[Droit comparé] IA en entreprise : la mémoire documentaire peut-elle devenir un risque juridique ? Par Imad Rochd.

Les entreprises accumulent depuis des années des documents variés : contrats, dossiers RH, rapports techniques, procédures ou archives numériques. Une partie de ces données est structurée, mais une autre reste dispersée dans des systèmes anciens ou mal documentés. L’intelligence artificielle (IA) générative promet de rendre cette mémoire documentaire interrogeable, permettant aux employés de retrouver rapidement des décisions passées, de comparer des contrats ou de synthétiser des années de documentation. Cependant, le fait qu’une entreprise possède une information ne signifie pas qu’elle a le droit de l’utiliser dans un système d’IA. La disponibilité technique d’un document ne garantit pas sa licéité d’utilisation, surtout si des données à caractère personnel sont concernées. Cette distinction entre archive disponible et donnée utilisable est cruciale pour éviter des risques juridiques.

La CNIL (Commission nationale de l'informatique et des libertés) rappelle qu’un système d’IA utilisant des données personnelles doit respecter trois principes : la finalité déterminée, explicite et légitime, l’identification d’une base légale (comme le consentement ou l’exécution d’un contrat), et la limitation des données à celles strictement nécessaires. Par exemple, un document conservé pour répondre à une obligation légale ne peut pas automatiquement servir à entraîner un modèle d’IA. L’organisation doit se demander : pourquoi détenons-nous ces données, dans quel cadre et pour quel nouvel usage ? Ce changement de question est un enjeu majeur de gouvernance introduit par l’IA, car il impose une réflexion sur la légitimité de l’utilisation des données existantes.

L’IA révèle les faiblesses des systèmes documentaires préexistants. Un fonds documentaire peut contenir des doublons, des versions contradictoires, des documents sans durée de conservation définie ou des droits d’accès incohérents. Tant que ces documents sont difficiles à retrouver, leur mauvaise gouvernance reste silencieuse. Mais avec un outil capable d’interroger des millions de documents en quelques secondes, les problèmes deviennent visibles : une information enfouie devient accessible, un document obsolète peut être présenté comme une référence, ou une donnée personnelle peut réapparaître dans un contexte non prévu lors de sa collecte. L’IA agit comme un révélateur de la maturité informationnelle d’une organisation.

Dans un système documentaire traditionnel, l’accès aux informations repose sur une logique visible : utilisateur, groupe, dossier ou application. L’IA conversationnelle peut donner l’illusion que cette architecture disparaît, mais elle ne doit pas disparaître. Un assistant interne ne doit pas contourner les restrictions existantes. Par exemple, un employé ne doit pas pouvoir obtenir par une question en langage naturel une information à laquelle il n’aurait pas accès directement. Cela nécessite de penser simultanément sécurité informatique, gouvernance documentaire et gouvernance de l’IA. La CNIL souligne que les systèmes d’IA doivent intégrer les risques de confidentialité et mettre en œuvre des mesures adaptées, notamment pour les données personnelles.

L’IA remet en lumière un principe ancien : la durée de conservation des données. Préserver la mémoire d’une entreprise ne signifie pas conserver indéfiniment toutes les données. Le principe de limitation de la conservation, encadré par le RGPD en Europe, impose de supprimer ou d’anonymiser les données personnelles une fois leur finalité atteinte. Pour l’IA, cela signifie aussi réfléchir au cycle de vie des données utilisées pour son entraînement ou son fonctionnement. Une organisation mature doit distinguer la mémoire utile (connaissance à préserver) des données obsolètes ou sensibles. L’enjeu n’est pas de connecter l’IA au plus grand nombre de documents, mais aux bons documents, dans le bon cadre juridique.

Les questions soulevées par l’IA ne concernent pas uniquement l’Europe. Au Maroc, la loi n° 09-08 encadre la protection des données personnelles et s’applique aux documents numériques ou physiques contenant des informations sur des individus identifiables. Pour les entreprises opérant dans plusieurs pays, la gouvernance documentaire, la localisation des données et les règles d’accès doivent être harmonisées. En Europe, le RGPD et le règlement sur l’IA (AI Act) se complètent. L’AI Act (entré en vigueur en 2024) impose des exigences strictes pour les systèmes d’IA à haut risque, notamment sur la gestion des données utilisées pour l’entraînement ou les tests. Ces cadres juridiques visent à garantir que l’utilisation de l’IA respecte les droits des individus.

L’IA force les disciplines traditionnelles (archives, métiers, systèmes d’information, cybersécurité, juristes, équipes data) à dialoguer. Avant de connecter un modèle d’IA à des années de patrimoine documentaire, une organisation doit répondre à des questions clés : quelles informations possède-t-elle ? Pourquoi les conserve-t-elle ? Qui peut y accéder ? Pendant combien de temps ? Contiennent-elles des données personnelles ou sensibles ? Quelle version fait foi ? Et surtout, pour quelle finalité veut-elle les rendre accessibles à l’IA ? Si ces réponses sont floues, le problème ne vient pas de l’IA, mais de la gouvernance de l’information qui la précède. L’IA peut transformer la mémoire organisationnelle en avantage compétitif, mais aussi en risque si cette gouvernance est défaillante.