Droit et gouvernance de l'intelligence artificielle : guide juridique pour les entreprises en Türkiye et sur les marchés transfrontaliers

L'intelligence artificielle s'intègre progressivement à l'infrastructure ordinaire des entreprises.

Les entreprises utilisent l'IA pour rédiger, coder, traduire, analyser des données, examiner des documents, assister le service client, générer des images, automatiser des décisions, détecter la fraude, gérer la logistique, personnaliser le marketing, réviser des contrats, évaluer les risques et améliorer la productivité. Pour les fondateurs et les dirigeants, l'IA peut apparaître comme une opportunité de rapidité, d'échelle et d'efficacité.

Pour les avocats, les régulateurs, les investisseurs et les conseils d'administration, l'IA soulève aussi une autre question : qui est responsable lorsqu'un système d'IA utilise des données de manière illicite, produit un résultat préjudiciable, porte atteinte à la propriété intellectuelle, exerce une discrimination, induit un client en erreur, viole la confidentialité, expose des secrets d'affaires ou prend une décision que personne ne peut réellement expliquer ?

Le droit de l'IA ne se limite pas à la législation à venir. Il est déjà présent à travers les cadres juridiques existants : protection des données, contrats, propriété intellectuelle, confidentialité, droit du travail, protection des consommateurs, concurrence déloyale, cybersécurité, règles sectorielles, obligations professionnelles, responsabilité du fait des produits, gouvernance d'entreprise et règlement des différends. Pour les entreprises en Türkiye, à Chypre du Nord et sur les marchés transfrontaliers, la gouvernance de l'IA ne devrait pas attendre qu'un régulateur, un client, un investisseur ou une contrepartie pose des questions délicates.

Ce guide expose les enjeux juridiques que les entreprises devraient prendre en compte lorsqu'elles développent, acquièrent, déploient ou investissent dans des systèmes d'intelligence artificielle.

1. L'IA n'est pas seulement une question technologique

Une entreprise peut décrire un projet d'IA comme un déploiement technique. En termes juridiques, il peut aussi s'agir d'une opération de traitement de données, d'une acquisition de logiciel, d'un accord de licence, d'un service destiné aux consommateurs, d'un outil de surveillance des salariés, d'un système d'aide à la décision, d'un risque propre à un secteur réglementé, d'une question de propriété intellectuelle, d'une exposition en matière de cybersécurité, d'un risque de confidentialité, d'un service externalisé, d'une responsabilité de gouvernance et d'un litige potentiel.

L'analyse juridique dépend de ce que fait le système d'IA. Un agent conversationnel utilisé pour un service client de base n'est pas comparable à un système d'IA utilisé pour l'évaluation de la solvabilité, le triage médical, le recrutement, la révision de documents juridiques, l'identification biométrique, la détection de fraude ou l'évaluation des performances des salariés. La première tâche, dans la gouvernance juridique de l'IA, consiste donc à comprendre le cas d'usage. La question n'est pas simplement « utilisons-nous l'IA ? » mais plutôt : quelle fonction l'IA remplit-elle, quelles données utilise-t-elle, qui se fie au résultat, quel préjudice pourrait survenir et qui est responsable de la maîtrise du risque ?

2. Développeurs, déployeurs et utilisateurs d'IA

Les projets d'IA font intervenir différents acteurs. Une entreprise peut développer son propre modèle, affiner un modèle existant, intégrer un outil tiers, revendre un produit d'IA, utiliser l'IA en interne, proposer des services alimentés par l'IA à ses clients, traiter les données de ses clients au moyen de l'IA, s'appuyer sur des résultats générés par l'IA ou investir dans une jeune pousse spécialisée dans l'IA. Chaque rôle emporte des responsabilités juridiques différentes.

Un développeur peut devoir prendre en compte les données d'entraînement, la documentation du modèle, les droits de propriété intellectuelle, les tests, la sécurité, les biais, la protection et les instructions destinées aux utilisateurs. Un utilisateur professionnel peut devoir considérer l'acquisition, les contrats avec les fournisseurs, la confidentialité, la formation des salariés, la révision des résultats, la protection des données, l'information des clients et la responsabilité. Un investisseur peut devoir examiner la gouvernance de l'IA lors de sa diligence raisonnable. Une entreprise qui se considère comme « simple utilisatrice » peut néanmoins voir sa responsabilité engagée si elle déploie l'IA d'une manière qui affecte des salariés, des clients, des patients, des étudiants, des consommateurs, des contreparties ou des droits juridiques.

