Si votre entreprise utilise un système d'IA à haut risque (recrutement automatisé, scoring de crédit, accès à des services essentiels, selon l'Annexe III), l'Article 14 de l'IA Act vous impose d'organiser une supervision humaine effective. Pas une supervision de papier : une personne réelle, qui comprend ce que fait le système, qui peut détecter ses dérives, et qui peut l'arrêter quand il le faut.
Voici comment mettre ça en place concrètement, sans bureaucratie.
Ce que dit l'Article 14 : quatre capacités, pas un vague principe
L'Article 14 §1 pose le cadre : les systèmes d'IA à haut risque doivent être conçus de façon à pouvoir être effectivement supervisés par des personnes physiques pendant leur utilisation. Le mot clé est effectivement, c'est-à-dire en pratique, pas seulement sur le papier.
L'Article 14 §4 précise ensuite les quatre capacités concrètes que la personne désignée doit avoir :
Capacité 1 : comprendre les limites du système. Votre superviseur doit savoir ce que le système fait bien et ce qu'il fait mal. Quels types de cas l'IA traite correctement. Où elle tend à se tromper. Quelles anomalies surveiller.
Capacité 2 : résister à l'automation bias. L'Article 14 §4 nomme explicitement ce risque : la tendance automatique à faire confiance aux sorties d'un système IA sans les questionner. Votre superviseur doit en être conscient. Une IA qui produit une réponse confiante n'a pas forcément raison.
Capacité 3 : interpréter correctement les sorties. Comprendre ce que signifie un score, une recommandation, un résultat. Pas juste lire un chiffre : savoir ce qu'il représente et dans quelles limites il est fiable.
Capacité 4 : pouvoir arrêter ou infirmer la décision. C'est le point le plus opérationnel. Votre superviseur doit avoir accès au bouton d'arrêt réel, techniquement, pas juste en théorie.
Article 14 §1 et §4 en clair
Le règlement impose qu'un humain puisse "surveiller", "comprendre" et "arrêter" le système pendant son utilisation, pas après. La supervision ne peut pas être déléguée à une procédure de ticketing ou à un appel au fournisseur. Elle doit être directe et immédiate.
Le bouton d'arrêt : une obligation technique, pas une métaphore
Le quatrième point est souvent sous-estimé. Posez cette question à votre DSI ou à votre fournisseur IA : "Si demain à 14h, le système produit des sorties manifestement aberrantes, qui peut l'arrêter, en combien de temps, et comment ?"
Si la réponse est "on ouvre un ticket chez le prestataire", vous n'avez pas de supervision effective au sens de l'Article 14.
Ce qui est attendu : un accès direct permettant l'interruption en moins de 5 minutes. Cela peut prendre des formes variées selon votre contexte : une clé API à révoquer dans votre interface d'administration, un accès direct au paramètre d'activation dans votre ATS, une procédure documentée en deux étapes avec les accès correspondants.
En pratique
Pour chaque système IA actif en haut risque, documentez en une ligne : "Le superviseur X peut couper le système en faisant Y (accès : Z)." Si vous ne pouvez pas remplir cette ligne, c'est votre premier chantier.
Les quatre niveaux de supervision : choisir le bon selon le risque
L'Article 14 n'impose pas de valider chaque sortie. Il impose de choisir un niveau de supervision adapté au risque du système. Quatre niveaux couvrent tous les cas :
Niveau 1, validation systématique avant action. Un humain valide chaque sortie de l'IA avant qu'elle produise un effet réel. Réservé aux décisions à fort impact individuel : décision finale d'embauche, octroi de crédit, prescription médicale, sanction disciplinaire. Ce niveau est exigeant : ne l'utilisez que là où il est vraiment nécessaire.
Niveau 2, validation par échantillonnage. Un humain audite régulièrement un échantillon des sorties. Pertinent pour : modération de contenu, classification de tickets, scoring marketing. Le pourcentage dépend du risque réel (5 à 10 % pour la modération, 1 à 2 % pour le scoring marketing). Documentez la méthode : aléatoire, stratifié, ou ciblé sur les cas à risque.
Niveau 3, surveillance par exception. Le système tourne en autonomie, mais le superviseur est alerté en cas d'anomalie ou de cas atypique. Exemples : détection de fraude, supervision d'agents conversationnels. Pré-requis : des règles de levée d'alerte documentées dans le système.
