La compliance : nouveaux enjeux pour les entreprises, nouveau rôle pour l’avocat
Réglementation. La notion de « compliance » est présente dans notre société depuis une vingtaine d’années mais il faut constater que peu d’entreprises ou de juristes savent exactement de quoi il s’agit.
En employant le terme français de « conformité » le concept se dévoile un peu mais n’est pas encore défini précisément. Pour être clair, la compliance ou la conformité désigne l’ensemble des mesures concrètes prises par les entreprises pour assurer le respect des règles qui s’imposent à elles, détecter les comportements illicites et prendre les mesures pour y mettre fin et éviter leur réitération. Le sujet est vaste car tous les domaines du droit sont concernés (législation économique, santé des employés, sécurité des personnes, protection des données personnelles, blanchiment, protection de l’environnement, droits humains, réglementation de l’IA, etc.).
L’heure n’est plus à la tergiversation car la compliance est devenue une obligation pour un certain nombre d’entreprises qui doivent donc se soumettre à cette réglementation, voire être condamnées à se doter des dispositifs nécessaires, sous le contrôle de l’Agence Française anti-corruption. Il faut préciser que l’obligation préventive de compliance anti-corruption s’impose aux entreprises de plus de 500 salariés et aux groupes de sociétés dont la mère a son siège en France, au moins 500 salariés et un chiffre d’affaires ou un chiffre consolidé d’au moins 100 M€ alors que l’obligation de respecter le Règlement Général de Protection des Données (RGPD) est applicable à toute entreprise qui met en place un traitement de ses données. La compliance est donc susceptible de concerner tout type d’entreprise, à des degrés divers selon la taille de la structure. Cela étant, à côté des domaines de compliance imposés un certain nombre de sociétés mettent en place une compliance volontaire, parfois inspirée par leur volonté d’afficher des valeurs éthiques au titre de leur responsabilité sociétale (RSE). Ainsi voit-on apparaître des codes de conduite, des chartes éthiques, des dispositifs de lanceurs d’alerte, tout un arsenal de dispositifs destiné à réduire les risques et donc les coûts de la non-conformité, à protéger la réputation et à attirer de nouveaux talents, voire conquérir de nouveaux marchés.
La mise en place d’une politique de compliance généralement décidée par le chef d’entreprise doit s’appuyer sur des compétences. Toutes les entreprises ne disposent pas en interne d’un compliance officer pour faire le job. Les avocats sont donc bien placés pour concourir à l’élaboration d’une politique de compliance efficace. Et dans un secteur émergent comme par exemple l’Intelligence Artificielle (IA), quelques recommandations à titre d’illustration montrent que l’avocat maîtrise sa partition.
L’avocat, conseil stratégique en matière de compliance
L’avocat est un professionnel du droit dont la formation lui permet d’accompagner le chef d’entreprise dans sa démarche de compliance. Son statut offre déjà de sérieuses garanties comme le secret professionnel et l’indépendance. En toute confiance, le chef d’entreprise peut donc s’adresser à son avocat pour concevoir tout d’abord la politique de conformité. Bâtir une politique de conformité est complexe et nécessite une véritable expertise d’un professionnel du droit. Plusieurs axes de travail peuvent être évoqués pour illustrer cette complexité : l’identification des zones à risque (géographiques, sectorielles, métiers), la rédaction des codes de conduite et procédures internes, la formation des dirigeants et collaborateurs, la due diligence sur les tiers (fournisseurs, partenaires, acquisitions) ou encore la gestion des alertes. Ensuite, l’avocat pourra aussi jouer un rôle d’auditeur pour vérifier la mise en oeuvre et l’efficacité des dispositifs de compliance, voire préparer un éventuel contrôle de l’Agence Française Anticorruption.
Enfin, l’avocat pourra être l’interlocuteur des instances qui contrôlent le respect des obligations de compliance. Par exemple, il pourra établir pour l’AFA la réponse aux questionnaires, négocier des recommandations, mettre en conformité suite à un contrôle.
En cas d’enquête pour corruption, blanchiment, ou manquement au devoir de vigilance, il assurera la défense de l’entreprise et de son dirigeant en étant face au Parquet, voire au juge d’instruction. Si des déclarations de soupçon pour des opérations financières atypiques sont suspectées, il sera encore l’interlocuteur de Tracfin. Ces rôles d’assistance et de défense entre l’entreprise et les autorités renforcent la dimension stratégique et préventive de la fonction d’avocat. Ils concourent à la sécurité et à la défense de l’entreprise et de son dirigeant.
Ajoutons que l’avocat est parfaitement au fait des obligations de compliance car il y est lui-même soumis. En effet, il doit désigner un compliance officer certifié par le Conseil National des Barreaux, rédiger une cartographie des risques propres à son cabinet (conflits d’intérêts, blanchiment, protection des données), assurer la formation obligatoire de ses équipes, tenir un registre des bénéficiaires effectifs et déclarations de soupçon, enfin rédiger un rapport annuel de compliance à transmettre à son ordre.
