Pratiques interdites : ce qu'aucun garde-fou ne rattrape

La quasi-totalité du règlement européen encadre des usages à condition de prendre des mesures ; une courte liste en interdit certains sans condition. Confondre les deux catégories est l'erreur de lecture la plus coûteuse.

Un système à haut risque est autorisé s'il satisfait des exigences : documentation, gestion des risques, supervision humaine, journalisation. C'est exigeant, c'est faisable, et cela occupe l'essentiel des discussions.

Une pratique interdite ne s'achète par aucune mesure. Aucune documentation, aucune supervision, aucun consentement ne la rend licite. Le seul traitement possible est l'abandon du projet.

Cette distinction doit être posée au tout début d'un cadrage, avant toute discussion technique. Un projet qui tombe dans la liste ne se corrige pas : il s'arrête.

Peu d'organisations envisagent une notation sociale ; beaucoup approchent sans le savoir de la reconnaissance des émotions au travail. C'est là que se trouve le risque réel pour une entreprise ordinaire.

Le cas typique n'a rien de sinistre au départ. Une équipe veut analyser les enregistrements du service client pour améliorer la qualité. Quelqu'un propose de détecter l'agacement dans la voix. Le projet touche alors deux interdictions potentielles selon la façon dont il est cadré, et personne dans la salle ne le sait.

Un second cas revient souvent : l'analyse du comportement des candidats pendant un entretien vidéo, présentée comme une aide à l'évaluation. Là encore, l'intention est banale et le cadre juridique ne l'est pas.

Le réflexe utile est simple : dès qu'un projet infère un état interne d'une personne, émotion, sincérité, engagement, à partir de signaux involontaires, il faut faire vérifier le cadre avant d'aller plus loin. Voir sanctions AI Act : ce qui devient exigible.

Ce filtre doit être appliqué par l'équipe projet au cadrage, pas par la direction juridique à la validation. Le placer en fin de chaîne garantit qu'on découvre le problème après avoir dépensé.

La raison est pratique. Une direction juridique saisie d'un projet abouti doit se prononcer sur un investissement déjà réalisé, ce qui crée une pression considérable pour trouver un aménagement. Saisie d'une idée, elle tranche en dix minutes sans enjeu.

La formulation que je recommande tient en une ligne dans le document de cadrage : « ce système infère-t-il quelque chose d'une personne qu'elle n'a pas choisi de communiquer ? ». Cette question ne demande aucune compétence juridique et capte l'essentiel des cas problématiques.

Elle a un mérite supplémentaire : elle est compréhensible par tout le monde autour de la table, ce qui évite que la conformité devienne l'affaire d'une seule personne. C'est le sujet de la littératie IA, l'obligation passée inaperçue.

Analyser des contenus, classer des demandes, extraire des données, résumer des dossiers : rien de tout cela n'approche des interdictions. Il est utile de le dire, parce que la prudence excessive bloque des projets parfaitement licites.

J'ai vu des organisations renoncer à un tri automatique du courrier entrant par crainte réglementaire, alors qu'aucune disposition ne s'y oppose. Le coût de cette prudence est réel : le travail continue d'être fait à la main, sans qu'aucun risque n'ait été évité.

La règle qui clarifie : ce qui porte sur des documents et des processus est ordinaire ; ce qui porte sur l'évaluation des personnes demande un examen. Cette frontière ne recouvre pas exactement le droit, mais elle oriente correctement dans la quasi-totalité des cas.

Une note d'une page par système, listant sa finalité, les personnes concernées et le résultat du filtre, suffit à démontrer que la question a été posée. C'est peu, et c'est ce qui manque le plus souvent.

Le contenu tient en cinq lignes : ce que fait le système, sur quelles données, pour quelle décision, qui est concerné, et la réponse aux quatre questions du filtre. Daté, signé, archivé.

Cette note a une valeur qui dépasse la conformité. Elle oblige à formuler la finalité, ce qui révèle régulièrement qu'un projet en poursuit deux à la fois, et qu'une seule est défendable.

Elle constitue aussi le point de départ de la documentation exigée si le système s'avère à haut risque, ce qui évite de la reconstituer plus tard. Le cadre complet figure dans l'AI Act en vigueur : ce que l'ingénieur doit livrer.