Niveau 4, audit a posteriori. Pas de supervision en temps réel, mais un audit à intervalles réguliers. Réservé aux usages à faible impact individuel : génération de brouillons internes, suggestions marketing, traduction de premier jet. Ne convient pas aux systèmes haut risque.
Règle de choix en une phrase
Montez d'un niveau dès qu'une décision IA peut affecter un individu identifiable de façon significative. Restez au niveau 4 pour les usages purement productifs sans impact externe.
Superviser l'IA générative : une logique différente
L'IA générative (ChatGPT, Claude, Copilot) présente un cas particulier. La validation à chaque sortie est impossible si votre équipe génère des dizaines de contenus par jour.
L'approche conforme repose sur trois niveaux :
Supervision en amont : politiques d'usage écrites. Définissez par écrit ce qui est autorisé et ce qui est interdit. Données confidentielles : interdites en saisie. Décisions sur des personnes (recrutement, sanction) : interdites sans validation humaine. Communication client : autorisée avec relecture avant envoi. Faites signer ces règles.
Supervision en aval : relecture des sorties externes. Tout contenu IA destiné à un client, un candidat ou un partenaire passe par une relecture humaine avant envoi. Pas pour tout réécrire : pour vérifier l'absence d'hallucination, de biais, ou de fuite d'information. Cette relecture est votre supervision effective au sens de l'Article 14.
Audit trimestriel par échantillonnage. Tirez au hasard 20 à 30 contenus générés dans le trimestre. Lisez-les. Documentez vos constats. Cet audit prouve que vous supervisez effectivement, et il vous coûte une heure par trimestre.
En pratique
Programmez dès maintenant votre première session d'audit IA générative. Tirez 20 emails ou contenus au hasard. Vous identifierez en une heure les principales dérives à corriger. C'est l'investissement de supervision le plus rentable que vous ferez.
Trois documents pour prouver la supervision : ni plus, ni moins
L'Article 14 ne demande pas un manuel de 200 pages. Il demande une organisation traçable. Trois documents suffisent pour une PME :
Document 1 : la fiche de supervision par système IA. Une page par système, classée dans votre registre IA. Contenu : nom du système, niveau de risque, niveau de supervision retenu (1 à 4), nom du superviseur désigné, suppléant, méthode concrète de supervision, seuils d'intervention, modalité d'arrêt d'urgence.
Document 2 : le journal des interventions humaines. Un fichier partagé (Excel, Notion), une ligne par intervention : date, système concerné, type d'intervention (correction, annulation, escalade), motif, action prise. Sur 12 mois, c'est la preuve tangible de votre supervision effective.
Document 3 : la procédure d'incident IA. Une page : qui prévient qui en cas de comportement anormal, comment on coupe le système, qui décide de la reprise. A intégrer à votre plan de continuité d'activité (PCA/PRA) existant.
Trois documents, cinq pages au total maximum, mis à jour en trente minutes par mois.
Erreur fréquente
Copier un modèle de supervision téléchargé sur internet (50 pages, 12 niveaux, 8 comités). Personne ne le maintient. En cas de contrôle, un document de 80 pages jamais mis à jour est pire qu'une fiche d'une page tenue à jour.
La règle : un document simple que tout le monde lit vaut plus qu'un document complet que personne ne connaît.
Qui supervise en PME : désigner sans chercher midi à quatorze heures
L'Article 14 ne demande pas un juriste, ni un expert IA. Il demande une personne physique, formée, avec les accès nécessaires.
En pratique, c'est souvent le responsable métier qui utilise le système au quotidien : le DRH pour un ATS avec scoring, le responsable crédit pour un outil de scoring financier, le responsable marketing pour un outil de génération de contenu. Ce sont les personnes qui comprennent déjà le contexte, qui détectent naturellement les anomalies, et qu'on forme en quelques heures sur les spécificités du système.
Prévoyez systématiquement un suppléant. Si le superviseur désigné est absent et qu'un incident survient, il faut que quelqu'un d'autre puisse intervenir.
Ce que vous devez retenir
L'Article 14 impose trois choses vérifiables : une personne désignée par système haut risque, la capacité technique d'intervenir (y compris d'arrêter le système), et trois documents simples qui prouvent que la supervision fonctionne en pratique.
Pour l'IA générative, la supervision se joue sur le dispositif (politiques, relecture, audit), pas sur chaque sortie.
Le plan détaillé de mise en conformité sur 60 jours, avec les templates prêts à l'emploi, est dans le livre « Conformité IA Act pour les PME ».