3. La gouvernance de l'IA commence par un inventaire

Une entreprise ne peut pas gérer le risque lié à l'IA si elle ignore où l'IA est utilisée. La première étape devrait être un inventaire de l'IA : les outils officiellement acquis par l'entreprise, les fonctionnalités d'IA intégrées aux logiciels existants, les outils utilisés de manière informelle par les salariés, les systèmes utilisés par les prestataires, l'IA dans le marketing, les ressources humaines, les ventes, la finance ou les équipes juridiques, l'IA dans le service client, l'analyse ou le profilage, l'IA dans la cybersécurité, le recrutement ou la surveillance des salariés, l'IA dans le développement de produits, et l'IA utilisée par des fournisseurs externes pour le compte de l'entreprise.

De nombreuses entreprises sous-estiment le « shadow AI » (IA clandestine). Les salariés peuvent utiliser des outils publics d'IA générative pour résumer des documents, rédiger des courriels, traduire des contrats, analyser des tableurs ou créer des contenus marketing sans approbation formelle, exposant ainsi des informations confidentielles, des données personnelles, des secrets d'affaires et des documents de clients. Un cadre de gouvernance de l'IA commence par la visibilité.

4. Protection des données et données personnelles

L'essentiel du risque juridique lié à l'IA commence avec les données. Les systèmes d'IA peuvent traiter des données personnelles lors de l'entraînement, de l'affinage, de la formulation des requêtes, de la recherche d'informations, de l'interaction avec l'utilisateur, de l'analyse, de la surveillance, de la génération de résultats, des boucles de rétroaction, de l'amélioration du modèle et de la prise de décision automatisée.

Les entreprises devraient examiner quelles données personnelles sont collectées, de qui les données sont traitées, si des catégories particulières de données sont concernées, la base légale du traitement, si la minimisation des données est respectée, si les mentions d'information sont suffisantes, si un consentement est requis, si les données sont transférées à l'étranger, si les fournisseurs agissent en qualité de sous-traitants ou de responsables de traitement indépendants, si le système utilise les données à des fins d'entraînement supplémentaire, si les résultats peuvent révéler des données personnelles, si les personnes concernées peuvent exercer leurs droits, et comment les données sont conservées, supprimées et sécurisées. En Türkiye, les projets d'IA impliquant des données personnelles doivent être évalués au regard de la loi n° 6698 sur la protection des données personnelles (KVKK) et de la réglementation secondaire. Le simple fait que les données soient traitées par un système d'IA ne supprime pas les obligations ordinaires en matière de protection des données : une entreprise devrait être en mesure d'expliquer pourquoi les données sont nécessaires, comment elles sont traitées, qui y a accès, où elles sont transférées et pendant combien de temps elles sont conservées.

5. Données d'entraînement et utilisation licite

Les données d'entraînement constituent l'un des enjeux juridiques les plus délicats de l'IA. Un modèle peut être entraîné sur de vastes ensembles de données contenant des données personnelles, des œuvres protégées par le droit d'auteur, des images, du code, des fichiers audio, des vidéos, des informations confidentielles, des contenus de sites web extraits par moissonnage, des données de clients ou de salariés, des bases de données sous licence, des registres publics, des données synthétiques, ou des données anonymisées et pseudonymisées.

Les questions juridiques portent notamment sur le point de savoir si les données ont été obtenues de manière licite, si elles ont été utilisées dans les limites du consentement ou de la licence, si l'ensemble de données contient des données personnelles, des œuvres protégées, des secrets d'affaires ou des documents confidentiels, si le moissonnage était autorisé, si le fichier robots.txt ou les conditions d'utilisation du site web ont été pris en compte, si les données peuvent être utilisées pour l'entraînement commercial d'un modèle, si les personnes peuvent s'y opposer ou en demander la suppression, et si l'ensemble de données est documenté et si les données problématiques peuvent en être retirées. Une entreprise qui développe ou affine une IA ne devrait pas présumer que les données accessibles au public peuvent être utilisées à toutes fins : la disponibilité publique n'équivaut pas à une utilisation licite.

6. Transferts transfrontaliers de données

Les outils d'IA impliquent souvent des flux de données transfrontaliers. Une entreprise en Türkiye ou à Chypre du Nord peut utiliser des outils d'IA en nuage exploités depuis les États-Unis, l'Union européenne, le Royaume-Uni ou d'autres juridictions. Les données peuvent circuler à travers les requêtes, les documents téléversés, les appels d'API, l'entraînement des modèles, l'analyse, l'assistance client, l'hébergement en nuage, la journalisation de sécurité, l'accès des fournisseurs et les sous-traitants ultérieurs.

Cela soulève des questions juridiques et opérationnelles. Les entreprises devraient déterminer où se trouve le fournisseur d'IA, où les données sont hébergées, si des sous-traitants ultérieurs interviennent, si des données personnelles quittent la Türkiye ou la juridiction concernée, si des données sensibles sont en cause, si le fournisseur utilise les données pour améliorer son modèle, si des garanties contractuelles existent, si le transfert est autorisé par le droit applicable, et si des règles de localisation des données, des règles sectorielles ou des engagements envers les clients s'appliquent. Un système d'IA transfrontalier devrait être examiné avant son déploiement, et non après un incident.

