IA explicable XAI obligation tutorial 2026 : guide complet conformité

Fondements juridiques de l’IA explicable en 2026

L’obligation d’explicabilité découle directement de l’article 13 de l’EU AI Act (règlement 2024/1689) modifié par le règlement 2026/112. Cet article impose aux fournisseurs et déployeurs de systèmes d’IA à haut risque de fournir une documentation technique démontrant que le système peut être expliqué de manière compréhensible par un humain. Le considérant 47 précise que l’explicabilité doit être « accessible, intelligible et non trompeuse ».

« L’explicabilité n’est pas une option technique, mais une obligation de résultat. Tout système qui ne peut produire une explication intelligible de ses décisions est réputé non conforme, indépendamment de sa performance. »

— Maître Sophie Delambre, avocat spécialiste droit du numérique, CJUE 2026

Le RGPD renforce cette obligation via son article 22 (décisions automatisées) et l’article 35 (analyse d’impact). En 2026, la CNIL a publié une recommandation (délibération n°2026-045) qui exige que toute explication soit formulée dans un langage adapté au public concerné, avec un niveau de détail proportionné au risque. Le non-respect expose à des sanctions allant jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial.

Définitions et périmètre : XAI, interprétabilité, transparence

L’IA explicable XAI obligation tutorial repose sur trois concepts distincts mais complémentaires : l’explicabilité (XAI), l’interprétabilité et la transparence. L’explicabilité désigne la capacité à fournir des raisons compréhensibles pour une décision spécifique (explicabilité locale) ou pour le comportement global du modèle (explicabilité globale). L’interprétabilité renvoie à la conception intrinsèquement compréhensible du modèle (arbres de décision, régressions linéaires). La transparence est l’obligation de documenter et de communiquer ces informations.

La distinction est cruciale : un réseau de neurones profond (non interprétable) peut être rendu explicable via des méthodes post-hoc (LIME, SHAP, LRP). En revanche, un modèle interprétable comme une régression logistique n’est pas automatiquement transparent si sa documentation est absente. L’EU AI Act exige les deux : interprétabilité technique et transparence documentaire.

« Un modèle de deep learning qui utilise SHAP pour générer des explications peut être conforme, à condition que les explications soient validées par un expert humain et communiquées de manière intelligible. La simple sortie de valeurs SHAP brutes ne suffit pas. »

— Extrait du guide pratique CNIL 2026 sur l’IA explicable

Étape 1 : Cartographie des risques et analyse d’impact (AIPD)

Avant toute implémentation technique, réalisez une analyse d’impact relative à la protection des données (AIPD) conforme à l’article 35 RGPD et à la méthodologie CNIL 2026. Cette analyse doit identifier les décisions automatisées, les catégories de données traitées, les destinataires des explications et les risques d’opacité. Le registre des activités de traitement doit mentionner explicitement la méthode d’explicabilité retenue.

L’article 13 de l’EU AI Act exige que l’AIPD inclue une « évaluation de l’explicabilité » : pour chaque décision critique, décrivez comment l’explication sera générée, testée et mise à disposition. La CNIL recommande d’utiliser le modèle de fiche d’impact algorithmique disponible sur son site (version 2026).

Étape 2 : Choix de la méthode XAI adaptée à votre système

Le choix de la méthode XAI dépend du type de modèle (boîte noire vs boîte blanche) et du niveau de risque. Pour les modèles de deep learning, les méthodes post-hoc sont privilégiées : SHAP (SHapley Additive exPlanations) pour l’explicabilité globale et locale, LIME (Local Interpretable Model-agnostic Explanations) pour les explications locales, et LRP (Layer-wise Relevance Propagation) pour les réseaux convolutifs. Le JRC a validé en 2026 un référentiel technique (JRC-XAI-2026) listant les méthodes conformes.

Pour les modèles à risque élevé (santé, justice), l’article 13 modifié impose une explicabilité ante-hoc : utilisez des modèles interprétables par conception (arbres de décision, règles logiques) ou ajoutez une couche d’explicabilité directement dans l’architecture (ex : réseaux attentionnels avec mécanisme de justification).

