Checklist DSA : auditer les risques d’une plateforme IA

Le règlement sur les services numériques, ou DSA, ne constitue pas une réglementation générale de l’intelligence artificielle. Il encadre les intermédiaires en ligne et impose des obligations graduées selon leur rôle et leur taille. Pourtant, dès qu’un algorithme organise la visibilité des contenus, facilite leur diffusion ou intervient dans leur modération, l’IA devient un élément central de l’évaluation des risques.

Une checklist utile ne consiste donc pas à demander si une plateforme « utilise l’IA », mais à établir où elle intervient, quelles décisions elle influence et qui peut en corriger les conséquences. Voici les points à examiner avant de conclure qu’un service est conforme ou maîtrisé.

1. Délimiter le service et ses obligations

Commencez par décrire précisément le produit : hébergement de contenus, réseau social, place de marché, moteur de recherche ou outil conversationnel. Une même entreprise peut proposer plusieurs services relevant de catégories différentes. Le statut de fournisseur d’hébergement ou de plateforme en ligne, par exemple, entraîne des obligations spécifiques qui ne se confondent pas avec celles applicables à un simple intermédiaire technique.

Vérifiez ensuite la taille de l’audience, les territoires desservis et les éventuelles désignations de la Commission européenne. Les très grandes plateformes en ligne et les très grands moteurs de recherche font l’objet d’exigences renforcées, notamment en matière d’évaluation et d’atténuation des risques systémiques. Ne transposez pas automatiquement ces obligations à tous les acteurs : l’audit doit correspondre au statut réel du service.

2. Cartographier les systèmes d’IA et les décisions

Inventoriez les systèmes automatisés utilisés en production, mais aussi ceux fournis par des prestataires. Incluez le classement des résultats, les recommandations, la détection de contenus illicites, les outils de génération et les mécanismes de ciblage publicitaire. Pour chaque système, documentez son objectif, les données d’entrée, les sorties produites et les personnes susceptibles d’être affectées.

Le point décisif est de suivre la chaîne de décision. Un modèle peut estimer qu’un contenu est préjudiciable, tandis qu’une règle distincte réduit sa diffusion ou déclenche son retrait. L’audit doit identifier les seuils, les règles métier et les éventuelles interventions humaines, plutôt que de traiter le modèle comme une boîte noire isolée.

Questions de contrôle

• Une décision automatisée peut-elle limiter la visibilité, la monétisation ou l’accès à un compte ?
• Les utilisateurs disposent-ils d’une explication intelligible et d’un moyen de contester une décision de modération ?
• Les données d’entraînement et de fonctionnement présentent-elles des biais ou des lacunes connus ?
• Les changements de modèle sont-ils testés, versionnés et approuvés avant leur déploiement ?

3. Évaluer les risques au-delà du fonctionnement technique

Le DSA demande d’examiner les effets des services sur les droits fondamentaux, le débat civique, les processus électoraux, la sécurité publique et la protection des mineurs, entre autres enjeux. L’analyse doit considérer les usages réels, y compris ceux que les concepteurs n’avaient pas anticipés. Un système de recommandation peut, par exemple, favoriser des contenus polarisants sans que cela constitue son objectif déclaré.

Une méthode robuste associe des indicateurs quantitatifs et des analyses qualitatives. Mesurez les erreurs de retrait, les délais de recours, les disparités entre langues, ainsi que la part des décisions corrigées après examen humain. Complétez ces chiffres par des scénarios d’abus, des retours d’utilisateurs et une analyse des groupes particulièrement exposés. Les résultats doivent être datés, justifiés et reliés à des mesures de réduction du risque.

La visibilité algorithmique concerne aussi les événements locaux : lorsqu’un service recommande des activités, la manière dont il classe les annonces peut rendre certaines informations plus faciles à trouver que d’autres. À titre d’exemple, une page comme « Salon loisirs créatifs Orléans 2026 : dates, ateliers et matériel à découvrir » illustre le besoin de distinguer information pratique, contenu éditorial et promotion ; Visiter Orléans permet de situer ce type de sujet dans un contexte territorial concret. Pour l’audit, l’enjeu est de vérifier que les critères de recommandation ne masquent pas arbitrairement des informations pertinentes.

4. Vérifier transparence, recours et supervision

Examinez les conditions d’utilisation, les rapports de transparence et les notifications adressées aux personnes concernées. Le DSA prévoit notamment des mécanismes de signalement de contenus illicites et, selon les cas, des possibilités de contestation. Une information réellement utile précise le motif d’une restriction, son périmètre et les voies de recours, sans se limiter à une formule automatique difficile à comprendre.

Pour les systèmes de recommandation, vérifiez que le service explique les principaux paramètres qui déterminent les contenus proposés. Les plateformes concernées doivent aussi offrir les options prévues par le règlement, notamment une possibilité de recommandation ne reposant pas sur le profilage. L’audit doit tester ces fonctions sur différents appareils et parcours, pas seulement constater leur présence dans une politique en ligne.

5. Préparer la preuve et les mesures correctives

Une conformité défendable repose sur des éléments vérifiables : journaux de décisions, versions des modèles, protocoles de test, résultats de recours, comptes rendus de comité et responsables désignés. Limitez les données conservées à ce qui est nécessaire, protégez les informations sensibles et fixez des durées de conservation cohérentes. La documentation doit permettre de reconstituer une décision sans créer un nouveau risque pour la vie privée.

Enfin, attribuez chaque risque à un responsable, une échéance et un indicateur de suivi. Les mesures peuvent inclure une revue humaine renforcée, une modification des paramètres de recommandation, des tests linguistiques supplémentaires ou une information plus claire. Réévaluez-les après une mise à jour majeure, un incident ou une évolution importante des usages.

Pour suivre les évolutions du cadre européen et leurs effets sur l’économie numérique, retrouvez nos analyses sur la page d’accueil d’AFPB News.