Trois principes
Ils déterminent ce que nous acceptons de conclure, et ce que nous refusons d'écrire.
Nous qualifions des usages, pas des logiciels
Le règlement interdit des pratiques. Le mot est important : un même outil peut être parfaitement licite dans un emploi et interdit dans un autre. Un système d'analyse d'images n'est ni conforme ni non conforme en soi ; ce sont les usages qui en sont faits qui se qualifient.
L'inventaire porte donc sur les usages réels, tels qu'ils sont pratiqués — et non sur le parc applicatif tel qu'il est décrit dans un registre. Un système donne souvent trois à cinq usages à qualifier séparément.
Nous observons le système, nous ne sollicitons pas les personnes
Nos constats reposent sur le comportement du système lui-même, mis en évidence par des tests conduits dans vos environnements.
Aucun de vos utilisateurs n'est interrogé. Aucune donnée personnelle supplémentaire n'est collectée pour les besoins de l'audit. C'est une exigence méthodologique autant qu'une exigence de protection des données : un audit qui créerait son propre traitement de données sensibles se contredirait lui-même.
Nous rendons un faisceau gradé, jamais un verdict
Chaque constat est accompagné de son degré de certitude, de ses limites et de ses conditions de réplication. Chaque conclusion est rattachée à un membre de phrase précis du règlement.
Nous n'écrivons jamais qu'un système « manipule ses utilisateurs ». Nous écrivons ce que le système fait, ce que le texte en dit, et ce qui reste à établir. La qualification définitive appartient à l'autorité de surveillance et, le cas échéant, au juge.
Cette réserve n'affaiblit pas le rapport : c'est elle qui le rend utilisable en procédure.
Ce sur quoi nous nous appuyons
Le règlement (UE) 2024/1689 et ses considérants. Les lignes directrices de la Commission européenne du 4 février 2025 sur les pratiques interdites. Et l'état de la littérature scientifique sur les effets en cause — que le législateur cite lui-même :
« La base scientifique des systèmes d'IA visant à identifier ou à inférer les émotions suscite de vives inquiétudes, d'autant plus que l'expression des émotions varie considérablement d'une culture et d'une situation à l'autre, comme d'ailleurs chez un même individu. Les principaux défauts de ces systèmes sont, entre autres, leur fiabilité limitée, leur manque de précision et leur généralisabilité limitée. »
Règlement (UE) 2024/1689, considérant 44.
Un audit sérieux part de ce que le texte dit, pas de ce que le fournisseur promet.
Déroulement d'une intervention
- Cadrage. Un échange court pour délimiter le périmètre et identifier les usages à qualifier. Sans engagement.
- Accès. Nous précisons ce dont nous avons besoin : environnement de test ou compte de démonstration, documentation technique, journaux pertinents. C'est une condition d'exécution, pas une formalité.
- Observation. Les tests sont conduits sur le périmètre convenu.
- Rapport. Constats rattachés au texte, degré de certitude, limites, et priorités d'action.
- Restitution. Une séance de travail avec vos équipes et, si vous le souhaitez, votre conseil juridique.