4.1 IA générative par fonction : RH, marketing, IT, juridique, finance

Les RH sont la fonction la plus concernée par l'AI Act. Le point 4 de l'annexe III classe à haut risque les systèmes de recrutement, de sélection, de promotion, de répartition des tâches et d'évaluation des salariés. Leurs obligations s'appliquent à compter du 2 décembre 2027 (règlement omnibus 2026/1744) : côté fournisseur, gestion des risques, qualité des données, documentation, marquage CE et enregistrement ; côté employeur déployeur, article 26 : utilisation conforme à la notice, supervision humaine par des personnes compétentes, conservation des journaux, information des représentants du personnel et des salariés avant la mise en service.

Usages RH autorisés avec encadrement strict :

• Aide à la rédaction d'annonces : générer une fiche de poste, une annonce attractive. Risque faible si pas de données personnelles dans le prompt.
• Aide à la lecture des CV (résumé, classement) : possible mais SOUS supervision humaine effective. Pas de tri purement automatisé.
• Préparation d'entretiens : générer des questions, identifier des thèmes à creuser. Pas d'analyse vidéo ou émotionnelle (interdits art. 5).
• Rédaction de courriers RH : convocations, lettres de mission, attestations. Vérification systématique.
• Synthèse documentaire : conventions collectives, accords d'entreprise, jurisprudence sociale (avec vérification).
• Aide à la formation : conception de modules, supports pédagogiques.

Usages fortement encadrés par l'AI Act (haut risque) :

• Tri ou notation automatisés de CV : supervision humaine effective, AIPD, documentation du fournisseur
• Évaluation de candidats par scoring : idem
• Évaluation de salariés (performance, comportement) : idem, plus information préalable des salariés (L1222-3, L1222-4)
• Recommandations de promotion ou de mobilité : idem
• Répartition des tâches fondée sur le comportement ou des traits personnels : idem

Usages INTERDITS par l'AI Act :

• Analyse vidéo ou émotionnelle d'entretiens, réunions, postes de travail
• Catégorisation biométrique (déduire origine, religion, opinion à partir de l'image)
• Manipulation de candidats via interfaces conversationnelles trompeuses

Mesures spécifiques recommandées en RH :

• Information des candidats et des salariés sur l'usage d'un système d'IA dans le processus (RGPD, articles 13 et 14 ; Code du travail, L1221-8 pour le recrutement et L1222-4 ; AI Act, article 26 § 11 pour les systèmes à haut risque)
• AIPD avant le déploiement ; FRIA en plus si l'entreprise y est tenue (article 27)
• Mesure régulière des biais (analyse statistique des résultats par groupe)
• Procédure de recours pour les candidats et salariés visés par une décision assistée par IA
• Information-consultation du CSE (L2312-8, L2312-38) et, pour un système à haut risque, information des représentants du personnel avant la mise en service (article 26 § 7)
• Revue annuelle par le DPO et la direction RH

Cas particulier : un manager qui prépare un entretien d'évaluation avec un assistant professionnel anonymise les données du salarié dans le prompt. La sortie sert de support ; la décision reste humaine, motivée et tracée.

Le marketing est l'une des fonctions où l'IA générative apporte le plus de valeur. Cas d'usage productifs :

• Rédaction de contenus : articles de blog, newsletters, posts réseaux sociaux, livres blancs. Forte valeur en première rédaction.
• Adaptation de tonalité et formats : un même message pour différentes audiences (B2B, B2C, jeunes, seniors), différents canaux (LinkedIn, Instagram, email)
• Traduction et localisation : campagnes multi-pays
• Génération d'images : visuels d'illustration, maquettes de campagnes, avec un outil offrant une garantie contre la contrefaçon
• SEO : suggestions de mots-clés, meta descriptions, titres optimisés
• Analyse de feedbacks clients : synthèse de centaines d'avis pour identifier les tendances (sentiment analysis)
• Personnalisation : adapter le message au profil destinataire (avec respect RGPD)

Pièges spécifiques au marketing :

Transparence sur le contenu généré. L'article 50 de l'AI Act impose au fournisseur le marquage technique des sorties et, au déployeur, la mention des deepfakes et des textes d'intérêt général publiés sans contrôle éditorial. Pour le reste des contenus marketing, la mention relève de la politique de l'entreprise (chapitre 3.3).

Propriété intellectuelle. Une image entièrement générée et non retravaillée n'est pas protégée : un concurrent peut la reprendre. Pour les visuels distinctifs (logo, identité de marque), garantir un apport humain créatif substantiel et documenté, et utiliser un outil dont le contrat prévoit une garantie d'indemnisation.

Pratiques commerciales. Les faux avis et faux témoignages de consommateurs constituent une pratique commerciale trompeuse (Code de la consommation, articles L121-2 et L121-4), et les recommandations déontologiques de l'Autorité de régulation professionnelle de la publicité s'appliquent aux contenus générés comme aux autres. Vigilance sur les témoignages générés, les recommandations simulées et les comparatifs.

