Latest / Le centre de gravité / Qui signe ?" Le casse-tête juridique de l'IA en entreprise

Transcript

Qui signe ?" Le casse-tête juridique de l'IA en entreprise · Le centre de gravité

• 0:00
  Qui signe le casse ? Tête juridique de l'i a en
• 0:02
  entreprise. On croit que le sujet de l'i a
• 0:06
  en entreprise, c'est la tech, les modèles, les token, les
• 0:09
  benchmarks. Mais dans beaucoup de boîtes
• 0:11
  françaises, le vrai sujet a changé de bureau, il a quitté la
• 0:14
  DSI et il est entré chez le directeur juridique.
• 0:18
  À lundi matin de 2000261, directeur juridique d'une ETI
• 0:21
  française ouvre sa boîte mail message du directeur technique 4
• 0:25
  lignes. On a trouvé un modèle open
• 0:27
  source solide, Gema 4 dernière version de Google disant sa page
• 0:32
  2.0 pas de coût, on peut l'héberger nous même, on
• 0:35
  voudrait l'intégrer dans notre module de recommandation client.
• 0:38
  Tu valides ? Il lit le mail 2 fois et il
• 0:41
  commence à ouvrir des onglets. Combien d'onglets ?
• 0:44
  5 et chacun révèle un problème différent.
• 0:48
  Premier onglet, le règlement européen sur l'intelligence
• 0:51
  artificielle, 1000 pages. Applicable depuis août 2024, le
• 0:54
  module de recommandation touche à la relation client.
• 0:57
  Est ce que ça tombe dans la catégorie au risque ?
• 0:59
  Si le module influence une décision de crédit, oui, si
• 1:03
  c'est de la suggestion de contenu, probablement non, mais
• 1:05
  la frontière est floue. 2e onglet, le RGPD le module traite
• 1:10
  des données clients, bases légales, finalité, minimisation,
• 1:12
  droits des personnes, tout ça s'empile sur l'I Act sans se
• 1:17
  confondre avec lui et la CNIL en 2025.
• 1:19
  Ce n'est pas de la théorie. 83 sanctions, 486000000 d'euros
• 1:26
  d'amende sur l'année 3e onglet, la licence Apache 2.0 usage
• 1:31
  commercial libre modification libre redistribution avec
• 1:35
  attribution ça a l'air parfait. Sauf qu'en petites lettres
• 1:38
  Google dit autre chose, le modèle est fourni tel quel,
• 1:41
  aucune garantie. Si Gema hallucine, discrimine ou
• 1:45
  reproduit du contenu protégé c'est pour vous et les amendes
• 1:48
  de l'A I Act sont calibrées pour faire mal, jusqu'à 35000000
• 1:52
  d'euros ou. 7% du chiffre d'affaires mondial pour les
• 1:55
  pratiques interdites, 15000000 ou 3% pour le non-respect des
• 1:59
  obligations de haut risque. Donc open source, ça veut dire
• 2:03
  open bar sur le risque. Exactement, le risque ne
• 2:06
  disparaît pas, il change de camp.
• 2:09
  Et il y a encore 2 onglets, le droit d'auteur.
• 2:11
  Parce qu'en France, depuis avril 2026, une loi du Sénat instaure
• 2:15
  une présomption d'utilisation des œuvres protégées par les
• 2:18
  modèles d'i a si quelqu'un conteste, c'est au fournisseur
• 2:21
  de prouver qu'il est clean. Or Google ne garantit rien dans
• 2:24
  sa licence, donc c'est l'e TI qui trinque.
• 2:26
  Et le dernier onglet, le droit du travail.
• 2:31
  Parce que si le module touche à la gestion du personnel, le CSE
• 2:34
  doit être consulté avant le déploiement. 2 tribunaux l'ont
• 2:38
  rappelé en 2025, à Nanterre puis à Créteil. 5 Onglets, 5
• 2:43
  problèmes. Et il n'a toujours pas répondu
• 2:45
  aux mails. Non et la réponse ne sera ni oui
• 2:48
  ni non. La réponse commence par une
• 2:50
  question qui signe, parce que derrière qui signe ?
