IAG, RGPD et IA Act : sécuriser les usages sans freiner l’innovation

Cette montée en puissance s’accompagne de fortes exigences en matière de protection des données et de respect des droits fondamentaux. Dans un contexte où la donnée publique est un actif sensible, deux cadres réglementaires structurent l’IA sur l’action des administrations françaises : le RGPD qui, depuis 2018[1], constitue la référence en matière de protection des données personnelles et l’IA Act adopté par l’Union européenne en 2024[2], qui introduit des exigences spécifiques en fonction du niveau de risque associé aux différents usages de l’intelligence artificielle.

La question qui se pose désormais est la suivante : comment intégrer l’IA générative dans les organisations publiques tout en garantissant un usage responsable, sécurisé et conforme aux valeurs du service public ? Cette réflexion fait écho aux premiers constats dressés dans un précédent article, traitant les impacts de l’IAG sur les métiers et compétences dans la fonction publique : l’enjeu n’est pas de remplacer mais de transformer.

Données, GPEC prédictive et obligations de transparence

Le RGPD est la pierre angulaire de la confiance numérique. Il rappelle que toute collecte doit être strictement limitée aux informations nécessaires, que l’usage des données doit être clairement défini et que les personnes concernées doivent être informées de manière transparente. Dans le cas de l’IA générative, cela signifie par exemple que l’utilisation d’un outil de pré-tri de candidatures ne peut pas dériver vers un profilage généralisé des agents ou des usagers.

Le RGPD exige également que chaque décision automatisée soit expliquée et justifiable afin que les individus puissent la comprendre et, si nécessaire, la contester.

Concrètement, cela implique la réalisation d’analyses d’impact systématiques et la capacité de garantir qu’un encadrement humain demeure présent tout au long du processus. Ces exigences réglementaires ne se limitent pas à des contraintes juridiques : elles rappellent aussi que la donnée, pour être bien protégée, doit être connue, maîtrisée et structurée. Autrement dit, une gouvernance rigoureuse de la donnée est non seulement une obligation légale, mais aussi une condition pour en faire un levier stratégique au service du pilotage RH, de l’anticipation des besoins et de l’accompagnement des parcours. Comme souligné dans un précédent article sur le passage de la GPEC classique à la GPEC prédictive, la valeur de l’IA générative dépend directement de la fiabilité, de la structuration et de la gouvernance des données mobilisées.

Gouvernance et rôle accru des DRH dans un cadre à haut risque

L’IA Act vient compléter ce cadre en proposant une classification des systèmes d’intelligence artificielle en fonction de leur niveau de risque. Les usages considérés comme minimaux, tels que des assistants informatifs, font l’objet d’obligations limitées. Les systèmes de risques dit « limités » doivent assurer une transparence minimale, par exemple lorsqu’ils sont utilisés comme outils de rédaction ou d’assistance.

Les cas d’usage qualifiés de risques « élevés », qui concernent la majorité des fonctions publiques comme le recrutement, la gestion des carrières ou l’attribution de prestations sociales, sont soumis à des obligations renforcées comprenant :

• La traçabilité, c’est-à-dire la capacité à retracer l’origine des données et les décisions algorithmiques ;
• La qualité des données, c’est-à-dire des données à jour, complètes, non biaisées ;
• La supervision humaine, c’est-à-dire la présence d’un acteur humain dans la boucle de décision ;
• Les audits réguliers, c’est-à-dire des évaluations périodiques de la conformité et des effets des systèmes d’IA.

Enfin, certains usages sont purement interdits lorsqu’ils portent atteinte aux droits fondamentaux comme la notation sociale ou la manipulation cognitive qui influencent de manière indirecte ou trompeuse le comportement d’une personne.

Pour les administrations, cette grille de lecture signifie que la plupart des projets d’IA générative devront s’inscrire dans le régime strict des systèmes à haut risque et donc être accompagnés d’une gouvernance adaptée. Dans ce contexte, le rôle des DRH est central. Comme exposé un précédent article consacré à leurs nouveaux rôles, les DRH sont, en plus d’être des gestionnaires de procédures, des stratèges des compétences et garantes de l’éthique des usages numériques.

Conformité, innovation et maturité numérique

Face à ces contraintes, l’adoption de l’IA générative pourrait apparaître complexifiée. Pourtant, il est possible de concilier conformité et innovation.

1. La première clé réside dans la mise en place d’une gouvernance partagée entre DRH, DSI, délégué à la protection des données (DPD), juristes et métiers afin que chaque projet soit évalué non seulement sous l’angle technique mais aussi sous l’angle éthique et réglementaire.
2. La deuxième consiste à expérimenter dans des environnements maîtrisés, comparables à des “sandboxes” (environnements d’expérimentation sécurisés, permettant de tester des cas d’usage de l’IA en conditions réelles tout en limitant les risques juridiques ou techniques).
3. La troisième repose sur le développement d’une véritable culture de la donnée et de l’explicabilité auprès des agents. Il ne s’agit pas de transformer chaque collaborateur en expert technique, mais de leur donner les clés pour comprendre les logiques et les limites des systèmes et ainsi renforcer leur capacité de jugement.

L’application rigoureuse de ces cadres ne ralentit pas la transformation, elle en assure la légitimité et la pérennité. En intégrant dès la conception les exigences du RGPD et de l’IA Act, les administrations renforcent la confiance des agents et des citoyens, sécurisent leurs projets et limitent les risques de blocages juridiques ultérieurs. Elles affirment ainsi une gestion responsable de la donnée publique, envisagée non seulement comme un actif stratégique, mais aussi comme un bien à protéger et à gouverner.

Autrement dit, la conformité ne freine pas l’innovation : elle en devient un levier essentiel pour faire progresser la maturité numérique et organisationnelle du secteur public.

Innovation responsable au service de l’intérêt général

L’IA générative ne deviendra un outil durable de modernisation publique que si elle est intégrée de manière traçable, gouvernée et éthique. Le RGPD et l’IA Act ne doivent pas être perçus comme des obstacles, mais comme des cadres de garantie permettant de s’assurer que l’innovation reste alignée avec l’intérêt général. C’est en trouvant cet équilibre entre innovation et confiance que l’IA générative pourra passer du stade de l’expérimentation ponctuelle à celui d’un levier stratégique pour transformer durablement l’action publique.

Par Amélie Battaini