L'usage et le contrôle de l'IA au sein des organismes d'intérêt général

Depuis la mise sur le marché en 2022 de l’outil ChatGPT, les applications reposant sur l’intelligence artificielle (IA) et plus particulièrement sur l’intelligence artificielle générative (IAG)[1] ont été adoptées par des millions de personnes. Cette adoption massive et rapide s’est effectuée dans la sphère privée mais aussi dans la sphère professionnelle des utilisateurs.

L’IA est présentée comme une technologie libératrice des tâches à faible valeur ajoutée, synonyme de gain de temps et de meilleure productivité. Les solutions disponibles sont variées et proposent des cas d’usage pour tous. Conscients du potentiel de l’IA pour les accompagner dans leur quotidien professionnel, les salariés se sont emparés de ces outils, parfois en dehors de tout cadre managérial. N’étant pas épargné par ce phénomène, le secteur associatif est susceptible d’être confronté à ces usages incontrôlés de l’IA.

Or, l’utilisation d’un système d’IA n’est jamais neutre et comporte des risques de toutes natures. Par conséquent, malgré la complexité et la technicité du sujet, il appartient aux gouvernances d’entamer une réflexion sur l’usage de l’IA au sein des associations et fondations et de la compatibilité d’un tel usage avec leur projet d’intérêt général. Entre opportunités et risques, les règles du jeu doivent être fixées et un cadre adapté doit être proposé aux salariés et bénévoles.

(Article publié initialement par l’équipe de France générosités dans le JurisAssociations 713 du 15 février 2025.)

Les opportunités multiples de l’IA pour les associations et fondations

L’IA représente de multiples opportunités pour le milieu associatif. Cependant, avant de sauter le pas, la réalisation d’une cartographie des risques dédiée s’impose.

L’IA est un levier pour, d’une part, optimiser l’impact des missions sociales de l’association et, d’autre part, favoriser l’épanouissement de ses salariés.

Dans un premier temps, l’IA est en passe de s’inscrire dans le quotidien professionnel de l’ensemble des collaborateurs du milieu associatif, des cas d’usages propres au secteur s’étant développés sur le marché.

Des outils dédiés à l’analyse et à la compréhension des données sont par exemple proposés aux services en charge de la collecte de fonds et du mécénat dans le but d’optimiser l’efficacité des campagnes de prospection et de fidélisation (priorisation de la prospection, amélioration du suivi et personnalisation de la relation, etc.). Parallèlement, les services communication et marketing peuvent s’appuyer sur l’IA pour générer des contenus et des images qui illustreront lesdites campagnes et les rendront plus impactantes[2]. En recourant à de tels outils, l’association pourrait donc augmenter les montants et le volume de dons reçus.

Par ailleurs, il existe des applications permettant de faciliter la réalisation des tâches quotidiennes par l’ensemble des fonctions support : analyse et tri automatique des CV pour la gestion des ressources humaines, revue de documents, manipulation de chiffres ou encore génération de tableaux de bord pour les services administratifs et financiers, ou encore analyse de contrats pour les services juridiques.

Ainsi, en recourant à des outils offrant un gain général de productivité, davantage de ressources humaines et financières pourraient être consacrées à la réalisation de la mission sociale de l’organisation.

Dans un second temps, l’IA peut avoir un effet positif sur la qualité de vie au travail. Selon un rapport de l’OCDE, 63% des travailleurs qui utilisent l’IA se déclarent plus satisfaits sur le plan professionnel et plus de la moitié fait état d’une amélioration de sa santé mentale. Les salariés, libérés des tâches à faible valeur ajoutée, s’épanouissent dans l’exécution de missions plus complexes et plus intéressantes[3].

L’IA représente également une opportunité en termes d’inclusion, à l’instar des technologies qui participent à l’accompagnement des salariés en situation de handicap via des dispositifs d’assistance (sous-titrages pour les malentendants, etc.).

Les risques liés à un usage incontrôlé de l’IA

Les usages de l’IA sont parfois insoupçonnés et s’effectuent en dehors de tout cadre, tel est le cas lorsque des collaborateurs utilisent des outils libres d’accès sans en informer préalablement leur hiérarchie. Cet usage incontrôlé de l’IA présente des risques de plusieurs ordres.

