L'IA dans la recherche : AI Act, charte de laboratoire et boîte à outils

L'IA générative écrit du code, rédige des articles et trie des données dans tous les laboratoires. Le règlement européen sur l'IA (AI Act) encadre ce que nous construisons et ce que nous transférons. Voici ce qui change pour les chercheurs, le calendrier européen et français, la comparaison avec le reste du monde, la question de la responsabilité quand un code de recherche devient un produit, et une boîte à outils qu'un laboratoire peut adopter en quelques heures par projet.

Cyril Voyant, Mines Paris – PSL, centre O.I.E. · état au 23 octobre 2026 · ceci n'est pas un avis juridique : voyez le service juridique de votre établissement

Ce que l'IA change dans la recherche

L'IA accélère ce qui prenait des jours : écrire du code, résumer une littérature, nettoyer des données, rédiger. Elle crée aussi des risques pour la science elle-même : références inventées, code fluide mais faux, articles produits à l'échelle industrielle, modèles que personne ne peut reproduire, résultats qui dépendent d'un outil dont la version change sans prévenir. La réponse est celle de tout instrument scientifique : dire ce qui a été utilisé, le vérifier, le documenter, le rendre reproductible. La confiance ne se décrète pas, elle se démontre (voir se questionner sur nos façons de faire de la recherche).

L'AI Act, en clair

• Une logique : le risque de l'usage. Certains usages sont interdits (manipulation, notation sociale), d'autres sont à haut risque et très encadrés (composants de sécurité d'infrastructures critiques comme la fourniture d'électricité, de gaz ou de chauffage, dispositifs médicaux, éducation, emploi), d'autres portent des obligations de transparence (agents conversationnels, contenus synthétiques), le reste est libre.
• Deux rôles principaux. Le fournisseur développe un système et le met sur le marché ou en service sous son nom (art. 3(3), 16). Le déployeur l'utilise sous son autorité (art. 26). Qui appose son nom, modifie substantiellement un système ou en change la destination peut devenir fournisseur (art. 25).
• La recherche est exclue, sous conditions. Les systèmes et modèles développés et mis en service à la seule fin de la recherche scientifique sont hors champ (art. 2(6)), de même que la recherche, les essais et le développement avant la mise sur le marché, sauf les essais en conditions réelles (art. 2(8)). Les composants libres et open source sont largement exemptés, sauf s'ils sont à haut risque, interdits ou soumis à la transparence (art. 2(12)).
• IA générative. Les obligations d'août 2025 visent les fournisseurs de modèles à usage général (OpenAI, Mistral, Google...), pas les chercheurs qui les utilisent. Le marquage des contenus synthétiques (art. 50) vise surtout les fournisseurs et, pour les hypertrucages ou les textes d'information publiés sans contrôle éditorial humain, les déployeurs. Déclarer l'usage de l'IA dans un article ou une thèse relève surtout des éditeurs, des financeurs et des règles d'intégrité scientifique (pas d'IA autrice, mention de l'usage), plus que du règlement lui-même.
• Maîtrise de l'IA (art. 4). Les organisations qui fournissent ou déploient des systèmes d'IA prennent des mesures pour que leur personnel les comprenne ; la révision de 2026 en a fait une obligation de moyens, avec l'appui de la Commission et des États membres.

Le calendrier en Europe et en France

En France, un projet de loi d'adaptation au droit de l'Union (adopté par le Sénat le 18 février 2026, examiné par l'Assemblée nationale à l'automne 2026) organise la surveillance : la DGCCRF comme coordinatrice et point de contact unique, la CNIL pour les pratiques interdites et une partie des usages à haut risque, l'Arcom pour les contenus synthétiques, l'ACPR pour la finance, avec l'appui technique de l'ANSSI et du PEReN. En attendant la loi, le règlement européen s'applique directement ; reste à fixer la désignation des autorités.

Ailleurs : pas d'équivalent de l'AI Act, mais des règles partout

Ce que cela signifie pour un laboratoire européen : les partenaires étrangers travaillent sous d'autres règles, souvent plus légères, mais l'AI Act s'applique à tout système dont la sortie est utilisée dans l'UE (art. 2(1)). Un cadre partagé rend la collaboration sûre : sans lui, personne ne sait qui répond d'un modèle une fois sorti du laboratoire.

Qui est responsable quand un code de recherche devient un produit ?

Un cas typique : un modèle de prévision écrit en partie par trois laboratoires, l'un en France, l'un ailleurs dans l'UE et l'un chez un partenaire asiatique, dans un projet commun. Un industriel reprend le code dans un système de gestion d'énergie vendu en Europe.