7. Confidentialité et secrets d'affaires

Les outils d'IA générative créent un risque sérieux pour la confidentialité. Les salariés peuvent téléverser des contrats, des états financiers, des documents de clients, des pièces de contentieux, du code source, des présentations destinées au conseil, des cibles d'acquisition, des plans d'affaires, des listes de clients, des secrets d'affaires, des dossiers RH, des notes juridiques ou des documents stratégiques. Si l'outil n'est pas correctement maîtrisé, l'entreprise peut perdre la confidentialité, manquer à ses obligations contractuelles ou divulguer des éléments couverts par le secret.

Les entreprises devraient adopter des règles claires sur ce qui ne peut pas être téléversé vers des outils d'IA publics, sur les plateformes approuvées, sur les cas où une approbation interne est requise pour des usages sensibles, sur la manière dont les données des clients sont traitées, sur la manière dont les requêtes et les résultats sont conservés, sur la confidentialité à laquelle le fournisseur est tenu, et sur le fonctionnement de l'entraînement, de l'audit, de la surveillance et de la réponse aux incidents. Les politiques d'IA devraient être pratiques : une politique qui se contente d'affirmer « ne pas utiliser l'IA » risque d'être ignorée, tandis qu'une politique qui explique les usages autorisés et interdits a davantage de chances de fonctionner.

8. Titularité de la propriété intellectuelle

Les contenus générés par l'IA soulèvent des questions délicates de propriété intellectuelle. Les entreprises peuvent utiliser l'IA pour créer des textes marketing, des logos, des images, du code logiciel, des descriptions de produits, des concepts de design, des rapports, des traductions, des présentations, de la musique ou des vidéos, ainsi que des projets juridiques ou techniques.

Les questions juridiques portent notamment sur le point de savoir à qui appartient le résultat, s'il peut être protégé par le droit d'auteur, si le fournisseur d'IA revendique des droits, si le résultat a été entraîné sur des œuvres protégées, s'il pourrait porter atteinte aux droits de tiers, s'il peut être exploité commercialement, quelles restrictions de licence s'appliquent, qui est responsable si un résultat constitue une contrefaçon, si le code généré par l'IA peut être intégré à un logiciel propriétaire, et si l'outil produit des résultats similaires pour d'autres utilisateurs. Les entreprises devraient examiner les conditions des outils d'IA avant d'exploiter commercialement les résultats. Pour les actifs de marque de valeur, les logiciels, la conception de produits ou les documents destinés aux clients, une révision humaine et une vérification des droits de propriété intellectuelle peuvent être nécessaires : l'IA peut assister la création, mais elle n'élimine pas le risque lié à la titularité.

9. IA et développement logiciel

La programmation assistée par l'IA est désormais courante. Les développeurs utilisent des outils d'IA pour générer du code, déboguer, écrire des tests, documenter des systèmes, refactoriser, identifier des vulnérabilités, suggérer une architecture et traduire du code d'un langage à un autre. Cela peut améliorer la productivité, mais introduit aussi un risque juridique et technique.

Les entreprises devraient déterminer si le code généré comprend des éléments open source et déclenche des obligations de licence, si le code est sécurisé, si du code confidentiel est téléversé vers des outils d'IA, si les outils destinés aux développeurs conservent les requêtes, si le résultat est révisé par des ingénieurs qualifiés, si le code généré par l'IA crée des vulnérabilités cachées, si la titularité de la propriété intellectuelle est claire, et si les contrats avec les clients autorisent un tel usage. Une société de logiciels devrait adopter une politique d'utilisation de l'IA pour la programmation : l'objectif n'est pas d'empêcher l'innovation, mais d'éviter une exposition juridique et de sécurité incontrôlée.

10. Contrats d'acquisition d'IA

Les entreprises qui achètent des outils d'IA ne devraient pas accepter aveuglément les conditions du fournisseur. Les contrats d'acquisition d'IA devraient traiter la description et l'utilisation prévue du système, les normes de performance et les niveaux de service, les rôles en matière de protection des données et les conditions de traitement, les transferts transfrontaliers, l'utilisation des données des clients à des fins d'entraînement, la confidentialité, la sécurité, les droits d'audit, l'explicabilité et la documentation, les tests de biais le cas échéant, la titularité des résultats, les garanties d'éviction en matière de propriété intellectuelle, les réclamations de tiers, la limitation de responsabilité, la coopération réglementaire, les sous-traitants, la notification des incidents, les droits de suspension, la résiliation, la restitution et la suppression des données, ainsi que le droit applicable et le règlement des différends.

Plus le système d'IA est important pour l'activité, moins les conditions génériques d'adhésion (click-wrap) sont acceptables. L'acquisition d'IA devrait être traitée comme la conclusion d'un contrat technologique stratégique.