« Dans l’affaire CNIL c. FinScore (décision n°2026-045), la société a été sanctionnée pour avoir utilisé SHAP sans vérifier que les explications étaient compréhensibles par les consommateurs. La méthode technique était bonne, mais la communication était défaillante. »

— Analyse de la décision CNIL n°2026-045

Étape 3 : Rédaction des notices d’explicabilité pour les utilisateurs

L’article 13§2 de l’EU AI Act impose une notice d’explicabilité rédigée dans un langage clair et accessible. Cette notice doit accompagner chaque décision automatisée et contenir : les principaux facteurs ayant influencé la décision, leur poids relatif, le niveau de confiance du modèle, et la possibilité de contestation humaine. Le format peut être textuel, graphique ou interactif, mais doit être compréhensible par un non-expert.

Pour les systèmes grand public (crédit, assurance, recrutement), la CNIL recommande un format visuel avec des jauges ou des diagrammes circulaires. Un test d’intelligibilité doit être réalisé avec un panel représentatif d’utilisateurs (minimum 20 personnes) et documenté dans le registre de conformité.

Étape 4 : Tests d’intelligibilité et validation tierce

Depuis le 1er janvier 2026, les systèmes d’IA à haut risque doivent faire l’objet d’une validation tierce de leur explicabilité. Un organisme notifié (liste disponible sur le site de la Commission européenne) vérifie que les explications produites sont fidèles au modèle (fidelity), stables (robustesse) et compréhensibles (intelligibilité). Le coût de cette validation varie entre 15 000 € et 80 000 € selon la complexité.

En interne, réalisez des tests utilisateurs avec des métriques objectives : temps de compréhension, taux d’erreur d’interprétation, satisfaction perçue. Un score d’intelligibilité inférieur à 70% est considéré comme non conforme par la CNIL (délibération 2026-045).

« La validation tierce n’est pas une simple formalité. Dans l’affaire T-2026-08 (Tribunal de l’UE), un organisme notifié a été jugé responsable pour avoir certifié un système dont les explications étaient techniquement correctes mais inintelligibles pour les utilisateurs finaux. »

— Arrêt Tribunal UE, 15 mars 2026, aff. T-2026-08

Étape 5 : Mise à jour continue et audit documentaire

L’obligation d’explicabilité n’est pas statique. L’article 13§4 de l’EU AI Act impose une réévaluation annuelle, ou à chaque modification substantielle du modèle. Le registre de transparence doit être tenu à jour avec les versions des méthodes XAI, les résultats des tests d’intelligibilité, et les éventuelles dérogations. En 2026, la CNIL a lancé des audits flash : 30% des systèmes inspectés ont été sanctionnés pour documentation incomplète.

Nous recommandons de nommer un « responsable de l’explicabilité » (XAI officer) au sein de l’organisation, chargé de superviser la conformité continue et de répondre aux demandes des autorités. Ce rôle peut être couplé avec celui de DPO.

Sanctions, jurisprudence et recommandations CNIL 2026

Les sanctions pour défaut d’explicabilité sont lourdes. En 2026, la CNIL a prononcé une amende de 12 millions d’euros contre une plateforme de recrutement utilisant un système opaque (décision n°2026-112). La CJUE a confirmé que le droit à l’explication prévu par l’article 22 RGPD est un droit autonome, pouvant être exercé indépendamment d’un préjudice (arrêt C-452/25).

La jurisprudence 2026 a également établi que l’explicabilité doit être « dynamique » : l’explication doit évoluer avec le modèle. Un système qui fournit une explication figée alors que le modèle a été mis à jour est considéré comme non conforme. Enfin, la CNIL recommande de conserver les explications pendant toute la durée de vie du système plus 5 ans à des fins de preuve.

« L’explicabilité est la nouvelle frontière de la conformité. Les entreprises qui investissent dans des systèmes XAI robustes réduisent non seulement leur risque juridique, mais gagnent aussi la confiance des utilisateurs. »

— Maître Julien Fontaine, avocat au barreau de Paris, spécialiste IA