Comment cartographier et réguler les IA à haut risque en entreprise ?
L’intelligence artificielle s’installe dans le recrutement, l’évaluation des candidatures, la mobilité interne et le pilotage des équipes. Ces outils peuvent accélérer le tri de dossiers ou détecter des compétences, mais ils influencent aussi des droits et des trajectoires professionnelles. Cartographier les IA à haut risque permet de repérer les usages qui exigent un contrôle renforcé avant leur déploiement. La démarche relie le droit, les ressources humaines, la sécurité des données et les achats logiciels. Elle donne surtout aux dirigeants un ordre de priorité exploitable.
En résumé : cartographier les IA à haut risque
- Recenser chaque cas d’usage, ses données, son fournisseur et la décision qu’il influence.
- Évaluer le risque selon la criticité, la probabilité, l’impact et les actions correctrices prévues.
- Documenter les contrôles humains avant de mettre en service les outils RH concernés.
- Une simple charte d’usage ne prouve pas la conformité d’un système employé pour recruter ou évaluer.
- Un outil présenté comme une aide peut relever du haut risque s’il pèse réellement sur une décision.
- Un inventaire figé devient vite caduc après une mise à jour du modèle ou un nouveau jeu de données.
Comment identifier les systèmes d’IA à haut risque selon leurs usages et leurs impacts ?
Le règlement européen sur l’intelligence artificielle, appelé AI Act, classe parmi les systèmes d’IA à haut risque plusieurs applications liées à l’emploi. Sont visés les outils destinés au recrutement, à la sélection, à l’évaluation, à la surveillance des salariés ou à l’allocation de tâches fondée sur leurs caractéristiques personnelles. Un logiciel qui attribue un score de candidature ou recommande une sanction mérite donc une analyse précise.
La qualification dépend de la finalité réelle et de l’effet du système. Un outil qui reformule une annonce ne produit pas le même risque qu’un modèle qui élimine automatiquement des candidats. L’exception prévue pour certaines tâches limitées ne s’applique que si la sortie du système n’influence pas matériellement la décision. Les équipes doivent aussi vérifier les exigences du Règlement général sur la protection des données (RGPD), surtout face à une décision exclusivement automatisée.
Le calendrier de l’AI Act prévoit l’application des obligations relatives à la plupart des systèmes à haut risque à partir d’août 2026. Attendre cette échéance expose l’employeur à traiter dans l’urgence la documentation technique, les tests et l’organisation des recours humains.
Cartographier les outils, les données et les workflows d’intelligence artificielle
Une cartographie des risques IA commence par un recensement des cas d’usage, y compris les initiatives locales prises par une direction ou un manager. Chaque ligne du registre décrit le métier concerné, le fournisseur, le modèle employé, les données en entrée, le résultat produit et la décision affectée. Cet inventaire fonctionnel des usages révèle souvent des outils intégrés à des suites bureautiques ou à des plateformes de recrutement, sans validation centrale.
Les données doivent être classées en trois familles opérationnelles. Les données sensibles couvrent, par exemple, la santé, le handicap ou l’origine supposée. Les données stratégiques concernent les plans de succession, les rémunérations et les projections d’effectifs. Les données confidentielles regroupent les CV, les entretiens, les évaluations et les dossiers disciplinaires.
Le registre conserve également la localisation des données, les sous-traitants, la durée de conservation et les droits d’accès. Un libellé interne tel que volcan peut isoler un pilote en phase d’essai. Cette granularité facilite ensuite l’audit et évite de traiter au même niveau un assistant rédactionnel et un moteur de sélection.
Évaluer les systèmes d’IA à haut risque avec une matrice de décision
L’évaluation transforme l’inventaire en plan d’action. Une matrice croisant criticité, probabilité et impact attribue un niveau de priorité à chaque outil. La criticité mesure la place de l’IA dans la décision. La probabilité estime la survenue d’un biais, d’une fuite de données ou d’une erreur. L’impact couvre les conséquences pour la personne, l’employeur et la continuité du service.
| Critère | Question de contrôle | Exemple RH |
|---|---|---|
| Criticité | La sortie modifie-t-elle une décision ? | Classement de candidatures |
| Probabilité | Le risque est-il fréquent ou difficile à détecter ? | Données d’entraînement incomplètes |
| Impact | Quel préjudice peut résulter d’une erreur ? | Exclusion injustifiée d’un candidat |
| Mitigation | Quel contrôle réduit le risque ? | Validation humaine et test de biais |
Les mesures de mitigation peuvent prendre la forme d’un seuil d’alerte, d’une revue humaine obligatoire ou d’un retrait de certains champs de données. Un score élevé sur les quatre critères impose une correction avant mise en production. Cette logique rend l’arbitrage lisible pour la direction générale et documente les choix en cas de contrôle.
