REGALIA : la recherche française se met en ordre de bataille pour auditer les algorithmes d'IA

La question n'est plus théorique : l'AI Act impose aux fournisseurs de systèmes d'IA à haut risque de prouver leur conformité. REGALIA, un programme de recherche porté par l'université de Bordeaux et Inria, s'attaque à un problème concret — et encore largement non résolu : comment auditer un algorithme de manière rigoureuse, défendable, et compréhensible pour une autorité de régulation ?

Ce qui se passe

Lancé avec le soutien d'Inria et de l'université de Bordeaux, REGALIA (pour « Régulation des Algorithmes d'Intelligence Artificielle ») structure ses travaux en trois axes complémentaires. Le premier vise à mesurer les comportements indésirables des algorithmes — biais, manque de robustesse, défauts de sûreté. Le deuxième se concentre sur l'audit de l'IA à usage général (les modèles de fondation comme GPT ou Gemini, particulièrement ciblés par l'AI Act). Le troisième cherche à aligner les métriques techniques avec les exigences réglementaires et les attentes de la société.

Côté livrables, l'équipe s'est fixée un programme concret : une taxonomie des méthodes d'évaluation existantes, une bibliothèque de nouveaux tests, une matrice de correspondance entre exigences légales et preuves techniques, et un pack de reporting standardisé.

REGALIA a déjà mis ses méthodes à l'épreuve. En partenariat avec Easy Cash, le programme a évalué l'équité de l'algorithme de recommandation de la marketplace. Il travaille également pour le groupe OCP (Maroc) sur un mécanisme d'allocation de stocks, en collaboration avec une équipe Inria de Lille.

Pourquoi c'est important

L'AI Act est en vigueur depuis août 2024. Les premières obligations applicables aux systèmes d'IA à haut risque se déploient progressivement, avec des échéances qui s'échelonnent jusqu'en 2027. Parmi elles, l'exigence de tests et d'évaluations de conformité documentées — qu'il faudra présenter aux autorités compétentes en France et, dans certains cas, à des organismes notifiés.

Le problème : les outils pour réaliser ces audits manquent encore cruellement de standardisation. Il n'existe pas, aujourd'hui, de référentiel universellement accepté pour auditer un algorithme. REGALIA tente de combler ce vide avec une approche intéressante qui cherche à rendre l'évaluation opposable — c'est-à-dire défendable devant un régulateur.

Pour les DPO, c'est une double bonne nouvelle. D'une part, la recherche produit des méthodes qui pourront être réutilisées par les entreprises pour leurs propres audits IA. D'autre part, REGALIA travaille sur l'alignement avec les besoins opérationnels — ce qui laisse espérer des outils plus ancrés dans la réalité que dans les seuls papiers académiques.

Pour en savoir plus sur le cadre réglementaire applicable à vos systèmes, consultez notre guide complet de conformité AI Act.

Ce que ça change pour les organisations

À court terme, rien de concret : REGALIA est un programme de recherche, pas un outil disponible en production. Mais les directions juridiques et les DPO ont intérêt à suivre ses publications — elles fourniront des ressources précieuses pour structurer les audits internes.

À moyen terme, les livrables du programme (matrice exigences-preuves, bibliothèque d'évaluation) pourraient devenir des référentiels utilisés par les autorités de contrôle pour évaluer la conformité des systèmes déclarés à haut risque. Les entreprises qui commencent à documenter leurs systèmes dès aujourd'hui auront une longueur d'avance.

En pratique, si vous déployez ou achetez des systèmes d'IA à haut risque — recrutement, scoring crédit, accès aux services essentiels, sécurité — les questions que pose REGALIA sont déjà les vôtres : comment prouver que mon algorithme n'est pas biaisé ? Quels indicateurs mesurer ? Comment documenter ces évaluations de manière compréhensible pour un auditeur ?

Notre guide sur l'audit IA des sous-traitants vous donne une méthode praticable dès maintenant pour aborder ces questions dans votre organisation.

Ce que Leto pense de cette décision

REGALIA illustre un problème plus large : l'AI Act a été rédigé avec des exigences claires sur les résultats (un système doit être sûr, non-discriminatoire, traçable) mais sans outillage normalisé pour les atteindre. La recherche académique tente de pallier ce vide, mais le fossé entre les livrables universitaires et les outils utilisables par une PME reste considérable.

Ce programme mérite d'être suivi, mais les DPO ne doivent pas attendre ses conclusions pour avancer. Les obligations de l'AI Act s'appliquent indépendamment de l'état de maturité des outils d'audit. Commencer à cartographier vos systèmes d'IA, identifier lesquels relèvent du haut risque et structurer une gouvernance IA interne : voilà ce qui compte maintenant.

Sources : Silicon.fr — REGALIA, une synthèse des enjeux de régulation des algorithmes