Il existe tout d’abord des risques liés à la confidentialité et à la protection des données. En effet, la plupart des applications gratuites mises à disposition du grand public utilisent à des fins d’entrainement les données qui leur sont partagées. Des informations stratégiques de l’association ou des données personnelles relatives aux donateurs, adhérents et bénéficiaires pourraient ainsi être partagées avec des systèmes d’IA ne garantissant ni la confidentialité des données ni la protection des droits des personnes concernées.

Ensuite, l’IA peut produire des contenus qui comprennent des erreurs, des biais comportementaux ou des hallucinations[4]. En utilisant des résultats produits par l’IA sans vérifier la présence de tels phénomènes, le collaborateur fait courir le risque à l’association de participer à l’homogénéisation et à la stéréotypisation des représentations ainsi qu’au partage de fausses informations.

Enfin, des risques d’ordre éthique sont susceptibles d’entraîner des répercussions sur l’image et la réputation de l’organisation. L’exploitation des technologies d’IA a en effet un impact environnemental important et peut, à ce titre, s’avérer incompatible avec la cause défendue par l’association[5]. De plus, certains prestataires ne garantissent pas des conditions de travail dignes et respectueuses des droits. Le recours à de tels acteurs serait également éthiquement contestable[6].

Le contrôle de l’IA : Le choix d’un outil conforme

Consciente des risques et des enjeux éthiques, la gouvernance exprime souvent sa défiance à l’égard de l’utilisation de l’IA. Il est cependant possible d’exploiter le potentiel de cette technologie tout en mettant en place un cadre d’usage conforme aux standards de l’organisation.

L’enjeu pour l’association est de choisir un outil qui, d’une part, répond aux besoins recensés en interne et, d’autre part, s’inscrit dans le cadre éthique de l’association.

Tout d’abord, l’outil doit répondre aux besoins concrets des équipes opérationnelles, tels que ceux-ci auront été identifiés par la gouvernance par le biais d’entretiens ou de sondages par exemple. Que souhaitent-ils accomplir précisément avec l’IA ? Quels avantages recherchent-ils ? Comment l’utiliseront-ils concrètement ? Autant de questions qui permettront à la gouvernance de statuer sur les cas d’usage où l’IA apportera une réelle valeur ajoutée[7].

Ensuite, l’outil doit répondre à un minimum d’exigences en matière de conformité et de sécurité. Dans ce cadre, les associations peuvent s’appuyer sur les recommandations émises par l’ANSSI et la CNIL qui recensent les principales mesures à mettre en place tout au long du cycle de vie d’un système d’IA[8]. Ces autorités recommandent notamment de :

mener une analyse de risque sur les systèmes d’IA avant toute mise en œuvre effective[9],
sélectionner un système robuste et un mode de déploiement sécurisé, par exemple en privilégiant le recours à des systèmes locaux, sécurisés et spécialisés,
s’assurer de la qualité et du niveau de confiance suffisant des sources de données utilisées[10],
obtenir la garantie que les données partagées ne serviront pas à l’entrainement de l’IA,
privilégier des outils européens qui, en vertu de la règlementation applicable, offrent davantage de garanties en termes d’éthique, de sécurité et de protection des droits[11].

Des critères supplémentaires peuvent être imposés aux prestataires, tels que le respect de la Recommandation sur l’éthique de l’IA émise par l’Unesco. Huit entreprises technologiques mondiales ont déjà endossé cette recommandation, s’engageant ainsi à bâtir une IA plus éthique[12].

Enfin, l’association s’assurera de la conformité de l’outil à ses propres standards éthiques pour pallier tout risque réputationnel.

Le contrôle de l’IA : L’établissement d’un cadre et d’une procédure dédiés

Afin d’accompagner et d’encadrer le déploiement de l’IA, il est indispensable de se doter d’une procédure et d’outils de contractualisation dédiés.

