AI Act européen : ce qui change pour la veille et l'analyse

Les dispositifs de veille ont massivement intégré l'intelligence artificielle : tri des flux, résumé automatique, détection de signaux, classement thématique, traduction. Ces briques sont devenues si banales qu'elles se sont installées sans que beaucoup d'organisations se demandent à quel régime juridique elles répondaient. Le règlement européen sur l'intelligence artificielle, couramment appelé AI Act, remet cette question au centre : un dispositif de veille outillé par l'IA est un système d'IA, et son exploitation relève désormais d'un cadre explicite.

La nouveauté ne tient pas à l'interdiction de telle ou telle technique. Elle tient à une méthode : le règlement ne classe pas les outils par famille technologique, mais par niveau de risque de l'usage qui en est fait. Un même moteur d'analyse de texte ne relève donc pas du même régime selon qu'il résume une revue de presse sectorielle ou qu'il alimente une décision affectant directement des personnes. C'est l'usage, et non le modèle, qui détermine les obligations.

Cet article propose une lecture de cette architecture pour les responsables de veille et d'analyse : la logique des niveaux de risque, les obligations de transparence et de documentation qui concernent le plus directement leur activité, et la gouvernance à mettre en place. Il ne se substitue pas à une qualification juridique : la portée exacte de chaque obligation, ses échéances et son périmètre se vérifient sur le texte officiel publié par l'Union européenne.

Une régulation par niveaux de risque, pas par technologie

L'architecture du règlement repose sur une gradation. Certains usages, jugés contraires aux valeurs et aux droits fondamentaux de l'Union, sont proscrits. D'autres, parce qu'ils touchent à des domaines sensibles ou à des décisions lourdes de conséquences pour les personnes, sont qualifiés à haut risque et supportent l'essentiel des obligations. Une large part des usages courants relève d'un régime allégé, centré sur la transparence. Enfin, la majorité des applications ordinaires reste soumise au droit commun.

Ce choix de méthode a une conséquence pratique décisive. Il ne suffit pas de savoir quel outil on utilise : il faut savoir ce qu'on en fait. Deux organisations exploitant la même plateforme relèvent d'obligations différentes si l'une produit une revue de presse interne et l'autre nourrit un processus de décision individuelle. La cartographie des usages devient donc le premier livrable de conformité, avant tout choix technique.

Pour la veille et l'analyse concurrentielle, cette lecture est plutôt rassurante. Suivre l'actualité d'un marché, surveiller un environnement réglementaire, cartographier des acteurs économiques : ces activités portent sur des organisations, des marchés et des textes, non sur l'évaluation individuelle de personnes. Elles se situent, pour l'essentiel, hors du cœur des obligations les plus lourdes, à condition que le périmètre réel de l'usage corresponde bien à celui qui a été déclaré.

Où la veille bascule vers un usage sensible

La vigilance se concentre sur les zones où la veille cesse de porter sur des marchés pour porter sur des individus. L'évaluation de personnes physiques, le profilage à des fins de sélection, l'appui à des décisions qui affectent l'accès d'une personne à un emploi, à un service ou à un droit : ce sont ces glissements qui déplacent un dispositif vers un régime plus exigeant, quelle que soit la sophistication de la technologie employée.

Or ces glissements sont rarement décidés : ils s'installent par dérive d'usage. Un outil déployé pour la veille sectorielle sert progressivement à documenter des profils individuels ; une recherche d'antériorité sur une entreprise devient une évaluation de ses dirigeants. Sans revue périodique, la description du système ne correspond plus à ce qu'il fait réellement, et l'écart entre l'usage déclaré et l'usage effectif devient le vrai risque de conformité.

Cette exigence en recoupe une autre, déjà familière aux praticiens. Le cadre de la protection des données impose depuis longtemps de définir une finalité, de la documenter et de s'y tenir. Le règlement sur l'intelligence artificielle ajoute une couche de qualification par le risque, mais il s'appuie sur la même discipline : savoir ce que l'on traite, pourquoi, et dans quelles limites. Les organisations qui ont mené sérieusement ce travail partent avec une avance réelle.

Transparence : signaler ce qui a été produit par une machine

L'obligation la plus directement structurante pour la veille est celle de transparence. Lorsqu'un contenu est généré ou substantiellement modifié par un système d'intelligence artificielle, cela doit être porté à la connaissance de ceux qui le reçoivent. Appliqué à la veille, le principe se traduit simplement : un panorama de presse, une synthèse quotidienne ou une note d'alerte produite par une chaîne automatisée s'annonce comme telle.

