⚡
En bref
En cas d'usage de la version publique de ChatGPT par vos agents, la responsabilité des dirigeants peut être engagée au titre de l'AI Act. Le 'Shadow AI', ou l'utilisation d'outils non validés par la DSI, crée une faille juridique et financière majeure. Il est impératif d'agir avant qu'un incident ou un contrôle ne révèle ces pratiques à risque.
Depuis l'entrée en vigueur de l'AI Act en août 2026, l'expérimentation non encadrée de l'IA générative est révolue pour le secteur public. L'usage d'outils comme la version publique de ChatGPT, souvent installés par les agents sans supervision, constitue le 'Shadow AI'. Ce phénomène désigne l'utilisation d'outils d'IA non approuvés et non sécurisés par la DSI. Pour les décideurs publics, c'est un double défi : comment encourager l'innovation portée par ces technologies tout en maîtrisant les risques ? Car au-delà des failles techniques, cette pratique expose la collectivité à des sanctions réglementaires sévères et peut engager la responsabilité de ses dirigeants. Ignorer ce risque n'est plus une option viable face à des alternatives souveraines et conformes.
🎯
En un coup d’œil
Responsabilité des dirigeants — L'AI Act peut engager la responsabilité des DGS et des élus en cas de non-gouvernance des outils d'IA.
Sanctions financières lourdes — Les amendes peuvent atteindre jusqu'à 35 millions d'euros ou 7% du budget annuel.
Piège du CLOUD Act — L'hébergement des données en Europe par des acteurs américains ne constitue pas une protection juridique suffisante.
Alternatives françaises matures — Le programme 'Territoires d'IA' offre une solution souveraine et conforme par conception.
AI Act : des sanctions chiffrées qui ciblent la gouvernance
L'AI Act n'est pas une simple recommandation, mais un règlement européen contraignant doté d'un régime de sanctions sévères. Dans une collectivité, de nombreux cas d'usage peuvent être qualifiés de 'systèmes à haut risque'. Il suffit que l'IA soit utilisée pour l'évaluation de dossiers d'aide sociale, le tri de candidatures pour un poste, ou l'analyse de documents d'urbanisme pour que le niveau de risque soit maximal. En cas de non-conformité avérée sur de tels systèmes, les amendes sont particulièrement dissuasives : jusqu'à 35 millions d'euros ou 7% du budget annuel de l'entité, comme le détaille une analyse de Teriagen (2026).
Ces montants transforment l'analyse du risque financier pour les budgets locaux. Surtout, au-delà de l'entité morale, la législation pointe la responsabilité des dirigeants. Un DGS ou un maire qui n'a pas mis en place les mesures de gouvernance adéquates peut être mis en cause pour ne pas avoir maîtrisé les outils. Laisser prospérer un 'Shadow AI' basé sur ChatGPT, c'est s'exposer à une justification difficile lors d'un audit de la Chambre Régionale des Comptes. Comme le souligne le cabinet Rostra (2026), la question n'est plus 'peut-on l'utiliser ?', mais 'avons-nous les moyens de prouver notre conformité ?'.
Laisser prospérer le Shadow AI, c'est exposer la collectivité à une justification difficile lors d'un audit.
ChatGPT public : l'hébergement en Europe ne suffit pas
Face aux inquiétudes, les acteurs américains mettent en avant l'hébergement des données sur des serveurs européens. C'est un argument qui ne constitue pas une garantie juridique. L'écueil majeur demeure le CLOUD Act américain, qui permet aux autorités américaines d'exiger l'accès aux données stockées par des entreprises de droit américain, où qu'elles se trouvent. Ainsi, même hébergées en Europe, les données de vos administrés ou les notes internes saisies dans ChatGPT restent à la portée d'agences étrangères, un risque bien documenté (24pm.com, 2026).
