IA dans le service public : les obligations qui arrivent

Dans le service public, dès qu'une IA oriente, attribue ou refuse quelque chose à un usager, elle déclenche deux corpus d'obligations qui se cumulent : celles du règlement européen sur l'IA et celles, plus anciennes, qui protègent le citoyen face à une décision administrative automatisée. La bonne nouvelle, c'est qu'une seule méthode permet de tenir les deux ensemble, sans les découvrir le jour d'un recours. Dans cet article, je vous explique pourquoi une administration est un cas particulier au regard de l'IA, puis la méthode en quatre étapes pour identifier vos obligations et les outiller avant qu'un usager ne vous les rappelle.

Le problème : deux réglementations qui se superposent

Les administrations déploient l'IA sous une double pression, celle de faire plus avec moins et celle de rendre un meilleur service. Un assistant qui répond aux usagers, un moteur qui pré-instruit des dossiers d'aide, un outil qui repère les situations à contrôler : ces usages se multiplient plus vite que la connaissance des règles qui les encadrent. Le réflexe est de se demander « est-ce autorisé », alors que la vraie question est « quelles obligations cet usage déclenche-t-il, et les ai-je outillées ».

Le secteur public a une particularité qui change tout. Une entreprise privée qui déploie une IA de décision doit respecter le règlement européen sur l'IA et le RGPD. Une administration doit, en plus, respecter un droit du service public bien plus ancien : l'égalité de traitement, la motivation des décisions, le droit de l'usager à comprendre comment une décision le concernant a été prise, et la possibilité d'un recours. Ces exigences existaient avant l'IA. Le règlement européen ne les remplace pas, il vient s'ajouter par dessus. C'est ce cumul, et non l'une des deux réglementations prise seule, qui expose une collectivité ou une administration.

La méthode : quatre étapes pour cadrer une IA publique

Face à ce cumul, la panique ne sert à rien et le déni non plus. Ce qui fonctionne, c'est une méthode qui part de vos usages réels et remonte vers vos obligations, dans cet ordre précis. La voici.

1. Inventorier les usages d'IA

Vous ne pouvez cadrer que ce que vous connaissez. La première étape consiste à recenser tous les systèmes d'IA en service ou en projet, du grand outil métier au simple assistant qu'un agent utilise dans son coin. Cet inventaire est aussi la première brique attendue par le règlement européen, et il révèle presque toujours des usages informels que personne n'avait déclarés. Si vous doutez d'être dans le champ du règlement, commencez par la méthode pour savoir si vous êtes concerné par l'AI Act, elle vous donne le premier tri.

2. Repérer la décision rendue sur l'usager

Tous les usages ne se valent pas. Un chatbot qui renseigne sur les horaires d'ouverture ne pèse pas le même risque qu'un moteur qui décide de l'attribution d'une aide, oriente une demande ou signale une situation à contrôler. Le seuil déterminant est simple à formuler : l'IA prend-elle, ou prépare-t-elle de façon déterminante, une décision qui produit un effet sur un usager. Ces usages, dans le domaine social, la santé, l'éducation ou l'accès à un service essentiel, basculent en catégorie haut risque et concentrent l'essentiel de vos obligations. Pour poser ce classement sans le surestimer ni le sous-estimer, appuyez-vous sur la méthode de classification du haut risque.

3. Empiler les deux corpus d'obligations

Pour chaque usage sensible, vous superposez alors les deux couches. Celle du règlement européen : une phase d'obligations de transparence, qui impose de signaler à l'usager qu'il interagit avec une IA ou qu'un contenu a été généré par une machine, puis une phase d'obligations renforcées pour les usages haut risque, dont l'échéance a été repoussée à plus tard par la révision en cours du calendrier européen. Et celle du droit du service public : l'information de l'usager sur l'existence d'un traitement algorithmique, l'explication des règles principales de ce traitement, la motivation de la décision et l'accès à un recours. La colonne « service public » ne dépend pas du calendrier européen : elle s'applique déjà.

4. Outiller les garde-fous

Une obligation identifiée mais non outillée ne vaut rien le jour d'un contrôle. La dernière étape traduit chaque obligation en dispositif concret : une supervision humaine réelle, où un agent peut comprendre et infirmer la proposition de l'IA plutôt que de la valider machinalement ; une information claire de l'usager ; un registre qui trace qui a décidé quoi, sur la base de quel système et de quelles données ; et une voie de recours identifiée. C'est cet outillage qui transforme une conformité de papier en une conformité qui tient.

