Nous parlons encore trop souvent de l'intelligence artificielle comme d'un match entre l'humain et la machine.
Qui sera le plus rapide ? Qui prendra les meilleures décisions ? Quels métiers disparaîtront ? Quelles compétences resteront exclusivement humaines ?
Ce récit est séduisant, mais il nous enferme dans une question trop étroite : qui gagnera ?
Pendant que nous cherchons un vainqueur, les organisations doivent répondre à des interrogations beaucoup plus immédiates. À quelles décisions pouvons-nous associer une intelligence artificielle ? Sur quelles données ? Avec quels contrôles ? Qui restera responsable ? Comment continuer à fonctionner si le système se trompe, devient indisponible ou fait l'objet d'une attaque ?
La véritable ligne de partage ne passera probablement pas entre les humains et les machines. Elle séparera les organisations capables d'utiliser ces technologies avec discernement de celles qui auront simplement automatisé leurs anciennes fragilités.
Le pouvoir appartient à ceux qui savent encore vérifier
Pilier Métrics : Puissance et menaces
L'intelligence artificielle modifie déjà les rapports de force.
Elle permet d'analyser de grandes quantités d'informations, de détecter des corrélations, de produire des contenus persuasifs et d'accélérer certaines décisions. Elle offre des capacités nouvelles aux entreprises, aux institutions publiques, mais aussi aux groupes criminels et aux acteurs engagés dans des stratégies de déstabilisation.
La même technologie peut servir à identifier une campagne de désinformation ou à en fabriquer une. Elle peut renforcer une infrastructure critique ou contribuer à en détecter les vulnérabilités. Elle peut faciliter l'accès à la connaissance ou saturer l'espace informationnel de contenus trompeurs.
Le rapport 2026 de l'Agence de l'Union européenne pour la cybersécurité souligne notamment le poids des tensions géopolitiques et de l'interconnexion croissante des écosystèmes numériques. Il rappelle aussi que nos dépendances technologiques élargissent la surface d'attaque.[1]
Dans ce contexte, la puissance ne réside plus uniquement dans la quantité d'informations disponible. Elle réside dans la capacité à établir leur provenance, à les confronter, à comprendre leurs limites et à refuser une réponse lorsqu'elle n'est pas suffisamment fiable.
L'enjeu stratégique n'est donc pas seulement d'adopter l'intelligence artificielle. Il est de conserver une capacité autonome d'évaluation.
Une avancée technique ne devient utile qu'en changeant d'échelle
Pilier Métrics : Science et technologies
Une démonstration spectaculaire peut être réalisée en quelques minutes. Sa transformation en capacité opérationnelle demande beaucoup plus de temps.
Entre le laboratoire et le terrain se trouvent les données, les infrastructures, la cybersécurité, l'interopérabilité, les compétences, la maintenance, le financement et la conformité réglementaire. Il faut également comprendre le contexte dans lequel la technologie sera utilisée et les conséquences possibles d'une erreur.
Cette différence explique pourquoi deux organisations disposant du même outil peuvent obtenir des résultats radicalement opposés. La technologie ne remplace ni la connaissance du métier ni la compréhension du problème.
Le règlement européen sur l'intelligence artificielle traduit cette exigence en responsabilité organisationnelle. Son article 4 impose aux fournisseurs et aux déployeurs de systèmes d'IA de prendre des mesures pour assurer un niveau suffisant de maîtrise de l'IA à leurs équipes, en fonction de leurs connaissances, de leur expérience et du contexte d'utilisation. Pour les systèmes considérés comme à haut risque, le règlement prévoit également des obligations de gestion des risques, de transparence et de contrôle humain.[2]
Autrement dit, acheter un outil ne suffit pas. Il faut savoir ce qu'il fait, ce qu'il ne fait pas et dans quelles circonstances ses résultats cessent d'être fiables.
L'innovation commence avec une technologie. La transformation commence lorsque l'organisation acquiert la capacité de la comprendre et de la gouverner.
