Ce que l’IA voit compte plus que ce que vous lui dites.

Ce que l’IA voit compte plus que ce que vous lui dites

Vous pouvez éduquer un enfant du mieux que vous pouvez.

Lui répéter qu'il ne faut pas mentir.

Mais s'il vous voit mentir chaque jour, il retiendra peut-être davantage le comportement que la consigne.

Pour l'IA, le problème est différent dans sa mécanique, mais similaire dans sa logique.

Vous pouvez écrire la meilleure politique d'usage du monde.

Définir ce que le système peut faire, ce qu'il ne doit jamais faire, les données qu'il doit protéger et les décisions qu'il ne doit pas prendre.

Cela ne suffit pas.

Car un système n'évolue jamais dans le vide.

Il est entraîné sur certaines données, connecté à d'autres, alimenté par des documents, intégré à des processus et exposé aux pratiques réelles de l'organisation.

Et lorsque ces éléments contredisent les règles que vous avez écrites, la conformité sur le papier ne garantit plus grand-chose.

La vraie question n'est donc pas seulement de savoir ce que vous avez demandé au système de faire.

C'est de savoir ce que vous lui avez donné à voir et le pouvoir que vous lui avez donné d'en faire quelque chose.

On certifie des ascenseurs

Le modèle européen de conformité n'est pas né avec l'intelligence artificielle.

Il vient du marquage CE, de la sécurité des produits et d'une vieille tradition industrielle : définir des exigences, contrôler un objet, puis autoriser sa mise sur le marché.

Cette logique fonctionne particulièrement bien lorsque l'objet que l'on contrôle est relativement stable.

Un ascenseur ne développe pas de nouvelles stratégies.

Il ne répond pas différemment parce qu'on lui pose deux fois la même question.

Il ne modifie pas son comportement parce que son environnement informationnel a changé.

Un système d'IA peut, lui, produire des comportements variables selon les données, le contexte, les outils auxquels il est connecté et dans certains cas, les modifications ou apprentissages intervenus après son déploiement.

Ce n'est pas nécessairement un défaut que l'on éliminera avec un meilleur cahier des charges.

C'est une caractéristique de certains de ces systèmes.

Et cela pose une question inconfortable à une réglementation largement construite autour du contrôle préalable :

Que certifie-t-on exactement lorsque le comportement futur de l'objet ne peut pas être entièrement déduit de celui que l'on a testé ?

Le calendrier vient de trancher

On pourrait croire que le règlement européen répond à cette difficulté.

Il le fait, en partie. Le texte prévoit des obligations de surveillance après mise sur le marché, de journalisation et de signalement des incidents graves.

Le problème n'est pas qu'elles n'existent pas. Le problème est leur calendrier.

Le régime applicable aux systèmes à haut risque vient de reculer. Recrutement. Crédit. Éducation. Biométrie.

Autant de domaines dans lesquels des systèmes d'IA peuvent intervenir dans des décisions qui affectent directement des individus et pour lesquels une partie essentielle du dispositif européen attendra encore.

Pendant ce temps, plusieurs briques du règlement sont déjà applicables :

Les pratiques interdites et la littératie en matière d'IA depuis février 2025, les obligations relatives aux modèles à usage général depuis août 2025, puis certaines obligations de transparence depuis août 2026.

Faisons le compte.

Cet été, une partie importante des obligations déjà applicables consiste à interdire certains usages, informer, signaler et former. Une grande partie du dispositif destiné à encadrer les systèmes à haut risque dans leur fonctionnement concret reste, elle, devant nous.

C'est peut-être là le paradoxe du calendrier européen :

Nous avons commencé à réglementer ce que les organisations doivent dire de leurs systèmes avant d'appliquer pleinement les règles destinées à contrôler ce que ces systèmes font réellement.

Ce qu'il faudrait regarder

Il ne s'agit pas de réclamer plus de texte.

Le débat européen tourne déjà en rond sur son volume : trop lourd pour les uns, trop mou pour les autres, et désormais suspendu aux arbitrages du calendrier.

La vraie question porte moins sur la quantité de contrôle que sur ce que l'on choisit de contrôler.

Un dispositif qui prendrait au sérieux le fait que le comportement réel d'un système ne peut pas être entièrement connu avant son déploiement ressemblerait à autre chose qu'un dossier remis avant lancement.

Il ressemblerait à un journal de bord.

Que produit ce système, sur des cas réels, et comparé à quoi ?

Qu'est-ce qui a dérivé depuis six mois ?

Sur quelle population le taux de rejet a-t-il bougé sans que personne ne l'ait décidé ?

Rien de tout cela n'est exotique.

C'est du contrôle qualité appliqué à un objet dont les effets ne peuvent pas être entièrement connus avant son déploiement.

L'industrie pharmaceutique connaît cette logique depuis longtemps : l'autorisation de mise sur le marché ne clôt pas l'observation. Elle ouvre la pharmacovigilance.

Personne ne prétend qu'un essai clinique suffit à savoir ce qu'un médicament produira sur des millions de patients pendant vingt ans.

Pourquoi en irait-il autrement pour certains systèmes d'IA ?

Et il existe une raison de ne pas attendre décembre 2027 pour commencer.

Une entreprise qui installe cette observation aujourd'hui ne fait pas seulement de la conformité anticipée.

Elle découvre l'écart entre ce qu'elle croit faire et ce qu'elle fait réellement.

Parfois, le système crée cet écart.

Parfois, il ne fait que révéler celui qui était déjà là.

Dans les deux cas, il laisse des traces que l'organisation peut enfin observer.

C'est peut-être le bénéfice le moins ambigu de cette période : nos machines commencent à nous montrer nos propres habitudes.