• 2:53
  Il y a qui porte le risque. Et dans le monde de l'i a le
• 2:57
  risque ne disparaît jamais, il se déplace.
• 3:00
  Quelqu'un, quelque part, va devoir apposer sa signature.
• 3:04
  Il pense qu'on choisit un outil, en réalité, on choisit où vont
• 3:07
  les données, qui porte la responsabilité et quel droit
• 3:11
  s'applique. Revenons au Mail.
• 3:13
  Le directeur technique propose Gema 4 mais il aurait pu
• 3:16
  proposer GPT d'Open AI lama de Méta ou Mistral. 4 modèles, 4
• 3:22
  mondes juridiques complètement différents.
• 3:25
  Commençons par Gema. Licence a page 2.0 validée par
• 3:29
  l'Open Source initiative, c'est la vraie carte d'identité open
• 3:32
  source, usage commercial libre modification libre, pas
• 3:36
  d'obligation de partager le code dérivé.
• 3:38
  L'entreprise peut héberger le modèle chez elle, l'auditer le
• 3:42
  modifier. Aucune dépendance technique
• 3:44
  envers Google. Alors c'est le choix parfait.
• 3:47
  C'est le choix libre et en droit, liberté totale veut
• 3:50
  souvent dire responsabilité totale.
• 3:52
  Google livre le modèle nu. Pas de garantie de précision,
• 3:56
  pas de garantie d'absence de biais.
• 3:58
  Si ça dérape, personne a appelé C'est toi le fournisseur
• 4:01
  maintenant. Maintenant l'alternative
• 4:04
  évidente GPT d'Open AI plus simple à intégrer.
• 4:07
  Pas besoin d'héberger open AI gère l'infrastructure.
• 4:11
  Sauf que le directeur juridique voit immédiatement le piège.
• 4:15
  Les données sortent d'Europe. Exactement, chaque requête
• 4:17
  envoyée à l'a PI de transite par des serveurs américains, ce qui
• 4:21
  déclenche tout le mécanisme RGPD sur les transferts hors Union
• 4:25
  européenne. Et c'est là qu'on touche au nœud
• 4:27
  gordien. Le cloud Act, loi américaine de
• 4:31
  2018, le gouvernement des États-Unis peut exiger d'un
• 4:34
  fournisseur cloud américain qui livre des données quel que soit
• 4:37
  le pays où ses données sont stockées, même sur un serveur
• 4:40
  Azure à Amsterdam, même sur un serveur Google à Francfort, le
• 4:43
  critère n'est pas la localisation du serveur, c'est
• 4:45
  le contrôle exercé par une entité américaine.
• 4:49
  Et le RGPD dit l'inverse. Mot pour mot, la Cour de justice
• 4:52
  européenne arrête rems 2200020. les États-Unis n'offrent pas un
• 4:56
  niveau de protection adéquat pour les données européennes.
• 4:59
  Précisez. À cause de ses lois de
• 5:01
  surveillance. Résultat, un conflit frontal
• 5:05
  entre 2 systèmes juridiques. Le fournisseur américain est
• 5:08
  coincé. S'il livre les données à
• 5:10
  Washington, il viole le RGPD. S'il refuse, il viole le cloud
• 5:13
  Act. Et l'entreprise française
• 5:15
  cliente est dans le même étau. Un rapport juridique allemand de
• 5:18
  2025 le dit sans détour, aucune mesure technique, y compris le
• 5:22
  chiffrement, ne neutralise complètement cette extra
• 5:25
  territorialité. La France a une réponse
• 5:29
  partielle, le label secnum cloud délivré par la NSSI ce label
• 5:32
  exclu les fournisseurs soumis au droit extraterritorial non
• 5:35
  européen, mais il reste réservé au secteur public et à certains
• 5:39
  usages sensibles. Pour le privé, c'est un choix
• 5:41
  pas forcément plus cher, mais l'environnement fonctionnel
• 5:43
  n'est pas encore aussi riche que chez les hyperscalers
• 5:46
  américains. Ça progresse vite mais on n'y
• 5:49
  est pas encore. Et les autres ?