En premier lieu, il appartient à la gouvernance de définir de manière claire et précise la politique interne de l’association en matière d’IA. Cette étape est nécessaire y compris dans l’hypothèse où la gouvernance choisit d’interdire l’usage de l’IA ou lorsqu’aucun outil n’est spécifiquement déployé en interne, pour des raisons financières par exemple. Une telle politique sur l’usage de l’IA devrait a minima prévoir :

L’identification d’un service ou d’un référent chef de file qui servira de boussole pour l’ensemble des services et des utilisateurs sur les sujets d’IA.
La liste des outils autorisés et interdits,
Les bonnes pratiques à respecter pour les cas d’usage autorisés. Il est par exemple recommandé de ne pas confier de prise de décision aux systèmes d’IA et de proscrire l’envoi de données personnelles, confidentielles ou stratégiques si aucune garantie de confidentialité n’est associée à cet usage,
Les dispositifs permettant de contrôler le bon usage de l’IA par les utilisateurs (respect des obligations/interdictions d’usage et des bonnes pratiques établies).

A chaque étape de la procédure, la gouvernance s’assure de la cohérence de la politique IA avec les missions sociales de l’association. En outre, elle implique dès le début de la réflexion toutes les parties prenantes (délégué à la protection des données, responsable des systèmes d’information, responsables de services, etc.). Les utilisateurs finaux son également consultés pour vérifier que la procédure répond à leurs pratiques métiers.

En parallèle, des actions de sensibilisation sur le fonctionnement de l’IA permettront à chacun de prendre conscience des risques encourus en cas d’utilisation non conforme. En complément, des formations adaptées à chaque métier et usage peuvent être mises en place afin notamment de prévoir :

Les modalités suivant lesquelles un contrôle systématique des résultats produits par l’IA est effectué (contrôle des hallucinations, biais et erreurs),
Les réflexes à adopter pour éviter les piratages,
Les pratiques garantissant une utilisation efficace des outils déployés, telles qu’une formation au prompting[13], qui permettra de limiter l’impact carbone de l’IA.

En second lieu, afin de garantir le respect des obligations par le ou les prestataires sélectionnés, il est intégré au contrat de prestation des clauses dédiées au respect de la règlementation applicable, des règles éthiques ainsi que des dispositions relatives au contrôle et à l’audit. Une bonne pratique consiste également à soumettre avant toute contractualisation un questionnaire aux prestataires pour s’assurer de leur conformité sur certains éléments clés, tels que la non-utilisation des données à des fins d’entrainement. Ce questionnaire pourra être annexé au contrat. Le cas échéant, il convient de s’assurer que les mêmes exigences seront imposées à l’ensemble de la chaîne de sous-traitance.

Au regard de l’évolution très rapide de l’IA, ces outils, procédures et clauses contractuelles types seront régulièrement revus.

Conclusion

C’est en favorisant le dialogue social et le respect de critères stricts en matière de sécurité, de conformité et d’éthique qu’une IA responsable peut être déployée au service d’un projet associatif. Un tel process suscitera par ailleurs la confiance et l’adhésion des parties prenantes. Salariés, bénévoles mais aussi donateurs, mécènes, partenaires et instances de contrôle ne pourront en effet qu’approuver l’adoption d’une politique interne transparente sur l’utilisation de l’IA[14].

Article écrit par :

Anouk Marchaland, juriste

Pour suivre toutes nos actualités, inscrivez-vous à notre newsletter bimensuelle par ce lien ci.

Découvrez également les résultats de notre sondage sur l’usage de l’intelligence artificielle au sein des OSBL membres de France générosités, par ici.

[1] L’intelligence artificielle est un procédé logique et automatisé reposant généralement sur un algorithme et en mesure de réaliser des tâches bien définies. Pour le Parlement européen, constitue une intelligence artificielle tout outil utilisé par une machine afin de « reproduire des comportements (source : CNIL). L’intelligence artificielle générative est un modèle d’IA entraîné à générer du contenu (texte, images, vidéos) à partir d’un corpus spécifique de données d’entraînement. Cela comprend les Large Language Model (LLM) qui permettent de générer une réponse à une question formulée en langage naturel à partir d’un modèle entraîné sur des volumes de données très importants (source : ANSSI)

[2] Renvoi possible vers l’article du dossier traitant de L’utilisation de l’IA pour la communication

[3] « Perspectives de l’emploi de l’OCDE 2023 – intelligence artificielle et marché du travail », OCDE, 2023

