IA et marchés publics : ce que les acheteurs publics doivent savoir sur la conformité
Les collectivités, ministères et établissements publics intègrent de plus en plus des outils algorithmiques dans leurs procédures d'achat : scoring automatique des offres, détection des conflits d'intérêts, analyse sémantique des candidatures. Cette numérisation accélérée soulève une question centrale pour les DPO, RSSI et responsables conformité : qui est responsable quand l'algorithme se trompe ou discrimine ? Décryptage des obligations applicables et des réflexes à adopter dès maintenant.
Le cadre réglementaire applicable aux systèmes IA en marchés publics
L'AI Act classe certains usages comme « haut risque »
Le règlement européen sur l'intelligence artificielle (AI Act, applicable à partir d'août 2026 pour les systèmes à haut risque) place explicitement dans l'annexe III les systèmes d'IA utilisés par des autorités publiques pour évaluer l'éligibilité des personnes à des prestations ou services publics. L'analyse automatisée de candidatures à un marché public entre dans ce périmètre dès lors qu'elle influence substantiellement la décision finale.
Concrètement, un acheteur public qui déploie un outil de scoring des offres doit s'assurer que ce système :
- fait l'objet d'une évaluation de conformité avant mise en service ;
- dispose d'une documentation technique accessible aux autorités de contrôle ;
- intègre une supervision humaine effective (human oversight), c'est-à-dire qu'un agent public valide chaque décision critique sans se contenter d'entériner mécaniquement le résultat algorithmique.
Le Code de la commande publique et l'obligation de transparence
Indépendamment de l'AI Act, le Code de la commande publique impose que les critères de sélection soient définis, pondérés et communiqués aux candidats avant la remise des offres (article R. 2152-6). L'utilisation d'un algorithme ne dispense pas l'acheteur de cette obligation : si l'outil recalcule implicitement les pondérations ou introduit des sous-critères non publiés, la procédure est susceptible d'annulation par le juge administratif.
Le Conseil d'État a d'ores et déjà sanctionné des procédures où la méthode de notation n'était pas suffisamment explicite (CE, 31 mars 2017, Département de la Seine-Maritime). Intégrer un algorithme opaque renforce ce risque contentieux.
Le RGPD : les données des candidats sont des données personnelles
Les dossiers de candidature contiennent des données à caractère personnel (dirigeants, effectifs, références nominatives). Toute opération de traitement automatisé doit respecter le RGPD, notamment :
- l'article 22 sur les décisions automatisées : si le rejet d'une candidature repose exclusivement sur un traitement automatisé, le candidat a le droit d'obtenir une intervention humaine ;
- l'obligation de réaliser une AIPD (analyse d'impact) pour les traitements susceptibles d'engendrer un risque élevé, ce qui est généralement le cas pour les systèmes de scoring algorithmique à grande échelle.
Non-discrimination : le risque sous-estimé des biais algorithmiques
Des biais qui se cachent dans les données d'entraînement
Un système entraîné sur des marchés historiquement attribués à de grands groupes tendra mécaniquement à pénaliser les PME ou les entreprises de l'économie sociale et solidaire. Ce biais indirect peut constituer une discrimination indirecte au sens du droit de l'Union, même en l'absence d'intention discriminatoire.
Exemple concret : une ville utilise un outil SaaS d'analyse financière pour évaluer la solidité économique des candidats. L'algorithme, entraîné sur des données du secteur privé, attribue systématiquement un score défavorable aux associations disposant d'un fonds de roulement atypique. Résultat : toutes les associations sont évincées dès la phase de candidature, sans que l'acheteur ait conscience du phénomène.
Audit de biais et registre des algorithmes publics
La loi française pour une République numérique (2016) impose déjà aux administrations de mentionner l'existence d'un traitement algorithmique lorsqu'il fonde une décision individuelle, et de communiquer les règles de fonctionnement à la demande de l'intéressé. Cette obligation, souvent négligée, s'articule naturellement avec les exigences de l'AI Act.