• Tant que le code sert la recherche, les trois laboratoires sont hors du champ de l'AI Act. Ils restent responsables de l'intégrité scientifique, de la documentation qu'ils livrent et des termes de la licence et de l'accord de consortium.
• Quand l'industriel met le système en service sous son nom, il devient fournisseur : si le système est un composant de sécurité de la fourniture d'électricité, il est à haut risque (annexe III, point 2, à partir du 2 décembre 2027) : gestion des risques, dossier technique, évaluation de conformité et marquage CE. Le gestionnaire de réseau qui l'utilise est déployeur : supervision humaine, surveillance, journaux.
• Si le partenaire déploie le modèle dans son pays, le droit local s'applique (par exemple la loi-cadre coréenne ou l'étiquetage chinois) ; l'AI Act ne s'applique que si la sortie est utilisée dans l'UE.
• La responsabilité civile suit la nouvelle directive sur les produits défectueux à partir du 9 décembre 2026 : le logiciel est un produit, mais le logiciel libre fourni hors activité commerciale est exclu. Tout le reste se règle par contrat : qui peut réutiliser le code, pour quel usage, avec quelles garanties et quel devoir d'information.

La leçon pratique : écrire le transfert dans le contrat avant que le code ne quitte le laboratoire, et livrer un modèle documenté et testé. Un modèle sans documentation laisse à son nouveau propriétaire un risque que personne ne peut mesurer.

Ce qu'un laboratoire peut faire : l'exemple du cadre O.I.E.

Au centre O.I.E. (Mines Paris – PSL, une trentaine de personnes), un cadre FAIR + IA est en rédaction depuis 2025 et en cours de finalisation, pour un déploiement à partir de 2027. Ses grandes lignes :

• Une charte d'une page signée par chaque membre : IA générative autorisée comme assistant pour la rédaction, le code et les figures, avec mention explicite de son usage ; relecture humaine de tout ce qu'elle produit ; documentation minimale (fiche données, fiche modèle, dépôt Git versionné avec README) ; chaque projet IA dans un registre, réévalué quand il passe de la recherche à l'industrie ; un plan de gestion des données avec six champs IA.
• Des rôles légers, environ 0,3 équivalent temps plein au total : un référent conformité IA (registre, veille, partenaires), un responsable des données FAIR (plans de gestion, fiches données, licences, RGPD) et un référent MLOps et qualité (fiches modèle, plans de test, dérive), plus un comité d'éthique de quatre personnes réuni chaque trimestre pour les projets sensibles.
• Six étapes par projet (durées indicatives) : registre (5 minutes) ; plan de gestion des données avec les champs IA (1 heure) ; fiche données et fiche modèle (2 heures) ; plan de test minimal (2 à 3 heures) ; README avec la mention d'usage de l'IA (30 minutes) ; pour un transfert, un dossier prêt pour l'audit (une journée).
• Indicateurs : au moins 95 % des projets documentés, moins de cinq jours entre le lancement et le plan enrichi, satisfaction des partenaires supérieure à 8/10.

À l'échelle de l'établissement, le service juridique de Mines Paris – PSL a construit avec les centres de recherche un arbre de décision d'autoévaluation : quel acteur et dans quel rôle, les questions essentielles, les impacts, la qualification du système dans la pyramide des risques, les conditions d'usage et de mise à disposition. Son but est de repérer le point de bascule où un projet entre dans le champ de l'AI Act, et d'adapter à temps le contrat et son annexe technique. C'est un bon exemple de ce qu'un établissement peut offrir à ses chercheurs.

La boîte à outils

Chaque outil s'ouvre sur un exemple rempli, tiré des modèles du centre O.I.E. (les valeurs marquées illustratives ne sont pas des résultats). Télécharger les neuf modèles en un kit (fichiers Markdown dans un zip, prêts à remplir).

1. Situer le projet. Recherche seule, transfert ou déploiement ? Qui sera fournisseur, qui déployeur ? Quelle classe de risque ? Les essais en conditions réelles ne sont pas couverts par l'exemption recherche.

2. Déclarer l'usage de l'IA. Dans un article, une thèse, un rapport ou un README : quel outil, quelle version, pour quoi faire, vérifié par qui et quand. Exemple : « Une partie du code de lecture des données a été rédigée avec GitHub Copilot (2026) ; toutes les fonctions ont été relues et testées par A. Auteur le 12 mars 2026. »

3. Garder un humain aux commandes. Pas d'IA autrice ; chaque référence, équation et ligne de code vérifiée par une personne nommée.

4. Documenter les données (fiche données). Origine, période, volume, variables et unités, prétraitements, qualité, biais connus, licence ou base légale, transferts hors UE, conditions de réutilisation.

5. Documenter le modèle (fiche modèle). Nom et version, architecture, données d'apprentissage et de test avec le découpage, usage prévu, métriques contre une référence explicite (la persistance, par exemple avec les métriques NICE), limites, supervision humaine, lien vers la version du code.

