L’IA au service de l’éthique : quand la vertu algorithmique devient un risque de conformité

Rien n’est plus dangereux qu’une base de données de « gens malveillants ». En utilisant l’IA pour débusquer les comportements non éthiques, nous créons l’arme de doxing la plus puissante jamais conçue.

Que se passe-t-il quand l’outil censé cibler les racistes fuit ou se trompe de cible ?

Bienvenue dans l’ère du vigilantisme OSINT, où la quête de pureté éthique devient le premier risque de cyber-insécurité de votre organisation.

L’OSINT n’est pas un droit

C’est l’erreur de raisonnement la plus répandue en 2026. Un tweet est public, un post LinkedIn est public, une photo géolocalisée est publique. Donc tout est utilisable. C’est faux.

Le RGPD ne raisonne pas en termes de visibilité mais en termes de finalité. Quand un utilisateur publie un avis sur un forum ou exprime une opinion sur X, il consent à une interaction sociale. Il ne consent pas à être aspiré dans un système de notation morale automatisé.

C’est ce que le règlement appelle le détournement de finalité. L’article 5(1)(b) est explicite : les données ne peuvent pas être traitées de manière incompatible avec la finalité pour laquelle elles ont été collectées. Construire un « score éthique » à partir de traces numériques publiques constitue précisément ce détournement.

Le sujet se complique dès qu’on touche aux opinions politiques, aux convictions religieuses ou à l’origine ethnique. Ces catégories relèvent de l’article 9 du RGPD. Leur traitement est interdit par principe, sauf exceptions très strictes, or un outil de détection du racisme ou des « dérives éthiques » traite mécaniquement ce type de données. La base légale n’est pas « la donnée était publique », elle n’existe tout simplement pas, dans la majorité des cas d’usage.

La CNIL l’a rappelé à plusieurs reprises sur le web scraping à des fins de profilage. Le caractère public de la source ne crée aucun droit de traitement.

Quand l’IA se trompe de coupable

Supposons que la base légale soit trouvée. Le problème suivant est structurel.

Les modèles de détection des discours haineux sont entraînés sur des corpus majoritairement anglophones, occidentaux et biaisés socialement. Ils échouent sur l’ironie, ou encore sur l’argot communautaire réapproprié. Ils surclassifient certaines expressions dialectales comme hostiles. Des recherches indépendantes, dont un rapport du Center for Democracy and Technology, ont documenté des taux d’erreur significativement plus élevés sur les contenus en arabe et en swahili qu’en anglais dans les systèmes de modération automatique de Meta. La situation n’a pas fondamentalement changé.

Le GEOINT ajoute une couche supplémentaire de risque. Croiser des données de localisation avec des signaux comportementaux pour identifier des « clusters de haine géographiques » produit inévitablement de la stigmatisation spatiale. Un quartier, une ville, une région se retrouve associée à un profil de risque éthique construit à partir de données agrégées et imprécises. C’est ce qu’on appelle le biais de voisinage. Il est documenté, reproductible et quasiment impossible à corriger après le fait.

L’AI Act adresse directement ce point. Les systèmes d’IA qui évaluent la fiabilité ou le comportement de personnes physiques à partir de données sociales tombent dans la catégorie des pratiques interdites à l’article 5(1)(c) ou des systèmes à haut risque selon l’Annexe III. Le curseur dépend du niveau d’automatisation de la décision produite. Mais dans les deux cas, les obligations de transparence, d’explicabilité et de supervision humaine sont substantielles.

Un outil qui « signale » automatiquement un individu comme problématique sur la base d’un traitement OSINT ne satisfait aucune de ces obligations par défaut.

La base de données vertueuse, cible idéale

C’est le retournement que peu anticipent au stade de la conception.

Vous construisez un registre des individus ou organisations identifiés comme « à risque éthique ». Vous croyez construire un outil de vigilance. Vous construisez en réalité la base de données la plus sensible et la plus désirable pour n’importe quel acteur malveillant.

Une fuite sur une base de ce type n’est pas une fuite ordinaire. C’est une fuite de données à caractère sensible au sens de l’article 9, portant sur des opinions politiques, des comportements sociaux, des profils de réputation. La qualification en violation grave est quasi-automatique. La notification à la CNIL dans les 72 heures est obligatoire et l’information des personnes concernées l’est également.

Le vrai risque n’est pas l’amende, mais plutôt l’usage de la fuite. Une liste de « profils non éthiques » entre de mauvaises mains devient immédiatement un outil de harcèlement ciblé. Vous avez fait le travail d’identification. Quelqu’un d’autre fera le travail de nuisance.

Sous l’AI Act, si votre système est qualifié de haut risque, vous êtes soumis à des obligations d’enregistrement dans la base de données EU (article 71 de l’AI Act) et à des évaluations de conformité (article 43 de l’AI Act pour les fournisseurs, articles 26 et suivants pour les déployeurs) avant mise sur le marché. La bonne intention ne constitue pas une exemption.

Ce que le droit autorise réellement

L’analyse de tendances globales reste possible. Elle n’est pas soumise aux mêmes contraintes dès lors qu’elle opère sur des données agrégées et anonymisées. Identifier qu’un type de discours progresse sur une plateforme, qu’une thématique haineuse se concentre sur une période donnée, que certains formats amplifient la propagation de contenus problématiques : c’est du traitement licite. Aucun individu n’est identifié. Aucun profil n’est constitué.

La différence est fondamentale. L’analyse de phénomènes versus la notation de personnes. Le premier est de la recherche ou de l’observation sociale, le second est du profilage.

Le privacy by design imposé par l’article 25 du RGPD et repris dans l’AI Act va dans ce sens. Construire un système qui, par architecture, ne peut pas produire de profils individuels, c’est la seule manière de faire de l’IA éthique sans devenir soi-même un risque réglementaire.

Il reste une question que ce cadre ne résout pas : si l’acteur privé ne peut pas profiler, comment condamne-t-on les auteurs de propos racistes en ligne ? Le droit pénal (la loi du 29 juillet 1881 et le Code pénal) s’en charge, et il peut condamner sur la base du contenu de déclarations publiques. Mais c’est une prérogative de l’État, pas un droit ouvert aux acteurs privés. Ce n’est pas une incohérence du système juridique : c’est une architecture délibérée. Le monopole de la violence légitime s’applique aussi au numérique.

Vouloir bien faire ne dispense pas de respecter le cadre. En 2026, un outil d’IA au service de l’éthique doit lui-même être exemplaire sur la donnée. Sinon, il ne combat pas les dérives. Il en produit de nouvelles.

L’analyse, le cadrage juridique et les choix éditoriaux de cet article relèvent d’un travail humain. La rédaction a bénéficié d’une assistance par IA, intégralement relue, corrigée et validée par l’auteure.

Rédigé par Anne-Sophie, Juriste en droit des affaires et droit du numérique | 15 ans d’expérience
Diplômée en droit international des affaires et certifiée CIPP/E, Anne-Sophie a construit son expertise en entreprise, au contact des enjeux contractuels et réglementaires liés à l’innovation technologique et au numérique.
Elle accompagne depuis 3 ans les entrepreneurs et startups dans la sécurisation de leurs usages de l’IA : rédaction et négociation de contrats, mise en conformité RGPD et AI Act et gouvernance opérationnelle avec une approche concrète, adaptée aux réalités du terrain