La régulation IA en ressources humaines exige des contrôles concrets
La régulation IA en ressources humaines repose sur des preuves, non sur une déclaration de principe. Pour les usages à haut risque, l’organisation doit pouvoir montrer la qualité des données, les limites du modèle, les résultats des tests et les moyens offerts à la personne pour contester une décision. La supervision humaine doit être confiée à une personne formée, capable d’écarter une recommandation algorithmique et disposant du temps nécessaire pour le faire.
La norme ISO/IEC 42001 fournit un cadre de management utile. Elle organise la documentation, la gestion des incidents, la répartition des responsabilités et la revue régulière des systèmes. Le service RH ne doit pas porter seul cette charge. Juridique, informatique, sécurité, achats et représentants des métiers doivent partager le registre et les décisions de déploiement.
La qualité de cette cartographie dépend aussi du socle technique, des accès et des environnements de test. Une infrastructure IA en entreprise bien structurée aide à séparer les pilotes des traitements de production et à journaliser les flux de données.
Organiser la conformité IA pour les employeurs dans la durée
La conformité à l’AI Act s’inscrit dans le cycle de vie complet du système. Elle commence avant l’achat, avec des exigences contractuelles sur la documentation, les incidents, les mises à jour et l’accès aux informations utiles. Elle continue après le déploiement par un suivi des performances et des dérives. Un modèle qui change de version ou reçoit de nouvelles données peut modifier son niveau de risque.
Un comité de gouvernance transverse de l’IA peut se réunir chaque trimestre pour examiner les nouveaux usages et les incidents. Ses décisions doivent alimenter le registre, avec un responsable, une date d’échéance et une preuve de clôture. La traçabilité des versions, des jeux de données et des validations humaines permet de reconstituer une décision litigieuse. Cette traçabilité et explicabilité protège autant les salariés que l’employeur.
L’audit des outils IA en entreprise doit enfin tester le fonctionnement réel, et non se limiter aux documents du fournisseur. Il vérifie les habilitations, les journaux d’activité, les écarts entre la promesse commerciale et l’usage effectif, ainsi que la capacité de désactivation rapide. Un outil RH sans piste d’audit ni responsable identifié doit être suspendu jusqu’à régularisation.
Questions fréquentes sur les IA à haut risque en entreprise
Quels outils RH sont considérés comme des IA à haut risque ?
Les outils qui recrutent, présélectionnent, évaluent, surveillent ou influencent les conditions de travail peuvent relever de cette catégorie. C’est le cas d’un algorithme qui classe les CV, évalue la performance ou recommande une mobilité. La finalité prévue et l’influence réelle sur la décision déterminent le niveau de risque.
Comment évaluer les risques d’un outil d’intelligence artificielle ?
L’évaluation repose sur quatre points : la criticité de l’usage, la probabilité d’un incident, l’impact potentiel et les contrôles disponibles. Un outil qui traite des données de santé et élimine des candidatures sans validation humaine cumule plusieurs facteurs élevés. Il doit être revu avant toute utilisation opérationnelle.
Un employeur peut-il utiliser une IA pour écarter automatiquement des candidats ?
L’employeur s’expose à un risque élevé lorsqu’une décision affectant une personne repose exclusivement sur un traitement automatisé. Une intervention humaine réelle, informée et traçable réduit ce risque sans dispenser de vérifier le RGPD et l’AI Act. Le candidat doit pouvoir obtenir des informations utiles et contester une décision qui le concerne.
À quelle fréquence faut-il actualiser la cartographie des risques IA ?
Une revue trimestrielle convient aux organisations qui utilisent plusieurs outils, complétée par une mise à jour immédiate lors d’un nouveau cas d’usage. Une modification de modèle, de fournisseur, de données ou de finalité impose aussi une réévaluation. Le registre reste ainsi aligné sur les pratiques réelles.
La cartographie permet de concentrer les moyens de contrôle sur les systèmes qui affectent directement les personnes. En associant inventaire, matrice de risques et suivi des versions, l’entreprise sécurise ses décisions RH tout en conservant les gains de productivité des outils d’intelligence artificielle.