11. IA en mode SaaS et conditions applicables aux clients

Les entreprises qui fournissent des produits ou services alimentés par l'IA ont besoin de conditions solides à l'égard de leurs clients. Celles-ci devraient traiter ce que le système fait et ne fait pas, les responsabilités des utilisateurs et les usages interdits, les responsabilités relatives aux données d'entrée, les limites des résultats, les exigences de révision humaine, une clause de non-conseil professionnel le cas échéant, une politique d'utilisation acceptable, le traitement des données, la titularité de la propriété intellectuelle, l'amélioration du modèle, la disponibilité du service, la sécurité, les limitations de responsabilité, les responsabilités réglementaires, les droits de suspension, les garanties d'indemnisation à la charge du client, la résiliation et le règlement des différends.

Pour les fournisseurs d'IA en mode SaaS, les conditions applicables aux clients ne constituent pas seulement une protection juridique. Elles définissent le périmètre de risque du produit. Une entreprise ne devrait pas permettre à ses clients d'utiliser son système d'IA d'une manière qu'elle ne peut pas soutenir en toute sécurité.

12. Résultats de l'IA et révision humaine

Les résultats de l'IA peuvent être inexacts, incomplets, biaisés, obsolètes ou trompeurs. Cela importe particulièrement lorsque les résultats affectent des droits juridiques, des décisions financières, la santé, le recrutement, l'éducation, l'assurance, le crédit, l'emploi, le conseil aux consommateurs, la conformité, la sécurité ou des services réglementés. Les entreprises devraient décider dans quels cas la révision humaine est obligatoire.

Un processus de révision humaine devrait être significatif, et non symbolique. Le réviseur devrait comprendre l'objet du résultat, les limites du système, les données utilisées, le risque d'erreur, les conséquences d'un recours à ce résultat et les cas où une remontée d'information est requise. L'intervention humaine (« human in the loop ») ne suffit pas si la personne ne dispose ni du temps, ni de l'expertise, ni de l'autorité nécessaires pour remettre en question le système d'IA.

13. Biais, discrimination et équité

Les systèmes d'IA peuvent produire des résultats discriminatoires ou inéquitables. Le risque peut découler de données d'entraînement biaisées, de variables indirectes, de discriminations historiques, d'une mauvaise conception du modèle, d'un environnement de déploiement non testé, d'une absence de surveillance, de boucles de rétroaction, d'une confiance excessive dans la notation automatisée et de l'absence de mécanismes de recours. Cela est particulièrement pertinent en matière de recrutement, de prêt, d'assurance, d'éducation, de santé, de logement, de services publics, de surveillance des salariés, de détection de fraude et de segmentation de la clientèle.

Les entreprises devraient tester leurs systèmes d'IA afin d'y déceler des résultats inéquitables lorsque le cas d'usage affecte des personnes, en combinant une revue juridique et une évaluation technique. Une entreprise devrait être en mesure d'expliquer non seulement que l'IA fonctionne, mais qu'elle fonctionne de manière licite et responsable.

14. Emploi et IA sur le lieu de travail

L'utilisation de l'IA sur le lieu de travail crée des risques juridiques spécifiques. Les employeurs peuvent utiliser l'IA pour le tri des candidatures au recrutement, le classement des CV, l'analyse des entretiens, la surveillance des salariés, l'évaluation de la productivité et des performances, la planification, la formation, les enquêtes internes, la rédaction de documents et l'analyse RH. Ces usages peuvent affecter les droits des salariés, la vie privée, l'égalité, la transparence et la confiance.

Les employeurs devraient déterminer si les salariés sont informés, si les données personnelles sont traitées de manière licite, si la surveillance est proportionnée, si les décisions automatisées affectent des droits liés à l'emploi, si les biais ont été testés, si le personnel RH peut passer outre les recommandations de l'IA, si des registres sont tenus, si les salariés peuvent contester les résultats, si des données sensibles sont en cause et si des fournisseurs tiers traitent les données des salariés. L'IA dans l'emploi doit être abordée avec prudence, car elle affecte directement des personnes : le préjudice de réputation résultant de décisions RH injustes fondées sur l'IA peut dépasser le coût juridique.

15. Protection des consommateurs et transparence

Les systèmes d'IA utilisés avec les consommateurs peuvent exiger une communication claire, lorsque les clients interagissent avec des agents conversationnels, que l'IA recommande des produits ou personnalise les prix, que l'IA génère des suggestions financières ou liées à la santé, que l'IA crée des contenus marketing ou simule une communication humaine, que l'IA procède à des évaluations d'éligibilité, que des hypertrucages (deepfakes) ou des médias synthétiques sont utilisés, ou que des images et des avis générés par l'IA apparaissent dans la publicité.

