IA en métier réglementé : le modèle n'est pas le problème, la traçabilité l'est

Conclusion opérationnelle

Dans un métier réglementé, le risque principal de l'IA générative n'est pas la qualité du modèle. C'est l'impossibilité de dire, après coup, sur quoi une décision a reposé : quelle question a été posée, avec quels documents, quelles sources ont été proposées, lesquelles ont été vérifiées, et par qui.

Un avocat, un médecin ou tout professionnel dont les actes engagent sa responsabilité doit pouvoir justifier ce qu'il a fait. Un modèle de langage produit des textes plausibles ; il ne produit pas la justification de ces textes. Les éditeurs le reconnaissent eux-mêmes : OpenAI demande aux utilisateurs de son offre juridique de vérifier les réponses et les sources citées avant de s'y fier.^[1]

Décision recommandée : avant d'introduire un outil d'IA générative dans une activité réglementée, définissez ce que vous devrez pouvoir reconstituer en cas de contestation, et organisez l'enregistrement de ces éléments. Le choix du modèle vient ensuite.

1. Le point commun des métiers réglementés : devoir justifier

Les professions réglementées n'ont pas toutes les mêmes règles, mais elles partagent une exigence : le professionnel répond personnellement de ses actes, et doit pouvoir expliquer comment il est parvenu à une conclusion.

Les instances professionnelles l'ont traduit dans leurs recommandations sur l'IA générative. Le Conseil national des barreaux a adopté le 17 mars 2026 un guide sur la déontologie et l'intelligence artificielle. Il y rappelle les exigences fondamentales de la profession d'avocat face à ces outils : protection du secret professionnel, respect du RGPD, compétence, prudence, indépendance, information et fixation équilibrée des honoraires.^[2]

La Haute Autorité de santé a publié de son côté des « premières clefs d'usage » de l'IA générative pour les professionnels des secteurs sanitaire, social et médico-social. Son point clef tient en une phrase :

« Chaque usage d'un système d'IA générative doit être conscient, supervisé et raisonné. »^[3]

La HAS en tire quatre lignes directrices, regroupées sous l'acronyme A.V.E.C. : apprendre le fonctionnement du système, vérifier la pertinence de l'usage et le contenu généré, estimer dans le temps la qualité du système, communiquer avec son écosystème pour améliorer les pratiques.^[3]

Ces deux textes ne parlent pas de performance du modèle. Ils parlent de la place du professionnel : c'est lui qui vérifie, lui qui décide, lui qui répond.

2. Ce qu'un modèle ne fournit pas

Un modèle d'IA générative ne raisonne pas à la manière d'un professionnel qui pourrait ensuite exposer ses motifs. Il produit une réponse. Si on lui demande d'expliquer cette réponse, il produit un second texte, plausible lui aussi, qui n'est pas la trace du cheminement ayant conduit au premier.

Les offres spécialisées réduisent certains risques sans supprimer celui-ci. Astra for Law, l'offre d'OpenAI destinée aux cabinets d'avocats, interroge un index juridique couvrant la jurisprudence, les lois, les règlements et les décisions administratives des États-Unis, mis à jour quotidiennement. La page de présentation de l'éditeur comporte pourtant une consigne explicite : vérifier les réponses et les sources citées avant de s'y fier.^[1]

Cette consigne déplace la question. Si le professionnel doit vérifier, il doit aussi pouvoir montrer qu'il a vérifié. Et pour cela, il faut que la question posée, les documents fournis, la réponse obtenue et les sources contrôlées aient été conservés quelque part.

3. Ce que le droit exige déjà, et ce qui arrive

Le RGPD, applicable aujourd'hui

L'article 22 du RGPD donne à toute personne le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, lorsque cette décision produit des effets juridiques la concernant ou l'affecte de manière significative. Lorsque ce type de décision est admis, par exemple parce qu'il est nécessaire à l'exécution d'un contrat ou fondé sur un consentement explicite, le responsable du traitement doit au moins garantir à la personne le droit d'obtenir une intervention humaine, d'exprimer son point de vue et de contester la décision.^[4]

Une intervention humaine réelle suppose que la personne qui intervient puisse reprendre le dossier : elle doit savoir ce que le système a proposé et sur quelle base.