Risque hallucinations. Une fiche produit IA-générée peut inventer des caractéristiques. Risque de tromperie du consommateur (Code de la consommation, articles L121-2 et suivants). Vérification factuelle indispensable.

Manipulation interdite. L'article 5 de l'AI Act interdit l'IA exploitant les vulnérabilités des personnes (âge, handicap, situation économique) pour les pousser à un comportement néfaste. Marketing très ciblé sur personnes vulnérables = zone à risque.

Bonne pratique : workflow marketing avec IA = idéation IA → premier jet IA → retravail créatif humain → validation conformité (RGPD, ARPP, AI Act) → publication. Documenter l'intervention humaine pour la propriété intellectuelle.

Le développement logiciel est l'un des domaines où l'IA a le plus vite transformé le quotidien. Les études publiées par les éditeurs et les chercheurs mesurent des gains réels sur certaines tâches, très variables selon le type de code, l'expérience du développeur et la façon dont on mesure : une productivité apparente qui se paie en dette technique n'est pas un gain.

Cas d'usage IT/dev :

• Complétion de code en temps réel dans l'éditeur
• Génération de fonctions entières : à partir d'une spécification ou d'un commentaire
• Refactoring : modernisation de code legacy, conversion d'un langage à un autre
• Génération de tests unitaires : couverture automatique
• Documentation : commentaires, README, docs API
• Debugging : analyse de stack traces, suggestions de corrections
• Revue de code : suggestions d'amélioration, détection de patterns problématiques
• Génération SQL et data : à partir d'une description en langage naturel
• Aide DevOps : scripts shell, configurations Docker/K8s, IaC Terraform

Risques spécifiques :

Code halluciné. Appels à des fonctions inexistantes (« package hallucination »), API obsolètes, syntaxe incorrecte. Tests systématiques obligatoires.

Vulnérabilités introduites. Le code généré peut contenir des failles subtiles : injection SQL, XSS, gestion d'erreurs insuffisante, secrets en dur, dépendances inexistantes ou obsolètes. Revue par un développeur expérimenté et analyse statique de sécurité (SAST) dans la chaîne d'intégration continue sont indispensables.

Licences logicielles. Le code généré peut reproduire des fragments sous licence copyleft (GPL et assimilées), avec un risque de contamination de la licence de l'application. La plupart des assistants proposent un filtre de référencement qui signale les reprises de code public et leur licence : à activer.

Confidentialité du code. Le code propriétaire envoyé à un assistant est exposé au fournisseur. Les offres professionnelles excluent la réutilisation pour l'entraînement, mais le code transite ; pour les développements les plus sensibles, un assistant déployé sur site ou un modèle auto-hébergé (chapitre 3.1).

Dépendance. Risque de perte de compétences chez les développeurs juniors qui n'apprennent plus à coder « à la main ». Maintenir un équilibre formation-IA.

Bonne pratique : le code généré est un brouillon. Revue humaine avant intégration, tests automatisés, analyse statique et dynamique dans la chaîne, filtre de référencement activé, politique claire sur les fragments de code envoyés à l'assistant.

Le juridique est l'un des domaines où l'IA générative apporte des gains massifs — et où les risques sont les plus graves. La précision factuelle est critique.

Cas d'usage :

• Recherche juridique : analyse de jurisprudence, identification de précédents, état de l'art réglementaire, avec les assistants intégrés aux bases de données juridiques professionnelles
• Rédaction de premiers jets : contrats types, courriers, notes
• Analyse de contrats : extraction de clauses, comparaison de versions, identification de risques
• Veille : suivi de l'évolution réglementaire, alertes
• Synthèse documentaire : résumé de dossiers volumineux, due diligence
• Préparation d'audiences : argumentaire, jurisprudence pertinente
• Conformité : génération de modèles d'AIPD, FRIA, mentions légales

Risques spécifiques :

Hallucinations juridiques. L'affaire Mata v. Avianca (2023) l'a montré : les modèles inventent des décisions, des numéros d'articles, des dates, avec une forme parfaitement crédible. Tout fait juridique précis se vérifie sur la source primaire (Légifrance, EUR-Lex, Judilibre, bases jurisprudentielles). Pas de citation sans contrôle.

Secret professionnel. Avocats, notaires, experts-comptables et commissaires aux comptes sont tenus au secret (article 226-13 du Code pénal). Confier un document client à un assistant grand public en est une violation. Offre professionnelle contractualisée, anonymisation systématique, et pour les cabinets d'avocats, respect des recommandations du Conseil national des barreaux sur l'usage de l'IA.

Confidentialité des affaires. M&A, contentieux, négociations : informations à forte sensibilité. Vigilance maximale sur les prompts. Outils dédiés ou LLM hébergés en interne pour les dossiers les plus sensibles.

Responsabilité professionnelle. L'avocat ou le juriste reste responsable de son livrable, même si l'IA a aidé. L'argument « c'est l'IA qui s'est trompée » ne dégage pas. Multiplier les vérifications.