Les entreprises devraient se demander si l'utilisateur sait qu'il interagit avec une IA, si le résultat est présenté comme un conseil professionnel, si l'utilisateur pourrait être induit en erreur, si les limites sont divulguées, si les clauses de non-responsabilité sont claires sans être abusives, si des utilisateurs vulnérables sont concernés, si les droits des consommateurs sont respectés et s'il existe une voie de remontée vers un interlocuteur humain. La transparence n'est pas seulement une exigence réglementaire. Elle fait partie de la confiance.

16. L'IA dans les secteurs réglementés

Le risque lié à l'IA s'accroît dans les secteurs réglementés : banque et finance, assurance, santé, services juridiques, éducation, emploi, immobilier, transport, cybersécurité, marchés publics, énergie, télécommunications et industries liées à la défense. Dans ces secteurs, l'utilisation de l'IA devrait être examinée au regard des règles sectorielles, et un outil d'IA généraliste peut être inadapté à un cas d'usage réglementé s'il n'a pas été évalué, documenté, testé et maîtrisé.

Par exemple, l'IA en assurance peut affecter la tarification, la gestion des sinistres et le risque de discrimination ; l'IA en santé peut affecter la sécurité des patients, la vie privée et la responsabilité professionnelle ; l'IA en finance peut affecter les décisions de crédit, la surveillance en matière de lutte contre le blanchiment (LAB) et la protection des consommateurs ; l'IA en éducation peut affecter les données des étudiants, l'évaluation et l'équité ; et l'IA dans les services juridiques peut affecter la confidentialité, le secret professionnel et la responsabilité professionnelle. Une revue de l'IA propre au secteur devrait intervenir avant le déploiement.

17. Exposition au règlement européen sur l'IA (AI Act)

Le règlement de l'Union européenne sur l'intelligence artificielle (AI Act) instaure un cadre fondé sur les risques pour les systèmes d'IA. Même les entreprises situées hors de l'UE peuvent devoir en tenir compte si leurs systèmes d'IA, leurs résultats ou leurs services sont mis sur le marché de l'UE ou utilisés d'une manière liée à l'UE.

Les entreprises en Türkiye, à Chypre du Nord ou dans la région élargie devraient évaluer leur exposition au règlement européen sur l'IA lorsqu'elles vendent des systèmes d'IA à des clients de l'UE, fournissent des SaaS alimentés par l'IA à des utilisateurs de l'UE, traitent des données pour des clients établis dans l'UE, intègrent l'IA à des produits utilisés dans l'UE, fournissent des outils d'IA à des entreprises multinationales, agissent en qualité de distributeurs ou d'importateurs de systèmes d'IA, ou utilisent des résultats d'IA dans des services fournis sur les marchés de l'UE. Le règlement sur l'IA n'est pas le seul cadre, mais il devient une référence importante : une entreprise qui envisage de se développer à l'international ne devrait pas concevoir sa gouvernance de l'IA uniquement en fonction des exigences locales actuelles.

18. Politiques d'IA pour les entreprises

Toute entreprise qui utilise l'IA de manière significative devrait envisager une politique interne d'IA. Celle-ci devrait traiter les outils d'IA approuvés et les usages interdits, les informations confidentielles, les données personnelles, les données des clients et des consommateurs, les responsabilités des salariés, la révision humaine et la vérification des résultats, la propriété intellectuelle et le droit d'auteur, la génération de code, l'IA en contact avec les clients, la tenue de registres, l'approbation des fournisseurs, la sécurité, le signalement des incidents, les conséquences disciplinaires et les procédures de remontée.

La politique devrait être réaliste. Si les salariés ont besoin de l'IA pour leur productivité, l'entreprise devrait fournir des canaux sûrs plutôt que de prétendre que l'IA n'est pas utilisée. Une bonne gouvernance permet un usage responsable.

19. Responsabilité du conseil d'administration et de la direction

La gouvernance de l'IA n'est pas seulement une question informatique. Les conseils d'administration et la direction générale devraient savoir où l'IA est utilisée, quels cas d'usage sont significatifs, quels systèmes affectent les clients ou les salariés, quels fournisseurs sont critiques, quelles données sont traitées, si l'utilisation de l'IA est documentée, si les risques ont été évalués, si des politiques existent, si les incidents sont signalés, si l'assurance couvre le risque lié à l'IA, si l'IA crée une exposition réglementaire, et si l'IA affecte la stratégie, la réputation ou la valorisation.

Le risque lié à l'IA peut devenir un risque de gouvernance d'entreprise. Une équipe dirigeante incapable d'expliquer ses systèmes d'IA peut rencontrer des difficultés avec les investisseurs, les régulateurs, les clients, les assureurs et les contreparties.