Concevoir le jour où le système ne répondra plus
Pilier Métrics : Systèmes critiques et résilience
Nous évaluons volontiers un système lorsqu'il fonctionne dans des conditions normales. La résilience se mesure pourtant lorsque ces conditions disparaissent.
Que se passe-t-il si les données sont corrompues ? Si le fournisseur devient indisponible ? Si une mise à jour modifie les performances du modèle ? Si une attaque cible un composant de la chaîne technologique ? Si les équipes ne savent plus réaliser manuellement une opération devenue entièrement automatisée ?
La directive européenne NIS2 place précisément la continuité d'activité, la gestion de crise, les sauvegardes et la sécurité des chaînes d'approvisionnement parmi les mesures de gestion des risques attendues des entités relevant de son champ d'application. Elle confie également aux organes de direction un rôle d'approbation et de supervision de ces mesures.[3]
Dans le secteur financier, le règlement DORA pousse cette logique plus loin en imposant une approche structurée de la résilience numérique et des programmes de tests adaptés aux risques : analyses de vulnérabilité, tests fondés sur des scénarios, examens de sécurité et tests d'intrusion.[4]
La CNIL recommande, de son côté, d'associer la sécurité informatique classique à une analyse des risques propres aux systèmes d'IA. Elle insiste notamment sur la fiabilité des données, la documentation des composants, la connaissance des limites du système, les audits de sécurité et la préparation de procédures de retour en arrière.[5]
La question n'est donc pas : « Ce système est-il performant ? »
Elle est : « Serons-nous encore capables d'agir lorsqu'il ne se comportera plus comme prévu ? »
L'automatisation redistribue les responsabilités
Pilier Métrics : Économie, gouvernance et humain
Les technologies ne pénètrent jamais dans une organisation neutre.
Elles touchent aux responsabilités, aux compétences, aux modes d'évaluation et à la circulation de l'information. Elles peuvent remettre en cause un métier, mais aussi un statut, une identité professionnelle ou une forme de pouvoir.
C'est pourquoi les résistances ne doivent pas être interprétées trop rapidement comme un refus du progrès. Elles peuvent traduire des questions parfaitement légitimes : qui contrôlera le résultat ? Qui répondra de l'erreur ? Comment mon travail sera-t-il évalué ? Vais-je gagner en autonomie ou simplement devoir produire davantage ?
Selon l'Organisation internationale du Travail, environ un travailleur sur quatre exerce désormais une profession présentant un certain degré d'exposition à l'intelligence artificielle générative. Mais l'OIT considère que la transformation des emplois demeure plus probable que leur suppression complète, notamment parce que de nombreuses tâches continuent de nécessiter une intervention humaine. Elle appelle donc à organiser cette évolution par le dialogue social.[6]
Cette transformation ne peut pas être pilotée uniquement à l'aide d'indicateurs de productivité.
Un tableau de bord peut mesurer le nombre de tâches automatisées ou le temps économisé. Il révèle beaucoup moins facilement la perte de confiance d'une équipe, l'effacement progressif d'une compétence critique ou le fait que certains collaborateurs n'osent plus contester les recommandations d'un système.
Les principes révisés de l'OCDE sur l'intelligence artificielle insistent justement sur la transparence, la robustesse, la traçabilité et la responsabilité tout au long du cycle de vie des systèmes.[7]
Une gouvernance sérieuse ne consiste donc pas à demander aux équipes de faire confiance à l'outil. Elle consiste à créer les conditions dans lesquelles cette confiance peut être accordée, limitée ou retirée.
La valeur d'une solution commence après la démonstration
Pilier Métrics : Expérimentation et solutions partenaires
Les démonstrations technologiques se déroulent généralement dans un environnement maîtrisé. Les organisations, elles, évoluent dans des conditions beaucoup moins ordonnées.