6. Tester avant de partager. Reproductibilité (graine fixée, mêmes résultats), robustesse (validation croisée, sous-échantillons), tests de stress (valeurs extrêmes ou manquantes), dérive sur des données récentes.

7. Ajouter six champs au plan de gestion des données. Base légale ; supervision humaine ; transparence IA ; conditions de réutilisation ; transferts internationaux ; analyse d'impact (AIPD si le traitement de données personnelles présente un risque élevé pour les personnes, FRIA pour certains déploiements à haut risque).

8. Tenir un registre des projets, usages et partenaires IA, et réévaluer quand un projet change de destination.

9. Avant tout transfert, écrire le contrat et préparer le dossier. Qui devient fournisseur ; licence et propriété intellectuelle ; garanties et responsabilité ; obligation de signaler les incidents ; transferts de données ; le dossier technique (README, fiches données et modèle, plan de test et résultats, journal des versions, plan de surveillance).

10. Former tout le monde. Une courte session annuelle pour les doctorants et les personnels couvre la maîtrise de l'IA et la charte du laboratoire.

Glossaire

RGPD

Règlement général sur la protection des données, règlement (UE) 2016/679 : le droit européen des données personnelles. Voir le texte et les explications de la CNIL.

AIPD (DPIA en anglais)

Analyse d'impact relative à la protection des données (art. 35 du RGPD) : obligatoire quand un traitement de données personnelles est susceptible d'engendrer un risque élevé pour les personnes. Méthode et outil de la CNIL.

FRIA

Analyse d'impact sur les droits fondamentaux (art. 27 de l'AI Act) : exigée de certains déployeurs de systèmes à haut risque, surtout les organismes publics et les entités privées qui fournissent un service public, avant la première utilisation.

MLOps

Ensemble des pratiques qui gardent un modèle reproductible et fiable une fois en service : versionnement des données et du code, tests automatisés, suivi des performances et de la dérive, réapprentissage maîtrisé.

Plan de gestion des données (PGD, DMP)

Document qui décrit comment un projet collecte, documente, stocke, partage et archive ses données, exigé par l'ANR et Horizon Europe ; rédigé en France avec DMP OPIDoR.

Fiche données, fiche modèle

Fiches d'une ou deux pages qui décrivent un jeu de données ou un modèle entraîné : origine, contenu, usage prévu, métriques, limites. Le format reprend les propositions « model cards » et « datasheets for datasets » de la communauté de l'apprentissage automatique.

Ressources officielles

• AI Act : règlement (UE) 2024/1689 sur EUR-Lex et la page de la Commission européenne
• Commission européenne : lignes directrices évolutives pour un usage responsable de l'IA générative en recherche (en anglais)
• CNIL : IA et données personnelles et le guide de l'analyse d'impact
• Plans de gestion des données : DMP OPIDoR
• Normes : ISO/IEC 42001 :2023 (système de management de l'IA) et ISO/IEC 23894 :2023 (gestion des risques de l'IA)
• Éthique de la publication : position du COPE sur les auteurs et l'IA (en anglais)

Limites

Cette page résume des textes publics et le travail d'un laboratoire ; ce n'est pas un avis juridique. Lois nationales, lignes directrices et normes évoluent encore : les dates sont celles vérifiées le 23 octobre 2026. Pour un projet réel, interrogez le service juridique de votre établissement.

Citer cette page

Voyant, C. (2026). L'IA dans la recherche : AI Act, charte de laboratoire et boîte à outils, version 1.2, 24 octobre 2026. https://www.cyrilvoyant.com/fr/ia-dans-la-recherche/

Versions : 1.0 (23 octobre 2026), première publication ; 1.1 (23 octobre 2026), les deux exclusions de la recherche (art. 2(6) et 2(8)) et le périmètre à haut risque de l'annexe III, point 2 (composants de sécurité) précisés, durées signalées comme indicatives. 1.2 (24 octobre 2026) : criblage qualitatif AIPD/FRIA et distinction entre base légale RGPD et licence de réutilisation.

@misc{voyant2026iarecherche,
  author = {Voyant, Cyril},
  title  = {L'IA dans la recherche : AI Act, charte de laboratoire et boîte à outils},
  year   = {2026},
  note   = {Version 1.2, 24 octobre 2026},
  url    = {https://www.cyrilvoyant.com/fr/ia-dans-la-recherche/}
}

Pour aller plus loin

• Se questionner sur nos façons de faire de la recherche : influence, intégrité, excellence
• Au modèle de langage la lecture, au code validé le calcul : WebSemantic
• La démarche : l'IA à sa place, la confiance démontrée