur ne se voit pas — un document faux ressemble exactement à un document juste. D’où la nécessité de trancher précisément ce qu’on délègue.

Le principe : la responsabilité ne s’automatise pas

Un point de départ non négociable : la conformité est un engagement de l’organisation. Un document erroné produit par un outil engage celui qui le signe, pas l’outil.

Cela ne condamne pas l’usage. Cela impose une règle simple : l’assistance produit, l’humain vérifie et assume. Toute la question est de savoir où la vérification est possible et où elle ne l’est pas.

Ce qui se prête bien à l’automatisation

La comparaison de référentiels

Établir une correspondance entre les mesures d’ISO/IEC 27002:2022 et les exigences de l’article 21 de NIS 2, ou entre deux versions d’une norme, est un travail volumineux et vérifiable point par point.

Le gain est réel, et l’erreur est détectable : chaque correspondance proposée se contrôle contre le texte.

Les réponses aux questionnaires clients

C’est probablement le meilleur cas d’usage. Les questionnaires sécurité se ressemblent, et une organisation y répond des dizaines de fois par an.

Constituer une base de réponses validées, puis proposer automatiquement la réponse correspondant à chaque question, fait gagner un temps considérable — à condition que la base soit à jour et qu’un humain valide chaque envoi.

Le risque est précis : répondre « oui » sur la foi d’une réponse d’il y a dix-huit mois alors que le dispositif a changé. C’est exactement le mécanisme de la déclaration inexacte décrit dans ce que l’assureur vérifie.

La première lecture d’un contrat

Repérer l’absence d’une clause de notification, d’un droit d’audit ou d’une clause de réversibilité dans un contrat long est un travail de repérage. Voir les clauses indispensables.

L’assistance signale les manques ; le juriste tranche.

La rédaction de premières versions

Structurer une procédure, produire un brouillon de politique, reformuler pour un lecteur non technique. Même logique que pour tout livrable : l’assistance fait gagner sur la forme, pas sur le fond.

Le tri de la veille

Filtrer un flux réglementaire selon votre périmètre, avec validation humaine des éléments retenus — voir structurer la veille.

Ce qu’il ne faut pas déléguer

La qualification juridique. Déterminer si vous êtes entité essentielle ou importante, si un traitement relève du haut risque au sens de l’AI Act, si une analyse d’impact est obligatoire : ces décisions engagent, et une erreur ne se voit pas avant le contrôle.

L’appréciation du risque. Un modèle ne connaît ni votre contexte métier, ni votre appétence au risque, ni ce que votre direction est prête à accepter.

La décision d’acceptation d’un risque. C’est un acte de gouvernance qui suppose une autorité — voir l’homologation et la revue de direction.

Les notifications réglementaires. Une notification à une autorité engage l’organisation. Elle se relit ligne à ligne.

Le risque spécifique : l’assurance mal placée

C’est le danger propre à ce domaine, plus insidieux qu’une fuite de données.

Une réponse générée est fluide, structurée, et cite parfois des articles précis. Elle paraît donc fiable — y compris quand elle attribue une exigence au mauvais texte, ou invente un numéro d’article plausible.

Dans un domaine où la vérification suppose de connaître le référentiel, une personne peu expérimentée n’a aucun moyen de repérer l’erreur. Le risque n’est pas que l’outil se trompe : c’est qu’il se trompe de façon convaincante devant quelqu’un qui ne peut pas le savoir.

Conséquence pratique : l’assistance à la conformité est un outil pour ceux qui maîtrisent déjà le sujet. Elle accélère un expert ; elle égare un débutant.

Les précautions à mettre en place

1. Vérification systématique contre le texte source. Toute référence à un article, une clause ou une mesure se contrôle dans le document original.
2. Traçabilité. Savoir quels documents ont été produits avec assistance, et par qui ils ont été validés.
3. Base de connaissances maîtrisée. Pour les questionnaires, une base de réponses validées et datées, avec revue périodique.
4. Cloisonnement des données. Un contrat, une politique ou une analyse de risques sont des documents sensibles. Les questions de fuite de données et d’héritage des droits d’accès s’appliquent pleinement.
5. Inscription au dispositif de gouvernance de l’IA — voir construire une politique.

Le cas des prestataires

Si vous confiez une mission de conformité à un cabinet, la question mérite d’être posée : utilise-t-il des outils d’assistance, vos documents sortent-ils de son périmètre, et quelle relecture humaine est faite avant remise ?

Ce n’est pas une question hostile. C’est la même que celle à poser sur toute prestation, et la qualité de la réponse est en soi informative.

Ce que ça change au métier

La partie rédactionnelle de la conformité se réduit. La partie qui prend de la valeur est celle qui ne s’automatise pas : comprendre un contexte métier, arbitrer, faire décider, tenir une position devant une direction.

C’est plutôt une bonne nouvelle pour la profession — à condition que les nouveaux entrants apprennent le fond avant de s’appuyer sur l’assistance. Un consultant qui n’a jamais lu une norme et qui produit des analyses assistées ne saura pas repérer l’erreur qui compte.

Sources

• Règlement (UE) 2024/1689 — AI Act
• NIST AI Risk Management Framework
• CNIL — intelligence artificielle
• ISO/IEC 27001:2022, clauses 7.5 (informations documentées) et 9.3

Aller plus loin

Nos missions de gouvernance, risques et conformité couvrent la construction et la tenue de ces dispositifs.