En matière de compliance, comme en sport, l’anticipation est une qualité fondamentale.
Des recommandations concrètes pour une compliance dédiée à l’IA
Après avoir souligné le rôle de l’avocat dans l’accompagnement des entreprises en matière de compliance il reste à déterminer comment cette conformité peut concrètement être mise en oeuvre dans l’entreprise, et notamment compte tenu de l’essor de l’intelligence artificielle.
L’objectif n’est pas de transposer aux TPE et PME les dispositifs parfois lourds des grandes entreprises, mais de construire une démarche proportionnée aux usages, à la taille de l’entreprise et aux risques identifiés. Car, derrière les textes, les dirigeants sont confrontés à des questions très concrètes : Puis-je copier-coller un contrat client dans ChatGPT ? Puis-je demander à une IA de sélectionner les CV reçus ? Qui est responsable si l’IA fournit une information fausse à un client ?
Ces interrogations révèlent quelques-uns des principaux risques liés à l’utilisation de l’IA : confidentialité, secret des affaires, protection des données personnelles, erreurs ou hallucinations, discrimination, méconnaissance des règles de propriété intellectuelle, cybersécurité ou encore dépendance à un prestataire technologique.
La première recommandation consiste donc à identifier les usages de l’IA avant de vouloir les encadrer. Le dirigeant peut commencer très simplement en demandant à ses équipes : « Quels outils d’IA utilisez-vous et pour quoi faire ? » Un tableau recensant l’outil, son utilisateur, sa finalité et les données utilisées permet déjà d’identifier les principaux risques.
Utiliser une IA pour reformuler un courriel commercial ne présente ainsi pas le même niveau de risque que lui transmettre un fichier contenant des données personnelles de clients ou lui demander de présélectionner automatiquement des candidats.
Pour une TPE ou une PME, cet état des lieux peut rester très simple. Dans une ETI ou une grande entreprise, il pourra s’intégrer à une cartographie plus complète des risques et aux procédures de conformité existantes. L’avocat intervient alors pour qualifier juridiquement les usages, identifier les textes applicables et déterminer les précautions nécessaires.
La deuxième recommandation consiste à poser des règles simples et compréhensibles.
Une charte ou alors une politique interne d’utilisation de l’IA peut préciser quels outils sont autorisés, quelles informations ne doivent pas être transmises, quels usages nécessitent une validation préalable et quelles vérifications doivent être effectuées.
Quelques règles très concrètes peuvent ainsi suffire dans une petite structure : « Ne jamais transmettre à une IA externe un contrat client non anonymisé » ; « vérifier toute information générée avant de la communiquer à un client » ; « ne pas utiliser une IA pour sélectionner automatiquement des candidats sans contrôle humain ». Dans une ETI ou une grande entreprise, ces règles pourront être complétées par des procédures de validation des outils, des audits, un registre des usages ou un comité IA.
La portée juridique de la charte devra toutefois être anticipée : si elle se limite à des recommandations, elle aura principalement une fonction pédagogique ; si elle crée des obligations dont la violation peut être sanctionnée, son articulation avec le règlement intérieur et le droit du travail devra être sécurisée.
La troisième recommandation viserait à conseiller la désignation d’un interlocuteur IA et former les utilisateurs. Dans une TPE, il n’est pas nécessaire de créer un poste de responsable IA : le dirigeant ou un salarié identifié peut assurer ce rôle. Dans une ETI ou une grande entreprise, cette fonction pourra être structurée avec les services juridique, informatique, RH, conformité ou protection des données.
La formation doit surtout permettre d’acquérir les bons réflexes : ne pas transmettre d’informations confidentielles dans un outil non validé, vérifier les réponses produites par l’IA et conserver un contrôle humain sur les décisions importantes. Cette démarche rejoint l’exigence de maîtrise de l’IA posée par l’AI Act, règlement européen encadrant l’utilisation de l’IA.
Ainsi, la compliance IA ne doit pas nécessairement prendre la forme d’une organisation lourde. Pour une TPE, elle peut commencer par quelques règles écrites et une sensibilisation des équipes ; pour une PME ou une ETI, elle pourra être progressivement structurée ; pour une grande entreprise, elle pourra s’intégrer à une gouvernance complète de l’IA.
L’essentiel est finalement de pouvoir répondre à quatre questions : quels outils utilisons-nous ? Pour quels usages ? Quels risques présentent-ils ? Qui les contrôle ?
C’est précisément dans cette traduction des exigences réglementaires en mesures concrètes, compréhensibles et proportionnées que l’avocat trouve toute sa place : non pour freiner l’innovation, mais pour permettre à l’entreprise de l’adopter en connaissance de cause et d’en conserver la maîtrise. Une bonne compliance est incontestablement un atout concurrentiel.