• 5:51
  Options l'AMA, le modèle de méta, souvent présenté comme
• 5:54
  open source, sauf que la licence, c'est la Metalama
• 5:57
  Community licence. Pas attaché 2.0 au-delà de
• 5:59
  700000000 d'utilisateurs actifs, il faut une autorisation de
• 6:02
  méta. Certaines restrictions sur la
• 6:04
  distillation, c'est un modèle ouvert sous conditions, ce n'est
• 6:07
  pas la même chose. Et puis il y a Mistral français
• 6:12
  européen, attaché 2.0 pour plusieurs modèles hébergeables
• 6:15
  en France, auditable, pas de cloud Act, pas de transfert hors
• 6:19
  UE. Sur le papier, c'est le profil
• 6:21
  juridique le plus propre. Mais Mistral n'a pas encore la
• 6:24
  puissance brute de GPT sur tous les cas d'usage.
• 6:29
  Et il YA1 piège discret. Si une entreprise fait du find
• 6:32
  tuning un ajustement personnalisé du modèle avec ses
• 6:35
  propres données métiers via l'a PI d'Open AI, ces données
• 6:37
  transitent par leur serveur. Open AI s'engage
• 6:39
  contractuellement à ne pas les utiliser pour entraîner ces
• 6:42
  modèles, mais les conditions d'utilisation peuvent changer et
• 6:44
  le cloud Act s'applique de toute façon.
• 6:49
  Donc pas de solution parfaite. Jamais le directeur juridique ne
• 6:52
  cherche pas la perfection, il cherche à savoir 3 choses, qui
• 6:55
  porte la responsabilité, où vont les données et est ce qu'on peut
• 6:58
  démontrer la conformité ? C'est le triptyque, tout le
• 7:02
  reste en découle. Pendant que le directeur
• 7:04
  juridique évalue Gema 4, une partie de l'entreprise utilise
• 7:07
  déjà l'i a sans autorisation, sans cadre et sans que personne
• 7:10
  ne le sache. Voilà la scène que personne ne
• 7:13
  raconte dans les conférences. Un commercial colle des données
• 7:17
  clients dans chat GPT pour rédiger un mail de relance.
• 7:19
  Un consultant soumet un document confidentiel à cloud pour
• 7:22
  obtenir une synthèse, un développeur passe du code
• 7:25
  propriétaire dans un assistant en ligne.
• 7:27
  Un comptable vérifie un calcul fiscal via un outil gratuit.
• 7:31
  Aucun de ces gestes n'est malveillant.
• 7:33
  Non, ils sont même bien intentionnés.
• 7:34
  Mais chacun est un incident juridique en puissance.
• 7:37
  Le commercial qui colle des données clients dans chat GPT
• 7:38
  transfert hors UE non encadré, violation potentiel du RGPD, le
• 7:40
  consultant qui soumet un document client dans chat GPT,
• 7:41
  le consultant qui soumet à un document et un incident violent
• 7:43
  du RGPTD, le consultant qui soumet à un docu qui saison qui
• 7:44
  soumet un docu qui saison dans le contre ?
• 7:46
  Confidentiel, selon les conditions d'utilisation du
• 7:48
  service, ces données peuvent servir à entraîner le modèle.
• 7:51
  La confidentialité s'évapore et les chiffres sont vertigineux.
• 7:56
  Selon une étude claranet de 2026, 40% des entreprises ont un
• 7:59
  modèle d'i a officiel, mais 90% des employés utilisent déjà des
• 8:02
  outils d'i a personnels au quotidien.
• 8:07
  L'i a est entrée par la porte de service.
