Conseil en conformité, anciennement avocate et chargée d'enseignement en droit de l'intelligence artificielle à l'université Panthéon-Assas et à l'École des mines, Sabine Marcellin a contribué aux Cahiers de l'Académie des sciences techniques comptables et financières du CNOEC consacrés à l'intelligence artificielle. Elle est aussi l'auteur de Droit de l'intelligence artificielle (Éditions Gualino -2026) et cherche à rendre lisible aux professions du chiffre et du droit un règlement européen aussi ambitieux que technique : l'IA Act.
L’Expert : L’IA Act suscite beaucoup de discussions, mais sur le terrain, de nombreux professionnels semblent encore en avoir une vision très floue. En quoi ce texte européen concerne-t-il concrètement les cabinets d'expertise comptable et de conseil ?
Sabine Marcellin : Il s'agit d'un texte horizontal, ce qui signifie qu'il a vocation à s'appliquer à tous les professionnels, quel que soit leur secteur d’activité. Les professions de conseil et du chiffre ne font pas exception. Dès lors qu'un cabinet intègre des outils d'intelligence artificielle dans ses processus, il lui incombe de vérifier sa conformité. C'est une obligation que nul ne peut ignorer, d'autant que l’IA s’impose de plus en plus pour simplifier les tâches quotidiennes et absorber la saisie ou les processus répétitifs. Si la technologie représente un progrès indéniable, elle est également porteuse de risques qu'il convient de cartographier.
Justement comment appréhender cette architecture des risques prévue par l’IA Act et comment y intègre-t-on l'IA générative activement utilisée par les cabinets ?
S.M. : Le texte initial prévoyait quatre niveaux de risque (inacceptable, haut risque, limité, minimal ou nul), mais le législateur européen a dû ajouter un cadre spécifique pour l'IA générative, qui n'entrait pas dans ces catégories rigides. Une IA générative peut en effet s'avérer peu risquée ou, à l'inverse, hautement critique selon son usage. Des obligations strictes ont donc été édictées pour les grands systèmes dotés d'une puissance de calcul massive ou d'un grand nombre d'utilisateurs. Pour un cabinet, le risque majeur réside dans le traitement des données textuelles ou chiffrées : injecter des données professionnelles ou des données clients dans un système d'IA générative non sécurisé constitue une vulnérabilité critique.
Face à ce risque de fuite de données, de nombreux éditeurs de logiciels mettent en avant des solutions d'anonymisation. Cette protection est-elle réellement infaillible ?
S.M. : Tout dépend de la sophistication de l'anonymisation mise en œuvre. Une approche trop simpliste ou superficielle est illusoire. La puissance de calcul des systèmes d'IA actuels est telle qu'elle permet de croiser des variables indirectes, comme des adresses, des âges ou des indicateurs d'activité et de lever l'anonymat pour identifier les personnes physiques ou morales. L’anonymisation doit être avancée et réalisée via des outils dédiés et robustes pour que le risque disparaisse véritablement. Ce défi n'est d'ailleurs pas nouveau : il s'inscrit dans la continuité directe des obligations de protection des données personnelles issues du RGPD, qui auraient déjà dû être pleinement intégrées par les cabinets.
Les grands réseaux disposent de services juridiques et informatiques dédiés. Qu'en est-il de la masse des cabinets de taille plus modeste, qui dépendent entièrement d'éditeurs externes promettant des solutions clés en main ?
S.M. : C'est le nœud du problème pour les structures de type PME qui n'ont pas de ressources internes. Face aux promesses parfois excessives de certains éditeurs, le risque de mauvaise anonymisation est élevé. Sur le plan juridique, si le manquement provient d'un défaut intrinsèque de l'outil, la responsabilité du fournisseur sera engagée, mais dans les faits, nous nous dirigeons vers une responsabilité partagée. Les éditeurs feront tout pour contractuellement limiter leur responsabilité. Il est donc impératif que les dirigeants de cabinets abandonnent toute naïveté lors de la signature de ces contrats. Il faut exiger des clauses claires, explicites, et proportionnées aux enjeux, notamment si l’outil traite des missions sensibles comme la gestion de la paie, qui concentre de nombreuses données personnelles et sociales. Les instances de l’Ordre des experts-comptables ont publié des guides essentiels sur l'IA et la confidentialité pour alerter la profession. Mais l'Ordre ne peut pas se substituer à la gestion interne d'un cabinet, mais il rappelle que l'expert-comptable est soumis à un secret professionnel renforcé et qu'il demeure le garant ultime de la confidentialité des données de ses clients.
L’IA Act introduit également une obligation de formation, parfois désignée sous le terme de « littératie ». Cette contrainte, applicable depuis février 2025, semble pourtant méconnue. En quoi consiste-t-elle ?