Les données y sont imparfaites. Les systèmes existants communiquent difficilement entre eux. Les responsabilités sont partagées. Les contraintes juridiques, budgétaires et humaines se superposent.
C'est pourquoi une solution doit être éprouvée dans des scénarios réels : crise cyber, rupture d'approvisionnement, indisponibilité d'un fournisseur, attaque informationnelle, défaillance d'un capteur ou décision prise sous forte pression.
Il faut tester non seulement la technologie, mais aussi l'organisation qui l'utilise.
Qui détecte l'incident ? Qui peut interrompre le système ? Existe-t-il une solution de repli ? Les équipes savent-elles agir sans l'outil ? Les données et les modèles sont-ils réversibles ? Les responsabilités entre le concepteur, l'intégrateur, le fournisseur et l'utilisateur sont-elles clairement définies ?
L'expérimentation devient alors un instrument de gouvernance. Elle permet de confronter les promesses à la réalité, de révéler les dépendances et de déterminer les conditions dans lesquelles une innovation peut véritablement contribuer à la résilience.
Choisir ce que nous voulons renforcer
Nous ne connaissons pas encore les limites définitives de l'intelligence artificielle. Chercher dès aujourd'hui les compétences qu'elle ne pourra jamais reproduire risque donc de nous détourner de décisions plus urgentes.
Nous pouvons en revanche choisir les capacités que nous voulons renforcer : le discernement, la préparation, la coopération, la responsabilité et la liberté de contester une décision automatisée.
C'est dans cette perspective que s'inscrit Métrics.
Relier les spécialistes des menaces, les scientifiques, les industriels, les responsables de systèmes critiques, les dirigeants, les juristes et les acteurs du financement permet de dépasser une vision uniquement technologique du progrès.
Car une organisation ne devient pas résiliente lorsqu'elle possède les outils les plus avancés.
Elle le devient lorsqu'elle sait pourquoi elle les utilise, quelles responsabilités elle leur confie et comment elle continuera à décider lorsqu'ils atteindront leurs limites.
Notes et références
1. ENISA, Threat Landscape 2026, analyse des menaces touchant l'Union européenne et de l'incidence des dépendances numériques : Agence de l'Union européenne pour la cybersécuritéhttps://www.enisa.europa.eu/publications/enisa-threat-landscape-2026.
2. Règlement (UE) 2024/1689 sur l'intelligence artificielle, notamment articles 4, 9, 13 et 14 relatifs à la maîtrise de l'IA, à la gestion des risques, à la transparence et au contrôle humain : texte officiel sur EUR-Lexhttps://eur-lex.europa.eu/legal-content/FR/ALL/?uri=CELEX:32024R1689.
3. Directive (UE) 2022/2555, dite NIS2, notamment articles 20 et 21 concernant la responsabilité des organes de direction, la continuité d'activité, la gestion de crise et la sécurité des chaînes d'approvisionnement : texte officiel sur EUR-Lexhttps://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32022L2555.
4. Règlement (UE) 2022/2554, dit DORA, notamment articles 24 à 27 relatifs aux programmes de tests de résilience opérationnelle numérique : texte officiel sur EUR-Lexhttps://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32022R2554.
5. CNIL, Garantir la sécurité du développement d'un système d'IA, recommandations relatives aux analyses de risques, audits, limitations d'usage, contrôles des sorties et procédures de retour en arrière : recommandations de la CNILhttps://www.cnil.fr/fr/ia-garantir-la-securite-du-developpement.
6. Organisation internationale du Travail, Intelligence artificielle générative et emploi : révision 2025 : note de recherche de l'OIThttps://www.ilo.org/fr/publications/intelligence-artificielle-generative-et-emploi-revision-2025.
7. OCDE, Principes sur l'intelligence artificielle, révisés en 2024 : transparence, explicabilité, robustesse, sûreté, sécurité et responsabilité : Principes de l'OCDE sur l'IAhttps://www.oecd.org/fr/themes/principes-de-l-ia.html.