Bonne pratique : tenir un registre interne des algorithmes utilisés dans les procédures d'achat, documentant l'objectif du système, les données utilisées, la fréquence d'audit des biais et les responsables désignés.
Responsabilité de l'acheteur public : qui répond en cas d'erreur ?
L'acheteur reste l'autorité contractante responsable
Déléguer une partie de l'analyse à un prestataire IA ne transfère pas la responsabilité juridique à ce prestataire. L'acheteur public demeure pleinement responsable de la régularité de la procédure au regard du droit de la commande publique. En cas de recours, le juge administratif appréciera si l'acheteur a exercé un contrôle suffisant sur le système utilisé.
Il convient donc de négocier contractuellement avec le fournisseur :
- l'accès à la documentation technique du modèle ;
- des audits périodiques de biais et de performance ;
- des clauses de notification en cas de dérive du système (concept drift) ;
- la portabilité des données en cas de changement de prestataire.
Shadow AI : le risque invisible dans les directions achats
Un risque souvent négligé est celui du shadow AI : des agents utilisent des outils IA grand public (ChatGPT, Copilot en mode non sécurisé) pour analyser des offres ou rédiger des rapports d'analyse, sans que la DSI ou le DPO en soient informés. Ces usages non encadrés exposent l'acheteur à des violations du RGPD (transfert de données hors UE) et rendent impossible toute traçabilité de la décision.
La mise en place d'une politique d'usage de l'IA opposable aux agents, associée à un catalogue d'outils validés, est une priorité pour les responsables conformité des entités publiques.
Plan d'action pour les acheteurs publics
- Cartographier tous les systèmes algorithmiques utilisés dans le cycle achat (sourcing, analyse des offres, détection des conflits d'intérêts).
- Qualifier le niveau de risque AI Act de chaque outil et engager les fournisseurs sur la fourniture d'une déclaration de conformité.
- Réaliser une AIPD pour les traitements impliquant un scoring automatisé de candidats.
- Publier les méthodes de notation dans les documents de consultation, y compris lorsqu'elles sont partiellement algorithmiques.
- Former les agents à l'obligation de supervision humaine : le résultat de l'algorithme est une aide à la décision, non une décision.
- Encadrer le shadow AI par une charte d'usage interne et un catalogue d'outils approuvés.
La conformité en matière d'IA marchés publics n'est pas une contrainte supplémentaire : c'est la condition pour que la modernisation des achats publics reste juridiquement solide et socialement acceptable. Les DPO et RSSI ont ici un rôle de conseil stratégique à jouer, bien en amont du déploiement des outils.
FAQ
Un acheteur public peut-il utiliser un algorithme pour noter les offres ?
Oui, à condition que les critères et la méthode de notation soient publiés avant la remise des offres, qu'une supervision humaine effective valide chaque décision, et que le système respecte les exigences de l'AI Act si celui-ci est classé à haut risque.
L'AI Act s'applique-t-il déjà aux marchés publics ?
Les dispositions relatives aux systèmes à haut risque s'appliquent à partir d'août 2026, mais les acheteurs doivent anticiper dès maintenant en cartographiant leurs outils et en engageant leurs fournisseurs sur la conformité.
Que risque un acheteur public si son algorithme produit des résultats discriminatoires ?
Il s'expose à l'annulation de la procédure par le juge administratif, à des sanctions RGPD de la CNIL et, en cas de discrimination indirecte avérée, à une mise en cause sur le fondement du droit de l'Union européenne.
Le fournisseur de l'outil IA est-il responsable à la place de l'acheteur ?
Non. L'acheteur public reste l'autorité contractante responsable de la régularité de la procédure. Le fournisseur peut partager une responsabilité contractuelle, mais ne se substitue pas à l'acheteur vis-à-vis du droit de la commande publique.
Qu'est-ce que le shadow AI et pourquoi est-il problématique dans les achats publics ?
Le shadow AI désigne l'utilisation d'outils IA non approuvés par les agents (ex. : ChatGPT pour analyser des offres). Cela peut entraîner des transferts illicites de données personnelles, une absence de traçabilité des décisions et une exposition au risque contentieux.