Ing. Calogero Bono
L'Agence pour l'Italie numérique (AgID) a adopté les Lignes directrices pour l'adoption de l'IA dans l'administration publique, avec la Détermination n.169 du 9 novembre 2026. Le texte est prévu par le Plan triennal pour l'informatique dans l'administration 2024-2026. Il donne des indications opérationnelles aux bureaux et aux organismes pour introduire des systèmes d'intelligence artificielle dans le respect des règles européennes et nationales. Il concerne aussi les fournisseurs et les développeurs qui travaillent avec l'administration.
Quelques termes, avant d'entrer dans les faits. AI Act est le règlement européen qui classe les systèmes d'IA selon leur niveau de risque. PDCA signifie Plan-Do-Check-Act, un cycle d'amélioration continue en quatre étapes. ISO/IEC 42001 est la norme internationale pour les systèmes de management de l'IA. UTD désigne les Bureaux pour la transition numérique présents dans les administrations. Poisoning et evasion sont des attaques qui polluent les données d'entraînement ou trompent le modèle.
Que sont les Lignes directrices de l'AgID sur l'IA ?
Selon l'AgID, il s'agit d'un document qui accompagne les administrations dans un usage conscient, efficace et responsable des technologies fondées sur l'IA. Elles suivent la procédure prévue par l'article 71 du Code de l'administration numérique (CAD).
Elles reprennent le cadre normatif européen et national et donnent des indications sur la conformité et l'impact organisationnel. Ceux qui veulent situer le contexte peuvent lire notre guide sur l'AI Act européen.
Qui a travaillé sur le document ?
Le texte a été élaboré au sein de la Table de concertation du Plan triennal. Y ont participé l'ACN, l'ANAC, l'ANCI, la Conférence des Régions, Consip, le Département de la Fonction publique, le Département pour la transformation numérique, l'INAIL, l'INPS, l'ISTAT, l'IPZS, le MEF, le MIMIT, PagoPA et l'UPI.
Le fait que des organismes centraux, des agences, des régions et des communes siègent ensemble suggère un document conçu pour être appliqué à des niveaux très différents. C'est une lecture de notre part, la source ne le dit pas.
Comment les administrations doivent-elles classer le risque ?
Les administrations sont tenues de classer les systèmes d'IA selon les niveaux de risque de l'AI Act. Elles doivent ensuite appliquer des exigences de transparence, de surveillance humaine et de responsabilité, surtout pour les solutions à haut risque.
Le modèle d'adoption repose sur le cycle PDCA et sur les normes ISO/IEC 42001, avec des outils d'autoévaluation de la maturité organisationnelle et technologique. Pour ceux qui développent des logiciels, nos articles sur les obligations de l'AI Act pour les développeurs sont un bon complément.
Que prévoient-elles pour les données, la sécurité et les compétences ?
La gestion des données est présentée comme un prérequis essentiel pour des systèmes fiables. Le document rappelle quatre principes, exactitude, cohérence, exhaustivité et actualité, et les associe à des mesures de cybersécurité contre evasion, poisoning, privacy et abuse attacks.
Sur le plan humain, il promeut un modèle d'IA anthropocentrique, avec un code de conduite éthique, des investissements dans l'alphabétisation numérique et la valorisation des profils spécialisés dans les UTD. Sur le plan technique, le guide sur le jailbreak et la prompt injection est également utile.
Limites à connaître
La source est l'annonce officielle de l'AgID, et non le texte intégral des Lignes directrices, que nous n'avons pas analysé ici. Nous ne savons pas quelles échéances, sanctions ou outils financiers accompagnent l'adoption. Il n'est pas clair comment les exigences envers les fournisseurs dans les appels d'offres vont évoluer. Le texte pourrait être mis à jour avec le Plan triennal suivant.
Ce qui change pour ceux qui travaillent dans le numérique
Si tu vends des logiciels ou des services à des organismes publics, attends-toi à des demandes sur la classification des risques, la documentation et la qualité des données. Mieux vaut avoir prêts des processus de surveillance humaine et des mesures de sécurité spécifiques à l'IA. Pour les indépendants, le même principe s'applique à petite échelle, et notre guide sur l'IA pour les PME t'aide à démarrer sans gaspiller. Qui conçoit des solutions sur mesure devra raisonner dès le départ sur les données et la traçabilité.
Notre avis
Le document va dans la bonne direction, car il place les données et les compétences avant la technologie. Le risque est qu'il reste une liste de formalités pour les petits organismes, avec peu de bureaux et un personnel peu formé. Le cycle PDCA ne fonctionne que si quelqu'un a le temps de vérifier réellement. Sans ressources ni formation, la conformité peut devenir un exercice sur papier.
Questions fréquentes
Qui a adopté les Lignes directrices ?
L'Agence pour l'Italie numérique, avec la Détermination n.169 du 9 novembre 2026. Le texte est prévu par le Plan triennal pour l'informatique dans l'administration 2024-2026.
À qui s'adressent-elles ?
Aux administrations publiques qui adoptent des systèmes d'IA. Elles donnent des indications opérationnelles sur la conformité réglementaire et l'impact organisationnel.
Que doit faire l'administration concernant le risque ?
Elle doit classer les systèmes d'IA selon l'AI Act. Pour ceux à haut risque, la transparence, la surveillance humaine et la responsabilité sont requises.
Qu'est-ce que le cycle PDCA ?
C'est un modèle d'amélioration continue en quatre étapes, Plan-Do-Check-Act. Les Lignes directrices le combinent avec la norme ISO/IEC 42001 et des outils d'autoévaluation.
Quelles menaces de sécurité sont citées ?
Evasion, poisoning, privacy et abuse attacks. Le document les traite avec des mesures de cybersécurité associées à la qualité des données.
Ce qu'il faut suivre après l'adoption des Lignes directrices
Le texte est adopté, mais l'épreuve décisive sera son application dans les organismes. Il y a trois points à suivre dans les prochaines semaines.
- Lis le texte complet publié par l'AgID et repère les exigences qui touchent ton travail.
- Vérifie si les prochains appels d'offres publics citent les Lignes directrices ou la norme ISO/IEC 42001.
- Observe la réaction des UTD, car ce seront tes interlocuteurs sur la partie technique.
