L’alerte IA ne tient pas dans un formulaire

Un salarié découvre que l’outil de recrutement écarte systématiquement certains parcours. Une analyste voit un modèle généraliste produire des instructions dangereuses malgré les filtres annoncés. Un technicien constate que les journaux nécessaires pour comprendre une décision ont été désactivés. Dans beaucoup d’organisations, la première question sera encore : « Où faut-il envoyer cela ? »

Depuis le 2 août 2026, cette hésitation n’est plus seulement un défaut de gouvernance. L’article 87 du règlement européen sur l’intelligence artificielle applique la directive sur les lanceurs d’alerte aux signalements d’infractions à l’AI Act et à la protection des personnes qui les effectuent.

La nouveauté paraît tenir en une ligne. Elle change pourtant le chemin d’un problème. Une anomalie d’IA peut désormais relever à la fois d’un incident technique, d’une question de données personnelles, d’un risque pour une personne et d’un signalement protégé. Le même fait peut devoir être conservé par plusieurs fonctions sans que l’identité de la personne circule entre elles.

La réponse facile consiste à ajouter « AI Act » dans un menu déroulant. La réponse utile consiste à savoir ce qui arrive après le clic.

La protection commence avant la certitude

Un canal d’alerte n’est pas un tribunal miniature. La directive européenne ne demande pas à la personne de démontrer définitivement une violation avant d’être entendue. Elle vise notamment les personnes qui ont obtenu des informations dans un contexte professionnel et qui ont des motifs raisonnables de croire, au moment du signalement, que ces informations sont vraies et entrent dans le champ couvert.

Cette distinction est essentielle pour l’IA. L’auteur d’un signalement ne possède presque jamais toute la chaîne. Il voit une sortie, une consigne, un contournement ou une décision. Il ne connaît pas forcément la version exacte du modèle, le contrat du fournisseur, la classification juridique du système ou les changements effectués en amont.

L’organisation ne devrait donc pas lui demander de qualifier seul l’infraction. Elle devrait lui demander de décrire un fait : ce qui a été observé, quand, dans quel travail, avec quel système et quelles conséquences possibles. La qualification vient ensuite, avec les personnes compétentes et sans exposer inutilement l’identité du déclarant.

Il faut aussi séparer trois objets souvent confondus. Une erreur de l’outil est un résultat à corriger. Un incident de sécurité ou de données déclenche une procédure spécialisée. Une alerte protégée porte sur une violation présumée du droit dans un contexte professionnel. Certains événements relèvent des trois ; beaucoup ne relèvent que d’un seul.

Le règlement ajoute encore son propre signalement d’incidents graves pour certains systèmes à haut risque. Ce mécanisme, adressé aux autorités par les opérateurs concernés, n’est pas la même chose que la parole d’un travailleur protégée par l’article 87. Réduire les deux à une adresse « incidents IA » rend le tri commode pour l’organisation et opaque pour la personne.

Règlement européen sur l’IA, articles 73, 87 et 113, et directive européenne sur les lanceurs d’alerte, textes vérifiés le 6 août 2026.

Le bouton européen n’est pas un guichet universel

Le Bureau européen de l’IA dispose d’un outil de signalement sécurisé. Il accepte des documents, permet un dépôt anonyme dans toute langue de l’Union et maintient un échange avec la personne sans révéler son identité. L’existence de cette voie externe est importante : un signalement qui concerne la direction, un fournisseur puissant ou une pratique volontaire ne peut pas dépendre uniquement de ceux qu’il met en cause.

Mais le périmètre de l’outil est ciblé. La Commission le présente pour les personnes professionnellement liées à des fournisseurs de modèles d’IA à usage général ou de systèmes qui relèvent des pouvoirs d’exécution du Bureau de l’IA. Le Bureau ne devient pas l’autorité directe de chaque usage d’un chatbot, de chaque outil RH ou de chaque automatisation locale.

L’essentiel du paysage reste distribué. Les autorités nationales surveillent de nombreux systèmes. Les autorités de protection des données conservent leur rôle pour le RGPD. Les organismes sectoriels interviennent dans la santé, la finance, la sécurité des produits ou le travail. Une personne affectée peut aussi déposer une réclamation sans être un lanceur d’alerte professionnellement lié à l’organisation.