• 8:09
  Bien avant d'être invitée par la porte principale, c'est le
• 8:12
  shadow ai l'i a de l'ombre et ici une obligation de l'I Act.
• 8:16
  Que presque personne ne connaît entre en jeu.
• 8:18
  L'article 4 intitulé Maîtrise de l'i a applicable depuis février
• 8:23
  2025, pas août 2020 06 février 2025.
• 8:24
  Ce texte oblige les entreprises à garantir un niveau suffisant
• 8:27
  de compétences IA chez tout le personnel qui utilise ces
• 8:31
  systèmes, même les outils gratuits.
• 8:32
  Même chat GPT utilisé entre 2 réunions.
• 8:34
  C'est une obligation de moyens. L'entreprise choisit la méthode,
• 8:37
  mais elle doit pouvoir prouver qu'elle a formé ses équipes.
• 8:44
  Combien d'entreprises respectent ça aujourd'hui ?
• 8:46
  Très peu. Les grandes entreprises ont
• 8:48
  bougé, 86% ont adopté une charte IA en 2026, selon KPMG.
• 8:51
  Mais les PME et les ETI sont massivement sans cadre et les
• 8:54
  contrôles démarrent en août 2026.
• 8:54
  Le paradoxe est cruel, le directeur juridique passe des
• 8:57
  semaines à évaluer proprement un modèle pour le produit.
• 9:00
  Pendant ce temps, des dizaines de salariés alimentent des
• 9:03
  modèles non validés, avec des données que personne ne trace.
• 9:12
  Le shadow AI n'est pas un problème informatique, c'est un
• 9:15
  problème de gouvernance et c'est le directeur juridique, pas le
• 9:18
  DSI, qui va devoir le résoudre. Le front juridique le plus
• 9:21
  explosif ne concerne ni les données personnelles, ni la
• 9:24
  cybersécurité. Il concerne la matière première
• 9:27
  des modèles, les œuvres sur lesquelles ils ont été
• 9:29
  entraînés. C'est le chapitre le plus
• 9:31
  inconfortable parce que sur le droit d'auteur et l'i a personne
• 9:34
  n'a de réponse définitive mais les réponses provisoires
• 9:37
  arrivent à grande vitesse. Le problème de base est simple.
• 9:41
  GPT Claude, Gema Mistral tous ces modèles ont été nourris de
• 9:45
  milliards de textes, des articles, des livres, des pages
• 9:48
  web, des contenus protégés par le droit d'auteur.
• 9:51
  Les fournisseurs invoquent l'exception de fouilles de
• 9:53
  textes et de données. Le texte and data mining prévu
• 9:56
  par la directive européenne de 2019.
• 9:59
  En gros, on peut utiliser des œuvres protégées pour
• 10:02
  l'entraînement, sauf si l'ayant droit s'y est explicitement
• 10:04
  opposé. Et cette opposition fonctionne.
• 10:07
  Pas vraiment. Les ayants droit disent que le
• 10:09
  mécanisme d'opte out est techniquement inefficace, que
• 10:12
  les fournisseurs l'ignorent, que le rapport de force est
• 10:15
  déséquilibré. En novembre 2025, les
• 10:18
  négociations volontaires en France entre ayants droit et
• 10:20
  fournisseurs ont échoué. Aucun accord sur le partage de
• 10:23
  la valeur. C'est dans ce contexte que la
• 10:26
  France a frappé fort en novembre 2000251 tribunal de Munich a
• 10:30
  condamné open AI pour violation de droit d'auteur, première
• 10:34
  jurisprudence européenne et le 8 avril 2026.
• 10:37
  Le Sénat français adopte une proposition de loi qui renverse
• 10:40
  la charge de la preuve. Avant, c'était à l'artiste de
• 10:43
  prouver que son œuvre avait servi à entraîner un modèle,
• 10:46
  autant chercher une aiguille dans un data Center, désormais,
• 10:50
  dès qu'un contenu généré rend plausible l'exploitation d'une
• 10:53
  œuvre, celle-ci est présumée utilisée, c'est au fournisseur
• 10:56
  de démontrer le contraire. le Conseil d'État a validé la
• 10:59
  solidité juridique du dispositif le 19 mars 2026.