20. Diligence raisonnable relative à l'IA dans les investissements et les fusions-acquisitions

La diligence raisonnable relative à l'IA prend de plus en plus d'importance dans les investissements et les acquisitions. Les investisseurs devraient examiner quels systèmes d'IA la cible utilise, si elle développe des produits d'IA, les sources des données d'entraînement, la conformité en matière de protection des données, la titularité de la propriété intellectuelle, la documentation des modèles, les contrats avec les fournisseurs et les clients, l'utilisation d'outils open source, la cybersécurité, l'exposition réglementaire, la pertinence du règlement européen sur l'IA, l'utilisation de l'IA par les salariés, les plaintes en cours, la responsabilité liée aux résultats, la dépendance à des modèles tiers et la capacité à se développer de manière licite.

Une jeune pousse spécialisée dans l'IA peut disposer d'une technologie attrayante mais de fondations juridiques fragiles. Un acquéreur devrait se demander si la société détient bien ce qu'elle prétend détenir, si elle peut utiliser licitement les données sur lesquelles elle s'appuie, et si son produit peut être vendu sur les marchés visés sans obstacles réglementaires majeurs. La diligence raisonnable relative à l'IA n'est pas un luxe technique. Elle est au cœur de la valorisation.

21. Responsabilité en cas de préjudice lié à l'IA

Lorsque l'IA cause un préjudice, plusieurs parties peuvent être impliquées : le développeur de l'IA, le fournisseur du modèle, le fournisseur de logiciel, le déployeur, l'utilisateur professionnel, le salarié, le prestataire, le client, le fournisseur de données, l'intégrateur de systèmes, le conseil professionnel ou l'opérateur de la plateforme. La responsabilité peut découler d'un manquement contractuel, d'une négligence, d'un produit ou service défectueux, d'une violation de la protection des données, d'une atteinte à la propriété intellectuelle, d'une discrimination, de déclarations trompeuses, d'un préjudice au consommateur, d'une violation de la confidentialité, d'une défaillance en matière de cybersécurité, d'un manquement au droit du travail ou d'un défaut de conformité réglementaire.

Les contrats devraient répartir clairement les responsabilités. Une entreprise ne devrait pas présumer qu'un fournisseur d'IA supportera la responsabilité de l'ensemble des préjudices liés à l'IA : de nombreuses conditions de fournisseurs limitent sensiblement la responsabilité. La répartition des risques doit être négociée lorsque le système d'IA est essentiel à l'activité.

22. Preuve, pistes d'audit et litiges

Les litiges relatifs à l'IA reposeront souvent sur la preuve. Une entreprise peut devoir démontrer quel modèle et quelle version ont été déployés, quelles données ont été saisies, quelle requête a été utilisée, quel résultat a été généré, qui l'a révisé, s'il a été modifié, si des avertissements ont été affichés, si les politiques ont été respectées, si le système a été testé, si un fournisseur a été informé et si les journaux ont été conservés.

En l'absence de pistes d'audit, une entreprise peut avoir du mal à défendre sa position. La gouvernance de l'IA devrait inclure la documentation. Ce n'est pas de la bureaucratie, c'est une preuve pour l'avenir.

23. Réponse aux incidents liés à l'IA

Les entreprises devraient se préparer aux incidents liés à l'IA : exposition de données personnelles, informations confidentielles téléversées vers un outil, décision automatisée préjudiciable, résultat discriminatoire, plainte d'un client, réclamation pour atteinte à la propriété intellectuelle, déclaration hallucinée ou trompeuse, vulnérabilité de sécurité, détournement du modèle, utilisation non autorisée par un salarié, violation par un fournisseur ou enquête réglementaire.

Un plan de réponse aux incidents liés à l'IA devrait définir qui doit être averti en interne, si le recours à un conseil externe est nécessaire, si des obligations en cas de violation de données s'appliquent, si les clients ou les régulateurs doivent être informés, si une notification au fournisseur est requise, si les journaux doivent être conservés, si l'utilisation du système doit être suspendue, qui communique à l'externe et comment les mesures correctives sont documentées. Une entreprise ne devrait pas élaborer son plan de réponse aux incidents pendant l'incident.

24. Assurance et risque lié à l'IA

Les entreprises devraient vérifier si leur assurance existante couvre le risque lié à l'IA : polices cyber, responsabilité civile professionnelle, responsabilité des dirigeants (D&O), erreurs et omissions technologiques, responsabilité du fait des produits, responsabilité médias, responsabilité civile générale et responsabilité liée aux pratiques d'emploi. Les questions portent notamment sur le point de savoir si les erreurs liées à l'IA, les violations de données, les réclamations pour atteinte à la propriété intellectuelle, les résultats présentés comme des conseils professionnels, les décisions discriminatoires et les défaillances des fournisseurs sont couverts, si les responsabilités contractuelles sont exclues, si les amendes ou les coûts réglementaires sont couverts, si les frais de notification sont couverts, et si les outils d'IA doivent être déclarés aux assureurs.

L'assurance ne devrait pas être présumée. Elle devrait être examinée.

