[ETUDE] IA : 18 risques sur 24 pourraient provoquer des dommages catastrophiques d’ici 2030

L’intelligence artificielle est encore principalement évaluée dans les entreprises à travers ses gains de productivité, ses économies potentielles et sa capacité à accélérer certaines décisions. Cette lecture reste incomplète. À mesure que les outils deviennent plus autonomes et s’intègrent au recrutement, à la finance, à la santé ou à la sécurité, leurs défaillances peuvent produire des effets qui dépassent largement le périmètre informatique.

L’étude Prioritization of Risks from Artificial Intelligence apporte une méthode de hiérarchisation à ce débat. Les chercheurs ont interrogé 272 experts issus de 37 pays, appartenant au monde académique, à l’industrie, aux pouvoirs publics et à la société civile. Quelque 214 participants ont achevé les trois tours du processus Delphi, organisés entre septembre et novembre 2025.

À chaque tour, les experts ont évalué les risques, pris connaissance des réponses agrégées et des arguments anonymisés de leurs pairs, puis éventuellement révisé leur jugement. Ils ont examiné 24 familles de risques issues d’une taxonomie construite à partir de 1 725 risques recensés dans 74 cadres existants. Le travail ne prédit donc pas l’avenir avec certitude : il synthétise des jugements d’experts afin d’identifier les menaces à traiter en priorité.

Le scénario actuel dépasse les seuils habituels de tolérance

Les participants ont travaillé sur deux scénarios. Le premier, qualifié de Business as Usual, suppose que les entreprises et les gouvernements poursuivent leurs pratiques sans ajouter de nouvelles mesures spécifiquement consacrées aux risques de l’IA. Le second suppose l’adoption de mesures pragmatiques, raisonnables et économiquement soutenables.

Dans le premier scénario, 18 risques sur 24 obtiennent une probabilité moyenne supérieure à 10 % de produire un résultat catastrophique entre 2025 et 2030. L’étude définit notamment ce niveau par plus d’un million de morts, plus de 100 milliards de dollars de pertes ou des dommages immatériels d’échelle civilisationnelle, comme un effondrement des normes démocratiques ou de la protection de la vie privée.

Les risques jugés les plus sévères concernent les capacités dangereuses développées par les modèles, les dynamiques de concurrence entre développeurs, les armes et cyberattaques, la concentration du pouvoir et la diffusion de fausses informations. Ce classement souligne que le danger ne vient pas uniquement d’une machine qui échapperait au contrôle humain. Il peut également résulter d’un usage malveillant, d’une course commerciale ou d’une délégation excessive de décisions sensibles.

Les protections pragmatiques réduisent sans supprimer le danger

La prise en compte de mesures pragmatiques fait diminuer la sévérité attendue des 24 risques. Elle ne les ramène toutefois pas à un niveau résiduel. Cinq familles conservent une probabilité catastrophique supérieure à 10 % : les capacités dangereuses des modèles, les armes et cyberattaques, les dommages environnementaux, les inégalités et la dégradation de l’emploi, ainsi que la centralisation du pouvoir.

Les trois premières restent autour de 12 %, tandis que les risques liés aux inégalités et à la concentration du pouvoir atteignent environ 11 %. Tous les risques étudiés conservent par ailleurs une probabilité catastrophique supérieure à 5 %, même dans le scénario intégrant des protections supplémentaires.

Ces estimations doivent être interprétées avec prudence. Les « mesures pragmatiques » n’ont pas été définies sous la forme d’un programme réglementaire identique pour tous les répondants. Les experts ont donc pu imaginer des dispositifs différents. Les auteurs reconnaissent également que les spécialistes du risque ne sont pas nécessairement des prévisionnistes calibrés et qu’ils peuvent attribuer aux événements extrêmes des probabilités plus élevées que des prévisionnistes généralistes.

L’échantillon demeure géographiquement déséquilibré, avec 79 % de participants issus d’Europe ou d’Amérique du Nord. Les résultats ne constituent donc pas une mesure objective du risque. Leur intérêt réside dans le signal collectif : même après plusieurs tours de confrontation des jugements, les experts ne considèrent pas les protections actuellement envisageables comme suffisantes.

La vulnérabilité et le pouvoir d’agir sont séparés

La contribution la plus structurante de l’étude tient à la distinction entre vulnérabilité et responsabilité. Les utilisateurs des systèmes et les populations affectées sont considérés comme les plus exposés. Pourtant, les experts attribuent la responsabilité principale de la prévention aux développeurs d’IA généraliste et aux acteurs de la gouvernance, notamment les gouvernements, les régulateurs et les organismes de normalisation.

Les auteurs décrivent cette séparation comme une forme de risque moral. Les entreprises qui construisent les modèles disposent des compétences techniques, des capacités de calcul et des moyens nécessaires pour renforcer leur sécurité. Mais ralentir un lancement, limiter certaines fonctionnalités ou investir davantage dans les tests peut leur imposer un coût concurrentiel immédiat, alors que les bénéfices de la précaution profitent à l’ensemble de la société.