Les outils spécialisés pour le juridique se distinguent par trois caractéristiques : la restitution des sources avec le lien vers le texte ou la décision (ce qui rend la vérification possible), l'ancrage sur une base documentaire juridique maintenue, et des engagements contractuels compatibles avec le secret professionnel. Ces trois critères priment sur la notoriété de l'éditeur.

Bonne pratique juridique : outils dédiés ou offre professionnelle contractualisée, anonymisation, vérification systématique des références sur les sources primaires, mention écrite du recours à l'IA dans les documents internes.

La finance utilise l'IA pour de nombreuses tâches, mais avec une vigilance particulière liée à la précision attendue et à la régulation sectorielle.

Cas d'usage finance :

• Synthèse documentaire : analyse de rapports, états financiers, due diligence
• Rédaction de notes : analyses, recommandations, présentation au comité
• Génération de modèles : suggestions de structures Excel, formules
• Veille marché : analyse de l'actualité économique sectorielle
• Aide à la trésorerie : projection, scénarios
• Conformité bancaire : analyse KYC, détection AML (avec outils dédiés régulés)

Cas d'usage encadrés ou haut risque AI Act :

• Scoring crédit pour décision d'octroi (annexe III — services essentiels)
• Tarification et sélection en assurance vie et santé (annexe III, point 5 c)
• Surveillance des transactions clients
• Conseil financier automatisé : régulation sectorielle AMF et ACPR, hors annexe III mais soumis aux règles de conseil

Risques spécifiques :

Précision numérique. Les LLM ne sont pas des calculatrices. Pour les calculs précis, déléguer à un outil (Excel, code Python via Code Interpreter, etc.). Ne pas se fier à un LLM pour additionner des montants ou faire un % exact.

Régulation sectorielle. Banques et assurances relèvent de l'ACPR, les marchés de l'AMF. L'IA dans le scoring de crédit est à haut risque au titre de l'annexe III et s'articule avec la réglementation sectorielle existante ; les déployeurs de scoring de crédit et de tarification en assurance vie et santé font partie de ceux tenus à l'analyse d'impact sur les droits fondamentaux de l'article 27.

Information privilégiée. Pour les sociétés cotées, transmettre à un tiers, même par négligence, une information privilégiée non publiée est interdit par le règlement sur les abus de marché (articles 10 et 14) : un prompt vers un service externe non contractualisé est une transmission.

Audit et contrôle interne. Les commissaires aux comptes doivent valider l'usage de l'IA dans les processus financiers. Documentation, traçabilité, contrôles compensatoires.

Bonne pratique finance : IA pour synthèse et premières analyses, calculs précis délégués aux outils dédiés, jamais de décision financière purement automatisée sur enjeu significatif sans intervention humaine effective, vigilance régulation sectorielle.

Les chatbots et voicebots clients fondés sur des modèles de langage se déploient massivement. Ils relèvent des obligations de transparence de l'article 50 de l'AI Act, applicables depuis le 2 août 2026.

Cas d'usage :

• Chatbots de support niveau 1 : FAQ, suivi de commande, résolution simple
• Voicebots : pré-qualification d'appels, prise de rendez-vous
• Assistants commerciaux : conseil produit, configuration, devis
• Réponse à emails clients : suggestion de réponse pour les agents
• Aide en self-service : guidage dans des process complexes
• Génération de FAQ à partir de tickets traités

Obligations AI Act article 50 :

• Information que l'interlocuteur est un système d'IA, sauf si c'est évident : dès le début de la conversation, « Bonjour, je suis l'assistant automatisé de [marque] ». C'est une exigence de conception qui pèse sur le fournisseur du chatbot ; le déployeur vérifie qu'elle est respectée dans son paramétrage.
• Marquage lisible par machine des contenus générés (fournisseur).
• Bonne pratique complémentaire, hors AI Act : escalade vers un humain sur demande ou pour les sujets complexes.

Risques :

Hallucinations affectant le client. Moffatt c. Air Canada (2024) : le chatbot avait décrit une politique tarifaire inexistante, la compagnie a été condamnée à indemniser le client. L'entreprise répond des affirmations de son chatbot comme de celles de son site.

Discriminations. Un chatbot peut traiter différemment certains profils (langue, vocabulaire, expression). Surveillance des sorties par groupes pour détecter les biais.

Manipulation. L'article 5 de l'AI Act interdit les techniques manipulatrices ou trompeuses causant un préjudice important et l'exploitation des vulnérabilités. Un chatbot commercial ne doit pas exploiter l'âge, le handicap ou la situation économique d'un client ; le Code de la consommation sanctionne par ailleurs les pratiques commerciales agressives (L121-6).

Données clients. Les conversations contiennent souvent des données personnelles. Conservation limitée, base juridique adaptée, information du client.

Bonne pratique : prompts système robustes avec garde-fous (« ne réponds que sur les sujets X, Y, Z »), garde-fous applicatifs (vérification des sorties), conservation limitée des conversations, escalade systématique vers humain pour cas complexes ou plaintes, monitoring continu de la qualité.