• 11:04
  Le texte est conforme au droit et à la Constitution.
• 11:06
  Et au niveau européen ? Même direction.
• 11:09
  Le Parlement européen a adopté en mars 2026 une résolution, le
• 11:12
  rapport Voss qui préconise un cadre de licence pour que les
• 11:16
  fournisseurs d'i a rémunèrent les créateurs.
• 11:18
  Et depuis août 2025, l'I I Act impose déjà de publier un résumé
• 11:22
  détaillé des contenus utilisés pour l'entraînement.
• 11:24
  Et Voilà pourquoi c'est une bombe pour notre directeur
• 11:28
  juridique. Google a entraîné Gema sur des
• 11:32
  données dont la composition exacte n'est pas publique.
• 11:34
  Si l'été I intègre Gema dans son produit et qu'un ayant droit
• 11:38
  conteste, qui répond ? Pas Google.
• 11:40
  Pas Google. La licence Apache exclut toute
• 11:43
  garantie. L'été I est en première ligne.
• 11:45
  C'est comme construire un immeuble avec des briques dont
• 11:47
  tu ne peux pas certifier la provenance.
• 11:49
  L'immeuble tient, les locataires sont contents.
• 11:52
  Mais si quelqu'un prouve qu'une partie des briques a été volée,
• 11:55
  c'est le promoteur qui reçoit l'assignation.
• 11:57
  Pas le fournisseur qui avait écrit tel quel sur le bon de
• 12:00
  livraison. Et il y a le miroir du problème
• 12:02
  en aval, les contenus que l'i a produit.
• 12:05
  Un texte marketing généré par GPT, une image produite par
• 12:08
  mythe journée, un code sorti d'un assistant en France.
• 12:11
  Si aucune intervention humaine créative n'a façonné l'output,
• 12:14
  il n'est pas protégeable par le droit d'auteur.
• 12:18
  Donc un concurrent peut le copier.
• 12:19
  Mot pour mot et tu ne peux rien faire.
• 12:25
  Le droit d'auteur et l'i a, c'est un front ouvert des 2
• 12:28
  côtés en amont. Qui a le droit d'utiliser quoi
• 12:31
  pour entraîner en aval ? Qui possède quoi en sortie ?
• 12:34
  Et le directeur juridique ne peut dire ni c'est autorisé, ni
• 12:38
  c'est interdit. Il peut seulement dire voilà les
• 12:40
  risques et voilà ce qu'on ne sait pas encore.
• 12:45
  Le directeur juridique a ouvert tous les onglets, il a vu les
• 12:48
  pièges mais il n'est pas désarmé, il a des outils et il
• 12:52
  doit répondre aux mails. Avant de répondre, il fait
• 12:55
  l'inventaire de ce qu'il a en main.
• 12:57
  D'abord les normes l'i. O402 1001 sur le management de
• 13:01
  l'i a un cadre pour identifier, évaluer et gérer les risques,
• 13:05
  définition des rôles, validation des modèles, monitoring continu.
• 13:09
  Ce n'est pas du droit, c'est de l'ingénierie de la conformité et
• 13:12
  l'i. O402 1005, publié en avril 2025,
• 13:15
  fournit un guide pour les évaluations d'impact des
• 13:18
  systèmes d'i a, ce qui rejoint directement les exigences de l'i
• 13:21
  eact pour le haut risque. Dans un monde où le régulateur
• 13:24
  exige documentation et traçabilité, ces certifications
• 13:28
  sont une preuve solide de bonne foi.
