IA Act et vidéoprotection : ce qui change pour les collectivités

Le règlement européen sur l'intelligence artificielle, plus connu sous le nom d'IA Act, change progressivement la manière dont les organisations publiques doivent encadrer les systèmes capables d'analyser automatiquement des images. Pour les collectivités, le sujet dépasse largement la seule question technique. Il concerne la définition des usages, la preuve de conformité, la maîtrise des fournisseurs et la capacité à expliquer comment une alerte ou une recommandation est produite.

Dans le champ de la vidéoprotection, l'IA peut prendre plusieurs formes : détection automatique de situations, comptage de flux, recherche assistée dans les enregistrements, classification d'objets, analyse comportementale ou aide à la levée de doute. Toutes ces fonctionnalités ne présentent pas le même niveau de risque, mais elles ont un point commun : elles introduisent une couche algorithmique entre l'image captée et la décision humaine. C'est précisément cette couche que les collectivités doivent désormais documenter et gouverner.

Pourquoi les collectivités sont directement concernées

Les communes, intercommunalités, départements et opérateurs publics exploitent déjà des systèmes de vidéoprotection dans des contextes très variés : espaces publics, bâtiments administratifs, transports, équipements sportifs, zones d'activité ou centres de supervision urbains. Lorsque ces systèmes intègrent de l'intelligence artificielle, même sous la forme d'un module optionnel proposé par un éditeur, la collectivité reste responsable de son usage opérationnel.

Le premier enjeu consiste donc à distinguer ce qui relève d'une simple amélioration technique de ce qui relève d'une analyse automatisée ayant un impact sur les personnes. Un dispositif qui améliore la qualité d'image ne pose pas les mêmes questions qu'un outil qui détecte automatiquement un attroupement, signale un comportement inhabituel ou priorise certaines images à l'attention des opérateurs. Cette qualification conditionne le niveau de vigilance attendu.

Ce qu'il faut cadrer en priorité

Avant de lancer un marché, d'activer une fonctionnalité ou de généraliser un pilote, il est indispensable de poser un cadre clair. Ce cadrage doit associer les équipes sûreté, les services juridiques, la DSI, le délégué à la protection des données et les futurs exploitants du système. L'objectif n'est pas de freiner l'innovation, mais de s'assurer que l'outil répond à un besoin légitime, compris et maîtrisé.

• Identifier les fonctionnalités réellement assistées par IA : détection, classification, alerte, recherche ou aide à la décision.
• Décrire précisément les finalités poursuivies, les zones concernées, les horaires d'usage et les profils utilisateurs autorisés.
• Documenter les limites connues du dispositif : taux d'erreur, biais possibles, conditions de luminosité, météo, densité de foule ou angles morts.
• Définir les conditions d'intervention humaine : qui vérifie l'alerte, dans quel délai, avec quel niveau de traçabilité et selon quelle procédure.
• Aligner le projet avec le RGPD, les autorisations préfectorales et les règles internes de supervision.
• Prévoir des clauses contractuelles solides avec les fournisseurs, intégrateurs et mainteneurs.

Ne pas confondre IA et décision automatique

Dans un centre de supervision, l'IA doit rester une aide à l'analyse. Elle peut orienter l'attention d'un opérateur, accélérer une recherche ou signaler une situation potentiellement sensible, mais elle ne doit pas se substituer au discernement humain. Cette distinction est essentielle pour limiter les risques opérationnels et juridiques. Une alerte algorithmique doit toujours pouvoir être confirmée, infirmée ou contextualisée par une personne formée.

Cela suppose de travailler les procédures autant que la technologie. Que fait l'opérateur lorsqu'une alerte est déclenchée ? Comment consigne-t-il sa décision ? Comment traite-t-on les faux positifs ? À partir de quel seuil une fonctionnalité est-elle considérée comme trop imprécise pour être utilisée en exploitation courante ? Ces questions doivent être posées avant la mise en production, et non après les premiers incidents.

Les exigences documentaires à anticiper

L'une des évolutions majeures introduites par l'IA Act est l'importance accordée à la documentation. Une collectivité doit pouvoir expliquer pourquoi elle utilise une fonctionnalité d'IA, comment elle l'a paramétrée, quelles données sont traitées, quels risques ont été identifiés et quelles mesures de contrôle ont été mises en place. Cette documentation vient compléter les obligations déjà connues en matière de vidéoprotection et de protection des données personnelles.

En pratique, nous recommandons de constituer un dossier projet dédié, mis à jour tout au long du cycle de vie du système. Ce dossier peut inclure l'analyse fonctionnelle, les fiches de paramétrage, les notices éditeurs, les résultats de tests, les procédures opérateurs, les modalités d'information du public, les décisions de gouvernance et les comptes rendus de revue périodique. Plus cette documentation est construite tôt, plus elle devient utile pour piloter le projet au quotidien.

Le rôle clé du marché public

Les clauses du marché sont un levier déterminant. Elles doivent éviter les formulations trop générales du type “solution intelligente” ou “analyse vidéo avancée”, qui laissent au fournisseur le soin de définir seul le périmètre réel. Le cahier des charges doit au contraire préciser les cas d'usage autorisés, les performances attendues, les modalités de test, les obligations de transparence, les conditions de mise à jour logicielle et les responsabilités de chaque acteur.

Il est également prudent d'exiger une réversibilité claire. Une collectivité doit pouvoir désactiver une fonctionnalité, récupérer sa documentation, changer de prestataire ou limiter un module à certains sites sans remettre en cause toute son architecture de vidéoprotection. Cette souplesse est particulièrement importante dans un contexte réglementaire encore en consolidation.

Former les opérateurs et organiser le contrôle

La conformité ne repose pas uniquement sur les documents. Elle dépend aussi de la manière dont les équipes utilisent réellement l'outil. Les opérateurs doivent comprendre ce que l'IA sait faire, ce qu'elle ne sait pas faire, et pourquoi une alerte ne doit jamais être interprétée comme une preuve automatique. La formation doit intégrer des cas pratiques, des exemples de faux positifs et des consignes de traçabilité simples.

Un dispositif de revue périodique est tout aussi nécessaire. Les performances doivent être observées dans le temps, car un système peut se dégrader lorsque les usages changent, lorsque les caméras sont déplacées ou lorsque les conditions d'exploitation évoluent. Mesurer les alertes pertinentes, les alertes ignorées et les incidents d'usage permet d'ajuster le paramétrage et de décider objectivement si la fonctionnalité doit être maintenue.

Notre recommandation

Traitez l'IA comme une brique de gouvernance à part entière, dès la phase de cadrage, plutôt que comme une simple option logicielle ajoutée au marché. Une fonctionnalité d'analyse vidéo peut apporter de la valeur si elle répond à un usage précis, si elle reste compréhensible par les exploitants et si elle s'inscrit dans une architecture juridique, technique et opérationnelle maîtrisée.

Chez E-CONEX, nous accompagnons les collectivités dans cette démarche en croisant expertise sûreté, compréhension des systèmes numériques et exigence réglementaire. L'objectif est simple : permettre aux projets de vidéoprotection d'évoluer avec les nouveaux outils d'IA, sans perdre de vue la proportionnalité, la responsabilité publique et la qualité de l'exploitation terrain.