25. IA et services professionnels

Les prestataires de services professionnels qui utilisent l'IA devraient être particulièrement vigilants : avocats, experts-comptables, consultants, architectes, ingénieurs, médecins, conseillers financiers, professionnels de l'assurance, conseillers immobiliers et consultants en conformité. Les obligations professionnelles peuvent exiger la confidentialité, la compétence, le jugement humain, le consentement du client dans certains contextes, la vérification des résultats, la tenue de registres, la prévention des divulgations non autorisées, la supervision du personnel et des outils subalternes, et le respect des règles sectorielles.

L'IA peut assister le travail professionnel, mais elle ne peut pas se substituer à la responsabilité professionnelle. Si un professionnel se fie à l'IA sans révision et que le résultat est erroné, le problème n'est pas seulement technique. Il peut devenir une question de responsabilité professionnelle.

26. Stratégie transfrontalière d'IA : Türkiye, Chypre du Nord et Royaume-Uni

De nombreuses entreprises et utilisateurs d'IA opèrent au-delà des frontières. Une entreprise peut être constituée en Türkiye, servir des clients au Royaume-Uni, stocker des données dans l'UE, recourir à un fournisseur d'IA établi aux États-Unis et embaucher des développeurs à Chypre du Nord, ce qui crée des questions juridiques qui se chevauchent.

Une stratégie transfrontalière d'IA devrait examiner le droit applicable aux contrats, les règles de transfert de données, la localisation des fournisseurs et des clients, l'exposition au règlement européen sur l'IA, les orientations du Royaume-Uni en matière de protection des données et d'IA, la conformité KVKK en Türkiye, les considérations opérationnelles à Chypre du Nord, la titularité de la propriété intellectuelle entre juridictions, les contrats de travail, les questions fiscales et d'établissement stable, le règlement des différends et l'exécution. La planification juridique en matière d'IA devrait suivre le modèle économique, et non le seul pays de constitution.

27. Une check-list juridique pratique en matière d'IA

Les entreprises devraient être en mesure de répondre : où l'IA est-elle utilisée dans l'activité, et qui a approuvé chaque outil ? Quelles données sont saisies, et des informations personnelles ou confidentielles sont-elles en cause ? Le fournisseur utilise-t-il les données à des fins d'entraînement, et où les données sont-elles stockées ou transférées ? Les salariés utilisent-ils des outils non approuvés ? Les clients interagissent-ils avec l'IA ? Les résultats sont-ils révisés par des humains ? Les documents générés par l'IA sont-ils exploités commercialement, et la titularité de la propriété intellectuelle est-elle claire ? Les contrats avec les fournisseurs et les conditions applicables aux clients sont-ils suffisants ? Des réglementations sectorielles sont-elles pertinentes, et une exposition au règlement européen sur l'IA est-elle possible ? Les risques de biais et de discrimination sont-ils évalués ? Existe-t-il une politique interne d'IA ? Les pistes d'audit sont-elles conservées ? Existe-t-il un plan de réponse aux incidents ? L'assurance couvre-t-elle le risque lié à l'IA ? L'IA a-t-elle été examinée dans le cadre d'une diligence raisonnable d'investissement ou de fusion-acquisition ? Et la direction peut-elle expliquer la gouvernance de l'IA de l'entreprise ?

Les réponses devraient ensuite orienter le cadre de gouvernance : politique, supervision, contrats, documentation et responsabilité.

Foire aux questions

Existe-t-il une loi spécifique sur l'IA en Türkiye ?

La Türkiye ne dispose pas actuellement d'une loi générale sur l'IA équivalente au règlement européen sur l'intelligence artificielle (AI Act). Toutefois, les projets d'IA sont déjà concernés par les lois existantes, notamment la protection des données, les contrats, la propriété intellectuelle, le droit du travail, la protection des consommateurs, la cybersécurité, les réglementations sectorielles et les principes de responsabilité.

Le règlement européen sur l'IA (AI Act) concerne-t-il les entreprises turques ?

C'est possible. Les entreprises turques, chypriotes du Nord ou régionales peuvent devoir tenir compte du règlement européen sur l'IA si elles fournissent des systèmes d'IA, des services alimentés par l'IA ou des résultats sur le marché de l'UE, ou si elles travaillent avec des clients établis dans l'UE.

Les entreprises peuvent-elles utiliser des données personnelles dans des systèmes d'IA ?

Uniquement lorsque le traitement est licite, nécessaire et conforme aux règles applicables en matière de protection des données. Les entreprises doivent examiner la base légale, la transparence, la minimisation des données, les transferts transfrontaliers, les conditions des fournisseurs et la conservation.

Les salariés peuvent-ils utiliser ChatGPT ou des outils similaires au travail ?

Ils le peuvent parfois, mais les entreprises doivent adopter des politiques d'IA claires. Les informations confidentielles, les données personnelles, les documents des clients et les secrets d'affaires ne doivent pas être téléversés vers des outils publics sans garanties appropriées.