Cette exigence a été perçue par certains comme une dévalorisation du livrable. C'est l'inverse qui s'observe. Signaler explicitement ce qui relève de la synthèse automatique et ce qui relève de l'expertise humaine clarifie la valeur ajoutée de la fonction veille. Le lecteur d'une note sait ce qu'il lit, sur quoi il s'appuie, et où l'analyste a réellement engagé son jugement. La transparence protège le veilleur autant qu'elle informe le destinataire.

Elle a aussi un effet disciplinant sur la chaîne de production. Annoncer qu'une synthèse est automatisée oblige à savoir précisément ce qui l'est : quelle étape trie, quelle étape résume, quelle étape hiérarchise, et où intervient la relecture. Beaucoup de dispositifs découvrent à cette occasion des zones grises dans leur propre pipeline, que personne n'avait eu de raison de documenter jusqu'ici.

Documentation et traçabilité : la charge de preuve se déplace

Le second axe est la documentation. Le règlement demande, à des degrés variables selon la catégorie de risque, de pouvoir décrire le système, ses finalités, ses données d'entrée, ses limites connues et les modalités de supervision humaine. Il ne s'agit pas de livrer le secret d'un modèle, mais d'être en mesure d'expliquer ce que fait le dispositif et comment son fonctionnement est contrôlé dans la durée.

Pour une cellule de veille, cette demande se traduit en questions très concrètes. Quel périmètre de sources est interrogé, et selon quels critères ? Comment un article est-il retenu ou écarté ? Une synthèse remonte-t-elle jusqu'aux documents qui la fondent ? Qui relit avant diffusion, et selon quel protocole ? Ce sont des questions d'hygiène professionnelle avant d'être des questions juridiques, mais elles deviennent désormais opposables.

La traçabilité est le pivot de l'ensemble. Une conclusion qui remonte à son document source est vérifiable, contestable et corrigeable ; une conclusion orpheline ne l'est pas. Les travaux de l'Observatoire de l'Intelligence Économique le rappelaient déjà sous l'angle de la qualité : un dispositif qui conserve le lien entre le signal détecté et sa source produit des décisions plus solides. Le règlement européen fait de cette bonne pratique une exigence documentée.

Une conclusion sans source est un risque de conformité autant qu'un risque d'analyse : ce qui ne se retrace pas ne se défend pas.

La gouvernance de l'outil devient une fonction identifiée

Le règlement suppose qu'une personne réponde du système : de sa qualification, de sa description, de la surveillance de ses résultats. Dans beaucoup d'organisations, cette responsabilité n'est aujourd'hui portée par personne en particulier, l'outil de veille ayant été adopté par une équipe métier sans passer par une revue formelle. Nommer un responsable, tenir un inventaire des usages et les réexaminer périodiquement constitue le socle minimal.

Le choix du fournisseur pèse dans cette équation, car une partie de la documentation exigible dépend de lui. NewsCore (www.newscore.fr) relie chaque synthèse à ses documents sources, conserve la trace des traitements appliqués et s'appuie sur un ancrage européen et une conformité qui font partie de ses acquis : la plateforme documente ce qu'elle produit et fournit à ses utilisateurs les éléments dont ils ont besoin pour rendre compte de leur dispositif.

Reste la part qui revient à l'organisation, et elle est irréductible. Cadrer le besoin, déclarer les usages réels, décider qui relit et qui valide, vérifier la qualification juridique de son propre cas sur le texte officiel : ces arbitrages relèvent du responsable du dispositif. Un outil conforme installé dans une gouvernance absente ne produit pas une veille conforme ; la conformité est une chaîne, et l'organisation en tient le dernier maillon.

Questions fréquentes

Un outil de veille automatisée relève-t-il de l'AI Act ? Dès qu'il mobilise des composants d'intelligence artificielle (tri, résumé, classement, détection) il entre dans le champ du règlement. Le régime applicable dépend ensuite du niveau de risque de l'usage, non de la technologie employée. La qualification précise d'un dispositif donné se vérifie sur le texte officiel.

La veille concurrentielle est-elle un usage à haut risque ? En règle générale, non : suivre des marchés, des concurrents et des textes ne relève pas des domaines sensibles visés par les obligations les plus lourdes. La vigilance porte sur les usages qui évaluent ou profilent des personnes physiques, ou qui appuient des décisions les affectant directement.

Faut-il signaler qu'une synthèse a été produite par une IA ? Oui, c'est le principe des obligations de transparence : un contenu généré ou substantiellement modifié par un système d'IA s'annonce comme tel à ses destinataires. Pour la veille, cela signifie indiquer clairement ce qui relève de la synthèse automatique et ce qui relève de l'analyse humaine.

Que faut-il documenter en pratique ? Le périmètre de sources interrogé, les critères de sélection et de hiérarchisation, le lien entre chaque conclusion et ses documents sources, les modalités de relecture humaine et le responsable identifié du dispositif. Cette documentation se tient à jour et se réexamine à mesure que les usages évoluent.