Un bon canal interne ne promet donc pas « la bonne autorité en un clic ». Il promet de ne pas perdre le fait pendant que la compétence est déterminée. Il conserve le dossier, limite les accès, accuse réception et explique la suite. S’il faut transmettre, il le fait selon une procédure lisible au lieu de renvoyer la personne vers une liste de régulateurs.

En Belgique, le SPF Emploi rappelle que les entités privées entrant dans le champ de la loi du 28 novembre 2022 doivent mettre en place des canaux et procédures internes de signalement et de suivi. Leur création passe par la concertation sociale. L’arrivée de l’AI Act dans le champ des alertes ne crée donc pas forcément un nouveau logiciel. Elle oblige d’abord à vérifier que le dispositif existant sait reconnaître un fait lié à l’IA.

Bureau européen de l’IA, outil et périmètre de signalement, et SPF Emploi, canaux internes et concertation sociale en Belgique, vérifiés le 6 août 2026.

L’anonymat protège moins bien un dossier vide

L’anonymat paraît être la propriété principale d’un bon formulaire. Il compte, surtout lorsque la personne craint qu’un responsable reconnaisse son écriture, son équipe ou le système auquel elle a accès. Il ne rend pourtant pas le signalement exploitable par lui-même.

Le rapport annuel 2025 du Médiateur fédéral fournit un signal rare sur la pratique belge. Son Centre Intégrité a traité 613 signalements venant du secteur privé. Quarante-quatre pour cent des personnes ont choisi l’anonymat. L’institution observe cependant que les dossiers anonymes sont souvent plus difficiles à instruire et fréquemment déclarés irrecevables faute d’éléments suffisants. Au total, 16,5 % des signalements privés étaient recevables ; dans plus de la moitié des dossiers irrecevables, les faits ne s’étaient pas produits dans un contexte professionnel.

Ces chiffres ne disent pas que l’anonymat est une erreur. Ils disent qu’un champ de texte libre n’est pas une méthode d’enquête. Si l’identité disparaît, la qualité de la conversation devient encore plus importante. Le canal doit pouvoir poser une question complémentaire sans découvrir la personne. Il doit expliquer quel fait manque, quel document serait utile et ce qui relève ou non du contexte professionnel.

Pour une alerte IA, six éléments rendent le premier dépôt beaucoup plus solide :

1. le geste ou la décision observée, sans interprétation juridique obligatoire ;
2. la date, le service et le processus métier concernés ;
3. le nom du système, du fournisseur et, si elle est visible, sa version ;
4. l’entrée et la sortie pertinentes, expurgées de ce qui n’est pas nécessaire ;
5. la personne ou la catégorie de personnes potentiellement affectée ;
6. les tentatives déjà faites pour vérifier, corriger ou arrêter le comportement.

Cette liste doit rester une aide, pas une nouvelle barrière. Une personne peut ne connaître que deux éléments. Le canal doit alors permettre le suivi. À l’inverse, demander immédiatement le prompt complet, la base entière ou des captures contenant des données sensibles peut créer un deuxième incident au nom de la preuve.

Médiateur fédéral, données 2025 sur les signalements, l’anonymat et la recevabilité, publication vérifiée le 6 août 2026.

La preuve IA se dégrade très vite

Une alerte sur un paiement classique peut s’appuyer sur une facture figée. Une alerte IA porte souvent sur un objet mouvant. Le fournisseur change le modèle derrière une même interface. Une consigne système est modifiée. Un filtre est renforcé. Un historique est tronqué. La personne rejoue son test et obtient une autre réponse.

Préserver la preuve ne signifie pas tout aspirer. Cela signifie figer assez de contexte pour reconstruire le fait sans multiplier les copies. Le dossier devrait associer l’observation à l’heure, au compte ou au rôle utilisé, à la version déclarée, aux paramètres disponibles, aux entrées nécessaires, à la sortie brute et aux journaux techniques pertinents. Il devrait aussi enregistrer qui a accédé à ces éléments et pourquoi.