Les deux colonnes d'obligations, côte à côte

Le plus simple, pour ne rien oublier, est de visualiser ce que chaque réglementation impose sur un même usage. Voici les deux colonnes que vous devez tenir en même temps.

Lue ainsi, l'obligation cesse d'être un mur infranchissable. Beaucoup de garde-fous servent les deux colonnes à la fois : une bonne traçabilité nourrit aussi bien la journalisation attendue par le règlement que la motivation attendue par le juge administratif. Vous ne construisez pas deux dispositifs, vous en construisez un qui répond aux deux.

Par où commencer sans se disperser

Vouloir tout traiter d'un coup est le meilleur moyen de ne rien traiter. Voici l'ordre que je recommande à une administration qui démarre.

1. Faites l'inventaire avant tout.Un atelier d'une demi-journée avec les métiers suffit souvent à faire remonter les usages, y compris ceux que la direction ne soupçonnait pas.
2. Isolez les deux ou trois usages qui décident sur une personne. Ce sont eux qui portent le risque juridique et réputationnel. Concentrez-y vos efforts avant les usages de confort.
3. Traitez d'abord la colonne « service public ».Elle s'applique déjà, sans attendre le calendrier européen, et elle est souvent la plus rapide à outiller car votre organisation en connaît déjà la logique.
4. Inscrivez le reste dans une feuille de route.Le reste des obligations se planifie plutôt qu'il ne s'improvise. Ma feuille de route de mise en conformité en six étapes vous donne la trame à décliner sur vos usages publics.

Dans le service public, la conformité IA ne se joue pas sur ce que le règlement européen ajoutera demain, mais sur ce que le droit de l'usager exige déjà aujourd'hui. Qui tient la seconde colonne a presque tenu la première.

Questions fréquentes

Une petite collectivité est-elle vraiment concernée ?

Oui, dès qu'elle utilise une IA qui touche un usager, même un outil acheté clé en main. La taille de la structure ne change pas les droits du citoyen. Ce qui change, c'est l'échelle de la réponse : une petite collectivité peut tenir ses obligations avec un dispositif léger, à condition de l'avoir posé.

Suffit-il d'acheter une solution « conforme » à un éditeur ?

Non. L'éditeur porte une partie des obligations, mais l'administration qui déploie reste responsable de l'usage, de l'information de l'usager, de la supervision humaine et de la motivation de ses décisions. Une mention « conforme AI Act » sur une plaquette commerciale ne vous décharge de rien : vérifiez ce que le contrat vous transfère réellement.

Faut-il attendre l'entrée en vigueur complète du règlement pour agir ?

Non, et c'est le piège le plus courant. Le calendrier européen déroule ses obligations par vagues, dont certaines sont repoussées, mais le droit du service public, lui, s'applique dès aujourd'hui à toute décision rendue avec l'appui d'une IA. Attendre revient à laisser courir un risque déjà présent.

La détection de fraude par IA est-elle permise ?

Elle est possible, mais encadrée. Un signalement produit par une IA ne peut pas fonder à lui seul une décision défavorable : il doit être repris par un agent qui instruit, motive et laisse une voie de recours. C'est exactement le rôle de la supervision humaine réelle, par opposition à une validation de façade.

Qui doit porter le sujet en interne ?

Le plus souvent le délégué à la protection des données, épaulé par la direction des systèmes d'information et par les métiers concernés. L'essentiel est qu'une personne soit clairement responsable de tenir l'inventaire et la feuille de route, faute de quoi le sujet reste orphelin et personne ne le pilote.

Situer vos usages sur ces deux colonnes est précisément l'objet de mon audit Sécurité & Conformité IAadapté au secteur public : je cartographie vos systèmes, je repère ceux qui décident sur un usager et je vous rends une feuille de route priorisée. Si vous voulez d'abord situer votre exposition, un premier échange de trente minutes suffit à savoir par où commencer.

Cet article a une visée pédagogique et ne constitue pas un conseil juridique. Chaque situation mérite une analyse au cas par cas.