À l’inverse, les entreprises clientes et leurs salariés peuvent subir les erreurs, les biais, les fuites d’informations, les cyberattaques ou les suppressions de postes sans disposer d’un accès suffisant au fonctionnement du modèle. Le contrat commercial transfère alors l’usage de la technologie sans transférer une capacité équivalente à évaluer ou à réduire ses risques.

Information, finance et sécurité sont en première ligne

Les secteurs de l’information et de la sécurité nationale apparaissent comme les plus vulnérables sur l’ensemble des risques. Les médias, les télécommunications et les activités de traitement des données sont directement exposés à la désinformation, à la manipulation, à la perte de confidentialité et à la dégradation de la confiance.

La finance et l’assurance sont particulièrement vulnérables aux fraudes, aux manipulations de marché, aux cyberattaques et aux défaillances de systèmes automatisés. Dans la santé, les experts signalent une forte exposition aux atteintes à la vie privée, aux discriminations et à la surconfiance envers des outils dont les erreurs peuvent avoir des conséquences humaines immédiates.

Pour les dirigeants, cette cartographie impose de différencier les usages. Un assistant chargé de reformuler un document interne ne présente pas le même niveau de criticité qu’un modèle influençant un crédit, un diagnostic, une promotion ou une décision de sécurité. La gouvernance doit être proportionnée au dommage possible, et pas uniquement au coût ou à la sophistication de l’outil.

La fonction RH doit protéger les compétences et les décisions

Le risque d’inégalités et de dégradation de l’emploi est l’un des cinq qui demeurent au-dessus du seuil de 10 % malgré les mesures pragmatiques. Pour les DRH, le problème ne se limite donc pas au nombre de postes automatisables. Il concerne la répartition des gains, la qualité des emplois restants, les parcours d’apprentissage et la capacité des salariés à conserver une autonomie professionnelle.

Les profils juniors sont particulièrement exposés. Une partie de leur apprentissage repose traditionnellement sur des tâches préparatoires : rechercher, synthétiser, rédiger une première version, produire une analyse simple ou corriger des erreurs. Si ces activités sont entièrement confiées à l’IA, l’entreprise peut améliorer sa productivité immédiate tout en supprimant les situations par lesquelles se construisent les compétences futures.

La perte d’autonomie représente un deuxième risque. Des salariés habitués à déléguer la rédaction, l’analyse et la recommandation peuvent progressivement perdre leur capacité à repérer une incohérence. La compétence ne consiste donc plus seulement à savoir utiliser un outil, mais à pouvoir reprendre la main lorsque sa réponse est fausse, biaisée ou inadaptée.

Le troisième enjeu concerne les décisions RH elles-mêmes. Un algorithme de présélection, d’évaluation ou de détection du désengagement peut reproduire les biais contenus dans les données historiques. L’intervention humaine ne doit pas devenir une simple validation automatique. Le décideur doit comprendre les critères employés, pouvoir contester le résultat et assumer personnellement la décision finale.

La gouvernance de l’IA doit sortir de la seule DSI

La première mesure consiste à soumettre chaque usage à une évaluation conjointe associant la direction générale, la DSI, les RH, les juristes, la cybersécurité et les métiers. Cette instance doit déterminer la finalité du système, les données employées, les populations exposées, les conséquences d’une erreur et les modalités de recours.

La deuxième consiste à interdire les décisions individuelles exclusivement automatisées dans les domaines les plus sensibles : recrutement, rémunération, promotion, sanction et licenciement. Le maintien d’un humain dans la boucle n’a de valeur que si celui-ci possède les informations, les compétences et l’autorité nécessaires pour refuser la recommandation algorithmique.

La troisième priorité porte sur la formation. La littératie en IA ne peut plus se limiter à apprendre à rédiger des instructions efficaces. Elle doit couvrir les hallucinations, les biais, la confidentialité, la vérification des sources et la responsabilité individuelle. Les salariés doivent également connaître les données qu’ils peuvent transmettre à un outil externe et celles qui doivent rester dans un environnement protégé.

Enfin, les contrats avec les fournisseurs doivent intégrer des obligations d’information, d’audit, de sécurité, de continuité et de réversibilité. Une entreprise ne peut pas supprimer ses compétences internes puis découvrir qu’elle ne sait plus fonctionner sans un modèle opaque dont elle ne maîtrise ni l’évolution ni les conditions d’accès.

L’enjeu n’est donc pas d’arrêter l’adoption de l’IA, mais de rééquilibrer le pouvoir entre ceux qui la conçoivent, ceux qui la déploient et ceux qui en supportent les conséquences. Pour la fonction RH, cette responsabilité commence par une question simple : lorsque l’algorithme se trompe, qui peut encore comprendre l’erreur, contester la décision et protéger le salarié ?