• 13:32
  Ensuite, les contrats cyclose sont devenus indispensables
• 13:35
  quand on signe avec un fournisseur d'i a indemnisation
• 13:38
  en cas d'hallucination, réversibilité, droit d'audit
• 13:42
  algorithmique, propriété des données de fin tuning,
• 13:45
  engagement de niveau de service sur la précision et non
• 13:48
  entraînement sur les données clients.
• 13:51
  Et face au géant américain, ces clauses tiennent.
• 13:54
  C'est Le hic, face à open AI ou Google, c'est souvent du contrat
• 13:58
  d'adhésion, tu acceptes ou tu n'utilises pas.
• 14:01
  La marge de négociation d'une ETI est mince. 3e outil, la
• 14:06
  charte d'utilisation interne, la liste des outils autorisés, les
• 14:10
  données qu'on ne soumet jamais à un outil externe, les
• 14:13
  responsabilités de chacun, les procédures de contrôle.
• 14:16
  C'est le rempart contre le shadow et I.
• 14:20
  Et un outil émergeant, l'assurance des contrats
• 14:22
  hybrides. Responsabilité civile et cyber
• 14:25
  commencent à couvrir les erreurs algorithmiques.
• 14:27
  Mais le marché est encore jeune et un problème spécifique
• 14:30
  inquiète les assureurs. La Silent AI des sinistres
• 14:34
  causés par l'i. A dans des polices qui ne
• 14:35
  mentionnent même pas l'i a. Et la gouvernance interne ?
• 14:40
  C'est le ciment de tout le reste, un comité IA, pas un
• 14:43
  comité de plus, un comité qui réunit le juridique, la
• 14:46
  technique, les métiers et la direction.
• 14:49
  Il valide chaque nouvel usage qui trace les décisions, qui
• 14:52
  alertent quand quelque chose sort du cadre.
• 14:54
  Sans gouvernance, les normes restent des documents, les
• 14:57
  chartes restent des vœux pieux et les contrats des parapluies
• 15:01
  qu'on ouvre après la pluie. Maintenant la réponse aux mails.
• 15:05
  On y. Est le directeur juridique ouvre
• 15:08
  un nouveau message. Il écrit au directeur technique.
• 15:12
  On peut intégrer Gema 4, la licence Apache 2.0 nous donne la
• 15:16
  liberté technique. On peut héberger, auditer,
• 15:19
  modifier. Mais voilà, le cadre Google ne
• 15:22
  garantit rien. Si le modèle hallucine,
• 15:25
  discrimine ou reproduit du contenu protégé, c'est nous qui
• 15:28
  portons le risque. Il faut vérifier si l'usage
• 15:30
  relève du haut risque au sens de l'a I Act et si oui, préparer le
• 15:34
  marquage CE pour août 2026. Il faut une évaluation d'impact
• 15:39
  RGPD. Si des données personnelles sont
• 15:40
  traitées, il faut informer le CSE.
• 15:43
  Si le module touche à la gestion du personnel, il faut surveiller
• 15:46
  le front du droit d'auteur. La loi sur la présomption
• 15:49
  d'utilisation change la donne et il faut informer nos clients
• 15:52
  qu'une composante IA est intégrée au produit.
• 15:55
  On peut y aller, mais quelqu'un doit signer en connaissance de
• 15:59
  cause, pas en connaissance de la technologie, en connaissance du
• 16:02
  risque. Et c'est ça le vrai changement.
• 16:08
  Le vrai changement en 2026, ce n'est pas que l'i a entre dans
• 16:12
  l'entreprise, c'est qu'elle oblige l'entreprise à savoir
• 16:14
  exactement ce qu'elle fait, pourquoi elle le fait, avec
• 16:17
  quelles données, sous quelles responsabilités et qui assume
• 16:20
  les conséquences. Si ça tourne mal, le droit de
• 16:24
  l'i a. Ne crée pas de nouvelles
• 16:25
  questions, il rend les anciennes inévitables.
• 16:29
  C'était qui signe le casse ? Tête juridique de l'i a en
• 16:32
  entreprise. Merci de votre écoute.