Droit doux, conséquences strictes : les directives de diligence en matière d’IA de l’OCDE

La “loi douce” n’est pas une loi proprement dite, mais elle en est plutôt un précurseur. Le 19 février 2026, l’Organisation pour la coopération et le développement économiques a publié sa…Conseils de due diligence pour l’IA responsableUn cadre volontaire, soutenu par tous les pays membres. Le document lui-même ne prévoit aucune sanctions, aucune amende, et ne peut être appliqué devant un tribunal. Son véritable importance réside ailleurs : il fournit aux activistes, aux investisseurs et aux régulateurs un langage commun pour exiger des entreprises technologiques qu’elles respectent les règles établies.

La directive étend le processus de due diligence existant dans l’OCDE – initialement conçu pour les chaînes d’approvisionnement, les droits de l’homme et les dommages environnementaux – à l’intelligence artificielle. Elle exige que les entreprises intègrent une pratique responsable dans leurs politiques.Identifier et évaluer les impacts négatifs réels ou potentiels.Il est nécessaire de prendre des mesures pour prévenir ou atténuer ces problèmes, de suivre les résultats obtenus, d’échanger des informations de manière transparente et de proposer des solutions appropriées en cas de besoin. Ce processus en six étapes est bien connu par ceux qui ont travaillé dans le cadre du régime de conduite d’entreprises responsables de l’OCDE. Ce qui est nouveau, c’est son application aux systèmes d’IA, aux chaînes de valeur et aux utilisateurs de ces systèmes.

Bien sûr, le document ne constitue pas en soi une menace réglementaire. La Loi sur l’IA de l’UE, qui est entrée en vigueur complète en août 2026, remplit cette fonction.Obligations juridiquement contraignantes, catégories de risques et le pouvoirLe nouveau bureau de l’IA du bloc a pour objectif d’imposer des amendes. Des cadres volontaires tels que le cadre de gestion des risques de l’OCDE, celui du NIST américain ou la norme ISO 42001 peuvent aider les entreprises à s’orienter correctement. Mais leur respect ne signifie pas nécessairement une conformité avec les lois contraignantes. Les directives de l’OCDE, tout comme celles de ses prédécesseurs, sont plutôt une sorte de boussole qu’une limite de vitesse.

Cependant, les normes volontaires finissent par devenir des critères de facto.1 000 initiatives de politique dans plus de 70 juridictionsJ’ai déjà rapporté ce qui suit en application des Principes d’IA originaux de l’OCDE, adoptés en 2019 et mis à jour en 2024. Les nouvelles directives relatives aux vérifications sont intégrées dans cet écosystème. Les Points de Contact Nationaux – mécanismes de recours – ont été établis…Chacun des 52 pays qui respectent les directives de l’OCDEPour les entreprises multinationales, il est possible d’接收 des plaintes de la part de toute personne ayant un intérêt légitime concernant une violation supposée des directives. Elles ne peuvent pas imposer de sanctions, mais elles peuvent jouer un rôle de médiateur, publier des déclarations publiques et formuler des recommandations. Une conclusion publique du NCP indiquant qu’une entreprise n’a pas respecté les nouvelles normes de vérification liées à l’IA ne entraîne pas de pénalité. Cependant, cela peut se produire lors d’un processus d’acquisition ou de fusion-acquisition, ou dans le cadre d’une crise de réputation. Ce mécanisme représente des risques spécifiques pour les entreprises, qui deviennent de plus en plus importantes à mesure que les systèmes d’IA s’intègrent de plus en plus dans leurs activités.

La question plus profonde n’est pas de savoir si ces directives sont contraignantes, mais qui en bénéficie. La standardisation favorise généralement les entreprises existantes. Les grandes entreprises technologiques disposent déjà des équipes juridiques, de l’infrastructure nécessaire et du budget pour mettre en place des programmes de vérification rigoureuse conformes aux six étapes de l’OCDE. Les petites entreprises, celles qui ont plus de chances d’essayer des outils d’IA prêts à l’emploi sans avoir une fonction de gouvernance dédiée, doivent faire face à des obstacles plus importants. Ainsi, ces directives peuvent agir comme un obstacle subtil à l’entrée sur le marché, augmentant ainsi le coût de la concurrence légitime, tout comme les exigences en matière de sécurité sanitaire ou d’environnement dans d’autres industries. L’OCDE elle-même ne tire pas cette conclusion. Mais la structure d’incitations indique bien dans cette direction.