Au-delà de cette extraterritorialité, le manque de transparence sur l'entraînement des modèles pose un problème de fond au regard du RGPD. Les données soumises à une IA publique peuvent être réutilisées pour entraîner de futures versions, violant les principes de limitation des finalités et de minimisation des données. Seule une solution sur un cloud souverain, comme le rappelle un dossier d'IT Pro (2026), offre une maîtrise totale du cycle de vie de la donnée et garantit une étanchéité juridique indispensable.
💡
L’analyse de l’expert
La souveraineté n'est pas qu'une question de serveurs
Penser que l'hébergement en Europe suffit à garantir la conformité est une erreur d'analyse. Le CLOUD Act américain expose la réalité juridique : la nationalité de l'opérateur prime sur la localisation des données. La seule véritable protection réside dans un écosystème maîtrisé de bout en bout, opéré par des acteurs non soumis au droit extraterritorial américain.
Territoires d’IA : l'alternative souveraine et opérationnelle
La mise en conformité n'est pas un renoncement à l'innovation. Des alternatives souveraines et performantes sont opérationnelles. L'exemple le plus marquant est le programme 'Territoires d’IA', fruit d'un partenariat entre la Banque des Territoires et Mistral AI. Annoncé en mai 2026, il vise à équiper jusqu'à 100 000 agents publics d'outils sécurisés et hébergés en France (Banque des Territoires, 2026). Cette initiative lève les barrières juridiques de souveraineté.
Concrètement, cela permet aux agents de synthétiser des comptes-rendus complexes, de préparer des réponses aux administrés ou d'analyser des documents réglementaires sans exposer les données. En s'appuyant sur des modèles comme 'Le Chat' de Mistral, les collectivités gardent un contrôle total. La force des modèles open-weight est leur flexibilité : ils peuvent être déployés sur un cloud SecNumCloud ou sur les serveurs de la collectivité, adaptant la puissance aux besoins réels.
De l'audit à l'action : votre plan en 3 étapes
La reprise en main passe par une méthode claire. La première étape, urgente, est un audit rapide des usages d'IA au sein des services. Un simple questionnaire peut révéler l'ampleur du 'Shadow AI' et identifier les cas d'usage les plus à risque.
Deuxièmement, il faut formaliser une politique d'usage. Cela passe par une note de service motivée par les risques de l'AI Act, interdisant l'utilisation d'outils non validés pour un usage professionnel. Cette note doit aussi présenter les alternatives sécurisées et approuvées, pour ne pas bloquer les agents mais les orienter.
Enfin, la troisième étape est de convaincre les élus d'investir. L'argumentaire doit être financier et juridique. Mettez en balance le coût maîtrisé d'une solution souveraine avec le risque financier maximal des sanctions. Cette approche s'aligne sur une tendance de fond : la presse spécialisée confirme que pour les DSI du secteur public, le cloud souverain s'impose comme un prérequis (IT Pro, 2026). Utilisez des cas d'usages concrets pour démontrer le retour sur investissement et transformer la contrainte en opportunité de modernisation.
🛠️
Conseil pratique
Votre première action : auditez et formalisez
Ne reportez plus. Lancez dès demain un audit simple des usages d'IA générative dans vos services via un questionnaire. Sur cette base, rédigez une note de service claire, motivée par les risques de l'AI Act, interdisant les outils non validés. C'est le premier pas indispensable pour reprendre le contrôle et protéger juridiquement la collectivité et ses dirigeants.
L'heure n'est plus à la tolérance du 'Shadow AI'. Avec l'AI Act, la responsabilité des DGS et des maires est désormais engagée en cas de gouvernance défaillante. Le risque financier est réel et les alternatives souveraines sont matures et accessibles. Il est de votre devoir de protéger les données de votre collectivité, de garantir la conformité de ses actions et de sécuriser votre position juridique. Auditez vos usages sans délai, formalisez une interdiction claire des outils non maîtrisés et présentez à vos élus un plan d'action chiffré pour basculer vers une IA de confiance. C'est un investissement stratégique pour la sécurité et la modernisation de votre territoire.