À qui appartiennent les contenus générés par l'IA ?

Cela dépend des conditions de l'outil, du droit applicable, de la nature du résultat et de l'existence éventuelle de droits de tiers. Les entreprises doivent examiner les questions de propriété, de licence et de contrefaçon avant d'exploiter commercialement des contenus générés par l'IA.

Que doivent contenir les contrats avec les fournisseurs d'IA ?

Les contrats avec les fournisseurs d'IA doivent traiter la protection des données, la confidentialité, la sécurité, l'utilisation à des fins d'entraînement, la propriété intellectuelle, la titularité des résultats, la responsabilité, les droits d'audit, la notification des incidents, les sous-traitants, la résiliation et la coopération réglementaire.

La diligence raisonnable en matière d'IA est-elle nécessaire dans les investissements ?

Oui. Les investisseurs doivent examiner les données d'entraînement, la titularité du modèle, la propriété intellectuelle, la protection des données, la dépendance aux fournisseurs, l'exposition réglementaire, les contrats clients, la sécurité et la scalabilité avant d'investir dans des sociétés d'IA.

L'IA peut-elle engager la responsabilité d'une entreprise ?

Oui. La responsabilité peut découler de résultats inexacts, de discriminations, de violations de données, d'atteintes à la propriété intellectuelle, de communications trompeuses envers les consommateurs, de violations de la confidentialité, de décisions en matière d'emploi ou d'un défaut de conformité réglementaire.

Conclusion

L'intelligence artificielle peut générer rapidité, échelle et avantage concurrentiel. Mais l'IA crée aussi une responsabilité juridique. Les entreprises qui adoptent l'IA sans gouvernance peuvent s'exposer à des violations de la protection des données, à des atteintes à la confidentialité, à des litiges de propriété intellectuelle, à des résultats trompeurs, à des réclamations de salariés, à des plaintes de clients, à un examen réglementaire et à une responsabilité contractuelle.

La stratégie d'IA la plus solide ne consiste pas simplement à utiliser les outils les plus récents. Elle consiste à les utiliser avec discipline. Pour les entreprises en Türkiye, à Chypre du Nord et sur les marchés transfrontaliers, la gouvernance juridique de l'IA devrait comprendre une revue de la protection des données, une discipline contractuelle, une analyse de la propriété intellectuelle, une maîtrise des fournisseurs, une politique interne, une supervision humaine, une documentation, une réponse aux incidents et une responsabilité au niveau du conseil d'administration.

L'IA est peut-être nouvelle, mais le principe juridique est familier : une entreprise devrait comprendre le risque avant de déployer le système à grande échelle.

Comment Terziolu & Partners peut vous accompagner

Terziolu & Partners conseille les entreprises, les investisseurs, les entrepreneurs, les familles et les clients privés sur les questions juridiques relatives à la Türkiye, à Chypre du Nord et aux dossiers transfrontaliers. Nos interventions peuvent inclure l'examen des cas d'usage de l'IA et du risque juridique ; le conseil sur les cadres de gouvernance de l'IA ; la rédaction de politiques internes d'IA ; la révision des contrats avec les fournisseurs d'IA ; la rédaction des conditions applicables aux SaaS d'IA et aux clients ; le conseil en matière de protection des données et de transferts transfrontaliers ; l'examen de la titularité de la propriété intellectuelle et des risques liés aux contenus générés par l'IA ; l'accompagnement de la diligence raisonnable relative à l'IA dans les investissements et les acquisitions ; le conseil sur les questions d'emploi et d'IA sur le lieu de travail ; l'assistance dans les litiges liés à l'IA, les atteintes à la confidentialité ou les réclamations contractuelles ; et la coordination avec des experts techniques, des conseils en protection des données et des avocats étrangers lorsque cela est nécessaire.

Discutez d'une question de gouvernance de l'IA, de contrat technologique ou de tout dossier juridique lié à l'IA avec notre équipe.

Cet article est fourni à des fins d'information générale uniquement et ne constitue pas un conseil juridique. Le droit et la gouvernance de l'intelligence artificielle sont des domaines en évolution rapide. Les obligations juridiques peuvent varier en fonction de la juridiction, du système d'IA, des données utilisées, du secteur, du groupe d'utilisateurs, de la structure contractuelle, de l'exposition réglementaire, de la conception technique, du contexte de déploiement et du moment où le conseil est donné. Aucune décision ne devrait être prise ou différée sur la seule base de cette publication. Un conseil juridique, technique, en protection des données, réglementaire et commercial spécifique devrait être obtenu avant de développer, déployer, acquérir, investir dans des systèmes d'IA ou s'y fier. La soumission d'une demande à Terziolu & Partners ne crée pas de relation avocat-client, sauf et jusqu'à ce que la mission soit formellement acceptée par écrit.