Cette conservation demande une frontière nette. L’équipe technique peut devoir sécuriser des journaux sans connaître l’identité du lanceur d’alerte. Le DPO peut devoir examiner la présence de données personnelles sans lire toutes les pièces. Les ressources humaines peuvent surveiller d’éventuelles représailles sans recevoir les secrets techniques du fournisseur. Le responsable du suivi doit distribuer les questions, pas le dossier entier.

Il faut également éviter la « correction réflexe ». Dès qu’une alerte arrive, une équipe bien intentionnée modifie le prompt, supprime la sortie, désactive l’intégration et annonce que le problème est réglé. L’exposition peut cesser, mais le fait devient difficile à comprendre. La bonne séquence est plus lente de quelques minutes : contenir le risque, préserver l’état utile, noter le changement, puis corriger.

La preuve n’a pas besoin d’être parfaite pour ouvrir le dossier. Elle doit seulement rester assez fidèle pour qu’une autre personne puisse distinguer ce qui a été observé de ce qui a été reconstruit après coup.

La représaille peut se cacher dans le workflow

La protection ne se réduit pas au licenciement. Une personne peut perdre l’accès au projet, être écartée d’une réunion, voir son évaluation se dégrader, ne plus recevoir de missions ou devenir « difficile » dans les conversations internes. Dans une petite équipe, l’identité peut être devinée même si le nom est retiré du formulaire.

Le dispositif doit donc tracer ses propres gestes. Qui connaît l’identité ? Qui connaît l’équipe ? Qui décide d’une mesure touchant la personne pendant l’enquête ? Quel contrôle indépendant existe si le manager concerné propose un changement d’affectation ? L’absence de trace protège surtout l’organisation contre sa propre mémoire.

Le guide belge publié par le Médiateur fédéral et l’Institut fédéral des droits humains insiste sur l’information, les canaux appropriés, la confidentialité et les soutiens disponibles. Il rappelle aussi une difficulté concrète : le canal externe compétent dépend du secteur et du niveau de pouvoir. La sécurité juridique d’un dispositif ne vient donc pas d’un nom rassurant comme « éthique » ou « compliance ». Elle vient de sa capacité à orienter sans exposer.

Une PME n’a pas besoin de créer une cellule d’enquête permanente. Elle peut nommer un gestionnaire impartial, un suppléant hors de la ligne hiérarchique, une voie externe documentée et une règle de récusation. Elle doit surtout annoncer ces choix avant la première alerte. Une procédure découverte après le problème ressemble toujours à une procédure écrite pour ce problème.

Médiateur fédéral et Institut fédéral des droits humains, guide pratique belge, portée et dispositifs de soutien vérifiés le 6 août 2026.

Le test tient en une fausse alerte

La maturité du canal se mesure mal dans une politique. Elle se voit dans un exercice. Une personne extérieure à la procédure dépose une alerte fictive : un assistant interne a résumé des dossiers clients dans un espace non autorisé et le responsable demande de ne rien écrire avant une démonstration commerciale.

L’organisation doit alors parcourir le chemin complet. Le canal accuse réception sans révéler l’auteur. Le gestionnaire sépare le fait technique, les données personnelles et la possible entrave. Les journaux sont conservés. Les accès au dossier sont attribués. Le manager potentiellement concerné ne pilote pas l’enquête. La personne reçoit une information de suivi. La clôture distingue ce qui a été confirmé, ce qui ne l’a pas été et ce qui doit changer.

Le test échoue si le formulaire envoie une copie à une liste de diffusion, si la pièce jointe devient accessible à toute l’informatique, si personne ne sait qui répond ou si la correction efface les traces. Il échoue aussi si le salarié doit choisir entre « article 50 », « incident grave », « RGPD » et « sécurité produit » avant de pouvoir parler.

Le 2 août n’a pas transformé chaque erreur d’IA en scandale. Il a rendu plus visible une infrastructure que les organisations avaient laissée à côté de leurs projets : la capacité d’entendre une information inconfortable, de la vérifier et de protéger celui ou celle qui la porte.

Le formulaire est la porte. Le dispositif commence derrière.