Le règlement sur l'IA, pour les systèmes à haut risque

Le règlement européen sur l'intelligence artificielle impose des obligations plus précises aux systèmes classés à haut risque. Pour ceux de l'annexe III, qui comprend notamment le recrutement, l'accès aux services essentiels et l'évaluation de la solvabilité, ces obligations s'appliqueront à partir du 2 décembre 2027, comme nous l'expliquions dans notre article du 23 septembre.^[9]

Quatre dispositions concernent directement la traçabilité :

La plupart des usages courants d'un cabinet ou d'un professionnel de santé, comme la rédaction d'un premier jet ou la synthèse d'un dossier, ne relèvent pas de l'annexe III. Ces articles restent une indication utile : ils décrivent ce qu'un régulateur considère comme un usage maîtrisé d'un système qui pèse sur des décisions individuelles.

4. La traçabilité en pratique

Tracer ne signifie pas tout enregistrer. Il s'agit de conserver ce qui permettra de répondre à une question simple, posée des mois plus tard par un client, un patient, un confrère ou une autorité : « sur quoi vous êtes-vous fondé ? ».

Deux précautions s'imposent. La première : ces enregistrements contiennent souvent des informations couvertes par le secret professionnel ou des données personnelles, parfois de santé. Ils doivent être protégés au même niveau que le dossier lui-même, et non stockés dans un outil tiers par défaut. La seconde : la durée de conservation doit être choisie, documentée et justifiée, et non laissée au réglage de l'outil.

5. Le piège : des journaux que personne ne sait relire

Beaucoup d'outils conservent un historique des conversations. Cet historique n'est pas une traçabilité s'il ne permet pas de relier une conversation à un dossier, à une décision et à la personne qui l'a prise.

Le test est concret. Prenez une décision prise il y a trois mois avec l'aide d'un outil d'IA, et essayez de retrouver, en moins d'une heure, la question posée, la réponse obtenue et les sources vérifiées. Si vous n'y parvenez pas, votre organisation ne pourra pas non plus répondre à une contestation.

6. Plan d'action

1. Recenser les usages d'IA générative dans l'activité réglementée, y compris ceux adoptés individuellement par les collaborateurs.
2. Distinguer les usages qui préparent un travail relu en entier, comme un premier jet, de ceux qui pèsent sur une décision visant une personne. Les trois critères de notre article du 4 novembre aident à écarter ceux qui ne valent pas la peine.
3. Lire les recommandations de votre profession : guide du Conseil national des barreaux pour les avocats, lignes directrices de la HAS pour la santé, ou celles de votre ordre.
4. Définir les éléments à conserver pour chaque usage qui pèse sur une décision, en partant du tableau ci-dessus.
5. Choisir où ils sont conservés, au même niveau de protection que le dossier, et pour quelle durée.
6. Désigner qui valide, avec la compétence et l'autorité nécessaires, et former ces personnes au risque de confiance excessive dans les résultats.
7. Faire le test de reconstitution sur une décision réelle, puis recommencer après chaque changement d'outil ou de version.

Recommandation finale

Les offres d'IA destinées aux professions réglementées vont se multiplier, et leurs performances progresseront. Aucune ne changera le fait que le professionnel répond de ses décisions, ni le fait qu'un texte généré n'est pas une justification.

L'investissement le plus durable n'est donc pas dans le choix du meilleur modèle, mais dans l'organisation qui permet de montrer, à tout moment, ce que l'outil a proposé et ce que le professionnel en a fait. Notre page consacrée à l'AI Act présente la démarche de mise en conformité que nous proposons.

Cette note constitue une analyse générale ; elle ne constitue pas un avis juridique ni une consultation déontologique. Les règles propres à chaque profession relèvent de ses instances ordinales ou représentatives, et la qualification d'un système au regard du règlement sur l'intelligence artificielle doit être examinée au cas par cas.