Il existe également un risque plus subtil : la licence morale. Lorsque les entreprises adhèrent à une norme volontaire reconnue, elles peuvent en faire preuve comme témoignage de bonne foi. Les régulateurs et les tribunaux peuvent accepter ce geste au lieu d’une réforme plus substantielle. La loi sur l’IA de l’UE permet déjà cette tendance, en utilisant des instruments volontaires tels que son Pacte sur l’IA et ses codes de pratique, aux côtés des règles obligatoires. Si le cadre de règlement doux de l’OCDE devient un remplaçant pour des réglementations plus strictes, plutôt qu’un moyen de les mettre en œuvre, le résultat pourrait être une illusion de gouvernance – un monde où chacun dispose d’un programme de diligence appropriée, et personne n’est tenu responsable.

Cela dit, ces directives présentent des avantages concrets. Elles comblent un manque que les normes purement techniques ne peuvent pas résoudre. L’ISO 42001 propose une certification ; le NIST propose un guide pour la gestion des risques. Mais aucun de ces outils n’est conçu pour couvrir l’ensemble des problèmes que l’IA peut engendrer – des discriminations dans les algorithmes de recrutement jusqu’aux coûts environnementaux liés aux centres de données, en passant par les informations fausses à grande échelle et la manipulation de populations vulnérables. Le cadre établi par l’OCDE couvre tout cela. Son accent sur l’engagement des parties prenantes et les mesures de correction permet de remédier aux lacunes de nombreux instruments existants. L’OCDE elle-même souligne que l’approche de la diligence due peut compléter des cadres comme la loi sur l’intelligence artificielle de l’UE, la loi sur l’intelligence artificielle de Corée du Sud et le guide de l’ASEAN sur la gouvernance et l’éthique de l’intelligence artificielle, offrant ainsi plus de clarté là où les autres cadres manquent.

Le problème, c’est le timing. Les directives ont été publiées en février 2026, juste quelques mois avant que de nombreuses dispositions de la loi sur l’IA de l’UE ne deviennent contraignantes. Les entreprises qui opèrent à l’échelle internationale sont désormais confrontées à une série de règles obligatoires et de exigences légales diverses, chacune avec des catégories de risques différentes, des définitions spécifiques pour les acteurs concernés et des délais différents pour leur application. L’UE distingue entre fournisseurs, utilisateurs, importateurs et distributeurs ; l’OCDE parle plus généralement de « acteurs de l’IA ». L’UE interdit certaines pratiques ; l’OCDE demande aux entreprises d’évaluer et de atténuer ces risques. Une entreprise qui doit naviguer dans ces deux systèmes devra faire plus que de remplir des cases. Elle devra comprendre comment chaque système s’applique au autre, et où les forces d’un système compensent les faiblesses de l’autre.

Pour les investisseurs, cela signifie que « l’IA responsable » n’est plus une seule catégorie, mais plutôt un ensemble de exigences réglementaires à respecter. Une entreprise qui peut justifier sa démarche par des principes alignés sur ceux de l’OCDE est plus en mesure de résister aux pressions exercées par les investisseurs engagés dans les questions ESG, et d’éviter les conséquences réputationnelles liées à des plaintes concernant des normes de sécurité informatique. Mais l’absence d’un programme aligné sur les normes de l’OCDE ne constitue pas en soi un signe de négligence. De nombreuses entreprises peuvent remplir ces obligations grâce à la loi sur l’IA de l’UE, aux standards du NIST ou aux normes ISO. La question importante pour les actionnaires n’est pas de savoir si une entreprise suit un certain standard volontaire, mais si sa gouvernance en matière d’IA est adaptée aux réglementations en vigueur dans les pays où elle opère, et si ses systèmes ne génèrent pas de risques inutiles.

Les directives de l’OCDE concernant les procédures de vérification des actions prises par les entreprises peuvent être comprises non pas comme des réglementations en soi, mais plutôt comme une sorte d’infrastructure institutionnelle. Elles fixent un seuil minimal pour ce qui est considéré comme une conduite acceptable, même si elles ne permettent pas de fixer des limites strictes. Le fait que ce seuil soit utile ou simplement symbolique dépendra de ce qui se passera ensuite. Si les gouvernements et les tribunaux nationaux commencent à considérer l’alignement sur les normes de l’OCDE comme une preuve de comportement raisonnable – ou l’absence de cet alignement comme preuve de irresponsabilité – alors ces directives deviendront plus réelles. Sinon, elles resteront simplement des documents mentionnés dans les rapports annuels des entreprises, puis oubliés. Il semble plus probable que le premier scénario se produise. Dans un domaine où la technologie progresse plus rapidement que la législation, un vocabulaire commun constitue également une forme de pouvoir.