Formation IA Générative
Usage Responsable

IA générative et conformité : le tournant 2024-2027

Pourquoi cette formation est devenue indispensable

En moins de trois ans, l'IA générative est passée du laboratoire de recherche à l'outil de bureau quotidien. ChatGPT a été lancé en novembre 2022 ; en moins de deux ans, il a atteint plus de 100 millions d'utilisateurs hebdomadaires. Claude, Gemini, Mistral, Copilot ont rapidement suivi. Aujourd'hui, dans une PME française moyenne, un collaborateur sur deux utilise au moins occasionnellement un outil d'IA générative — souvent en dehors de tout cadre formel, sur des données qu'il ne devrait pas exposer, avec des usages que l'employeur ignore.

Face à cette adoption sauvage, l'Union européenne a pris l'initiative la plus ambitieuse au monde : le règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle, communément appelé AI Act. Entré en vigueur le 1ᵉʳ août 2024, il s'applique progressivement jusqu'en août 2027, imposant aux entreprises de classer leurs systèmes d'IA par niveau de risque, de respecter des obligations spécifiques pour chaque niveau, et de former leurs collaborateurs (article 4 — obligation de « literacy IA » dès février 2025).

Les sanctions sont sans précédent : jusqu'à 35 millions d'euros ou 7% du chiffre d'affaires mondial (le plus élevé) pour les pratiques d'IA interdites — soit nettement plus que le RGPD. Pour une entreprise du CAC 40, une condamnation pour utilisation d'un système d'IA interdit représente plusieurs milliards d'euros. Pour une PME, c'est la mise en péril économique immédiate.

L'articulation avec le RGPD : un édifice à deux étages

L'AI Act ne remplace pas le RGPD : il s'y ajoute. Tout traitement de données personnelles par un système d'IA reste soumis aux obligations RGPD : base légale (article 6), interdiction du profilage des données sensibles sans consentement (article 9), encadrement strict des décisions purement automatisées affectant la personne (article 22), privacy by design (article 25), sécurité (article 32), Analyse d'Impact sur la Protection des Données (article 35).

À ces obligations RGPD s'ajoutent désormais les obligations AI Act spécifiques selon le niveau de risque. Un système RH d'évaluation des CV est à la fois soumis au RGPD (données personnelles des candidats) et à l'AI Act (système classé haut risque par l'annexe III). Les deux cadres doivent être respectés cumulativement. C'est l'un des points les plus complexes pour les juristes et les DPO en 2025-2026.

Les vrais risques opérationnels au-delà du juridique

La conformité juridique n'est qu'une partie du problème. Les risques opérationnels sont tout aussi graves :

Confidentialité. Un collaborateur qui copie un contrat client dans ChatGPT pour le résumer fait fuiter ces informations vers les serveurs d'OpenAI. Sur la version gratuite, les prompts entraînent par défaut les modèles — l'information peut potentiellement être restituée à un autre utilisateur. C'est arrivé : en 2023, Samsung a découvert que ses ingénieurs avaient partagé du code source confidentiel et des comptes-rendus de réunion via ChatGPT. L'entreprise a banni l'outil.

Hallucinations. Les LLM produisent des affirmations fausses présentées avec autant d'assurance que des faits vérifiés. Un avocat américain a soumis en 2023 un mémoire juridique généré par ChatGPT contenant six citations de jurisprudences inventées. Il a été sanctionné par le tribunal. Les modèles s'améliorent, mais le risque persiste : jamais de production critique sans validation humaine experte.

Biais. Les modèles sont entraînés sur des corpus reflétant les biais sociaux de leurs auteurs. Amazon a abandonné en 2018 son système IA de recrutement qui discriminait systématiquement les CV de femmes — entraîné sur les CV embauchés historiquement, majoritairement masculins, le modèle avait appris à pénaliser les indices féminins. Le risque de discrimination algorithmique est aujourd'hui central dans l'AI Act.

Propriété intellectuelle. Les modèles ont été entraînés sur des données issues du web, souvent protégées par le droit d'auteur. La société Getty Images a poursuivi Stability AI pour avoir entraîné un modèle de génération d'images sur ses photos. Les sorties peuvent reproduire des œuvres protégées. La refonte 2024 de l'AI Act impose aux fournisseurs de GPAI de respecter le copyright et de publier un résumé de leurs sources d'entraînement.

Public visé et limites de cette sensibilisation

Cette formation gratuite de 5h30 s'adresse à un public large : DSI et RSSI qui doivent piloter le déploiement, DPO et juristes qui doivent évaluer les risques, RH qui doivent gérer les usages côté collaborateurs et les systèmes RH eux-mêmes, directions métier qui doivent choisir leurs cas d'usage, managers qui doivent encadrer leurs équipes, collaborateurs qui utilisent au quotidien.

Elle couvre les aspects juridiques (AI Act, RGPD, CNIL), opérationnels (choix d'outils, prompts, validation), et organisationnels (charte, gouvernance, formation). Elle complète nos formations RGPD pour Salariés (focus protection des données) et Cybersécurité — Phishing, MFA (focus sécurité numérique).

Avertissement important : Travail-Industrie n'est pas un organisme de formation certifié au sens de l'article 4 de l'AI Act. Pour la conformité d'IA literacy, l'employeur doit déployer un dispositif interne adapté et tracé. Cette sensibilisation peut servir de base pédagogique ou de complément, mais ne s'y substitue pas. L'examen final est auto-évaluatif.