C'est exact, cette obligation reste largement ignorée, alors qu'elle s'impose à toutes les entreprises et à tous les cabinets. La littératie consiste à permettre aux collaborateurs d’acquérir les compétences et les connaissances nécessaires pour appréhender les enjeux et les risques de l'IA par rapport à leurs missions spécifiques. Un collaborateur chargé exclusivement de la saisie n'aura pas les mêmes besoins de formation qu'un expert-comptable spécialisé en fusions-acquisitions. La formation doit être déclinée selon l'environnement de travail. Bien que nous attendions encore des textes de précision, il s'agit d'une obligation ferme.
Concrètement, comment un dirigeant peut-il contrôler l'usage que font ses collaborateurs d'outils grand public comme ChatGPT ou Claude, parfois depuis leur domicile ?
L'usage privé ne pose pas de difficulté, mais l'utilisation de ces modèles grand public pour des tâches professionnelles présente un danger immédiat pour la confidentialité. Pour y remédier, la démarche doit s'articuler en deux étapes : la formation et la mise en place d'une gouvernance interne. Il faut commencer par former les dirigeants eux-mêmes, car ce sont eux qui insufflent la doctrine d'utilisation au sein de la structure. Ensuite, il faut sensibiliser les collaborateurs, même de manière succincte, par exemple, par une session d'une heure, en présentiel ou en ligne, pour leur faire comprendre que l'IA n'a rien de magique et que les données transmises alimentent des bases externes. Mon conseil pragmatique est de conserver impérativement une preuve de ces formations, comme des feuilles de présence lors des réunions d'équipe. En cas de contrôle réglementaire ultérieur, ces éléments factuels attesteront de la mise en conformité du cabinet. Par ailleurs, l'intégration progressive de l'IA dans les diplômes d'État (DCG, DSCG) et au sein des grandes écoles montre que la formation académique s'empare du sujet, ce qui contribuera à élever le niveau de maturité des futures recrues.
Former les équipes et auditer les logiciels représente un coût, tant financier qu'en termes de temps de production. Est-ce soutenable pour les cabinets ?
S.M. : L'effort est réel, mais la formation peut s'envisager de manière interne et progressive afin d’abaisser son coût. Il s'agit avant tout de comprendre le fonctionnement global de la technologie. Je ne suis pas ingénieure en informatique, mais en s'y intéressant, on comprend vite que l'IA repose sur des bases de données enrichies par nos requêtes et par les documents que nous y adossons. Comprendre cette mécanique permet d'identifier naturellement les risques.
Si l'IA Act entre pleinement en vigueur à court terme, certaines échéances s'étendent jusqu'en décembre 2028. En tant que spécialiste, jugez-vous ce texte suffisant, ou souffre-t-il de lacunes ?
S.M. : C'est un texte extrêmement ambitieux et rigoureusement construit, mais en voulant réguler l'intégralité des systèmes d'IA, il adopte une formulation nécessairement générique. Les concepts de « littératie », de « transparence » ou de « contrôle humain » demeurent des notions floues qui nécessitent d'être éclairées par les autorités de régulation nationales et européennes. L'élaboration de ces guides prend du retard car l'application technique est d'une grande complexité.
De plus, l'environnement politique international complexifie la donne. Aux États-Unis, le pouvoir fédéral freine l'élaboration de garde-fous, allant jusqu'à annuler des décrets préexistants ou à restreindre les initiatives des États fédérés comme New York. Washington perçoit la réglementation européenne comme un frein à l’innovation de ses géants technologiques et agite la menace de barrières douanières. En France, s'agissant d'un règlement européen, l'application est immédiate. L'État français a participé activement à sa genèse et a désigné une bonne douzaine de régulateurs sectoriels. Bien que l'absence de guichet unique centralisé puisse sembler complexe, le cadre est désormais posé.
Le calendrier d'application ne risque-t-il pas de reculer sous la pression des lobbys, à l'instar de ce que l'on a pu observer pour les normes de durabilité (CSRD) ?
S.M. : Plusieurs échéances du calendrier initial ont été reportées par le Digital Omnibus sur l’IA, entré en vigueur le 27 juillet 2026. Notamment pour les systèmes à haut risque, les obligations initialement prévues pour le 2 août 2026 sont désormais repoussées au 2 décembre 2027 pour les systèmes autonomes (RH, crédit, etc.) et au 2 août 2028 pour les systèmes intégrés à des produits déjà réglementés (dispositifs médicaux, etc.).
S'il y a pu avoir des aménagements ou des reports dans le calendrier, l'Europe est restée ferme sur la protection des droits fondamentaux. C'est une démarche courageuse. L’Europe s'affirme comme un véritable laboratoire mondial de la réglementation technologique, en conférant à l'IA Act, tout comme au RGPD, une portée extraterritoriale : tout produit américain distribué sur notre sol devra s'y conformer, car l'Union a mesuré le risque systémique que ces technologies peuvent faire peser sur les droits humains [...]
Lire la suite de l'interview dans le dernier numéro de notre magazine L'Expert ici
Propos Recueillis par Samorya Wilson