[4] Une hallucination est une situation dans laquelle une IAG fournit des réponses erronées ou inadaptées, en raison de biais dans ses calculs ou dans ses bases de données. Les données d’entraînement peuvent aussi être biaisées dans la mesure où le contenu généré est nécessairement influencé par le corpus qui alimente en données l’IAG. Enfin, il existe un risque important que le contenu produit par les IAG contienne des erreurs. Cela s’explique par le fait que l’IAG n’est pas en mesure de distinguer le vrai et le faux compte tenu de son mode de fonctionnement qui repose sur des calculs probabilistes (source : Rapport d’information n° 2207 sur les défis de l’intelligence artificielle générative en matière de protection des données personnelles et d’utilisation du contenu généré, Commission des lois, 14 février 2024).

[5] L’IA est « très gourmande en énergie. Cela est particulièrement vrai pour l’IAG, qui nécessite des millions de calculs pour produire un contenu vraisemblable. Le coût et l’impact environnemental de l’IAG peuvent dès lors, à terme, être considérables », ibid.

[6] « De manière de plus en plus marquée, les plateformes se servent des micro-travailleurs pour calibrer et améliorer des solutions intelligentes » (Le Micro-Travail en France. Derrière l’automatisation, de nouvelles précarités au travail ? DiPLab, 2019). Le statut très précaire de ces travailleurs de l’ombre est régulièrement mis en lumière par des études, à l’instar du Rapport de l’ONU « Digital labour platforms and the future of work – Towards decent work in the online world », 2018.

[7] En ce sens, voir les fiches pratiques « TPE PME : comment profiter de l’IA générative ? » publiées par France Num en novembre 2024 qui pourront accompagner le secteur associatif dans la recherche d’outils d’IA adaptés aux besoins en présence.

[8] Le Guide ANSSI « Recommandations de sécurité pour un système d’IA générative » vise à sensibiliser les administrations et entreprises aux risques liés à l’IAG ainsi qu’à promouvoir les bonnes pratiques à mettre en œuvre depuis la phase de conception et d’entrainement d’un modèle d’IA jusqu’à la phase de déploiement et d’utilisation en production. De son côté, la CNIL a publié tout au long de l’année 2024 des fiches pratiques sur l’application du RGPD au développement des systèmes d’intelligence artificielle (https://www.cnil.fr/fr/les-fiches-pratiques-ia)

[9] Des outils sont mis à disposition sur les sites de la CNIL et de l’ANSSI pour guider les organisations dans la réalisation d’une telle analyse de risque.

[10] Des critères de qualité des données d’un point de vue métier peuvent être par exemple l’origine, la quantité, l’exhaustivité, la pertinence, l’exactitude, la représentativité (au sens statistique), ou encore le respect d’une structure donnée (Cf. Guide ANSSI précité)

[11] A titre d’exemple, le Règlement européen sur l’IA impose au concepteur de système d’IA de garantir l’intégrité de la base et son éthique par rapport aux stéréotypes et biais (Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle et modifiant les règlements). En choisissant une solution européenne, l’organisation s’assure également du respect des exigences du RGPD (Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données).

[12] A l’occasion du forum mondial de l’Unesco sur l’éthique de l’IA des 5-6 février 2024, GSMA, INNIT, Lenovo Group, LG AI Research, Mastercard, Microsoft, Salesforce et Telefonica se sont engagés à mettre en œuvre les valeurs et les principes de la Recommandation de l’UNESCO sur l’éthique de l’intelligence artificielle à chaque étape de la conception et du déploiement de leurs systèmes d’IA.

[13] Une requête (ou prompt) désigne l’instruction sous forme de texte envoyée par l’utilisateur au système d’IA. Plus la requête est claire et précise, mieux l’IA interprétera le contexte et produira une réponse pertinente. En ce sens, FranceNum recommande l’insertion de prompts types dans la politique d’usage pour harmoniser les pratiques des utilisateurs.

[14] A ce titre, il est à noter qu’il convient d’informer les utilisateurs finaux lorsqu’ils interagissent avec l’IA ou que des décisions sont prises par elle. Renvoi possible à l’article du Don en confiance qui évoquera peut-être la question de la transparence à l’égard des donateurs.