La gouvernance IA d’un transporteur ou d’un logisticien consiste à recenser chaque usage de l’IA, à le classer selon le règlement européen sur l’IA (RIA), à nommer un responsable par usage et à conserver les preuves des décisions. Les outils qui évaluent ou pilotent les chauffeurs et les préparateurs de commandes exigent le plus de rigueur.
Un chauffeur évalué par un score automatique, un entrepôt où un algorithme répartit les tâches, un assistant de rédaction qui reçoit des lettres de voiture : dans la logistique, l’IA est déjà partout, et rarement déclarée. Le responsable IA d’un groupe de transport doit pouvoir répondre en une journée à trois questions d’un client, d’un auditeur ou d’un représentant du personnel : quels systèmes utilisons-nous, qui en répond, et que se passe-t-il quand ils se trompent ?
Pourquoi la logistique est plus exposée qu’elle n’en a l’air
Le secteur combine trois facteurs de risque. Il emploie beaucoup de salariés dont le travail est mesuré en continu (tournées, cadences de picking, temps de conduite). Il manipule des données de clients et de partenaires dans des chaînes de sous-traitance longues. Et il achète de l’IA de partout : modules intégrés aux logiciels de gestion de transport (TMS) et d’entrepôt (WMS), outils de prévision de la demande, assistants généralistes utilisés directement par les équipes.
Le premier risque est juridique. Le règlement (UE) 2024/1689, publié au Journal officiel de l’Union européenne et consultable sur EUR-Lex, classe parmi les systèmes à haut risque ceux qui servent à gérer les travailleurs : répartition des tâches selon le comportement individuel, suivi et évaluation des performances. Un algorithme qui note les chauffeurs ou ordonne la charge de travail d’un entrepôt peut donc entrer dans cette catégorie. Le second risque est opérationnel : une prévision de volumes erronée ou un itinéraire mal optimisé coûte vite plus cher que l’outil lui-même.
Quels usages d’un transporteur relèvent du RIA ?
Tous les usages ne se valent pas. Le travail du responsable IA commence par un tri, usage par usage, plutôt que par une politique générale. Le tableau suivant donne une première lecture, à valider avec votre juriste sur le texte en vigueur.
| Usage courant en logistique | Lecture RIA probable | Ce qu’il faut documenter |
|---|---|---|
| Optimisation d’itinéraires et de tournées | Risque minimal en général | Propriétaire métier, données utilisées, indicateurs d’erreur |
| Prévision de la demande et des stocks | Risque minimal en général | Version du modèle, écart prévu/réalisé |
| Score de performance ou classement des chauffeurs | Possible haut risque (gestion des travailleurs) | Finalité, intervention humaine, information des salariés |
| Répartition automatique des tâches en entrepôt selon le comportement individuel | Possible haut risque | Critères, droit de contestation, journal des décisions |
| Détection de fatigue ou de distraction au volant | À analyser de près : le RIA interdit l’inférence d’émotions au travail, avec une exception pour la sécurité | Base juridique, données conservées, avis des représentants du personnel |
| Assistant conversationnel de service client | Obligation de transparence | Mention « vous échangez avec une IA », règles de supervision |
Le point de départ reste l’inventaire. Le guide des obligations du déployeur détaille ce que le règlement attend d’une organisation qui utilise des systèmes d’IA sans les avoir conçus, ce qui décrit la situation de la plupart des logisticiens.
Le Shadow IA existe aussi à l’exploitation et aux achats
On associe le Shadow IA aux équipes marketing ou juridiques. Dans un groupe de transport, les cas typiques sont différents : un affréteur qui colle des conditions tarifaires dans un assistant public pour comparer des offres, un responsable d’agence qui fait résumer des constats de litige contenant des données personnelles, un acheteur qui fait rédiger un cahier des charges à partir de contrats clients confidentiels. Aucun de ces gestes n’est malveillant, tous sortent de votre périmètre de contrôle.
La CNIL publie des recommandations sur l’IA et le RGPD, rassemblées sur sa page Intelligence artificielle. Leur principe central s’applique ici : dès qu’un outil traite des données personnelles, il faut une finalité définie, une base légale et une maîtrise de ce que devient la donnée. Pour mesurer l’ampleur du phénomène chez vous, comparez les outils déclarés aux flux réellement observés. La page Maîtriser le Shadow AI de Fruggr décrit cette cartographie des usages.
Qui répond de quoi : fournisseur, déployeur, ou les deux ?
Le RIA distingue le fournisseur, qui développe ou fait développer un système, et le déployeur, qui l’utilise sous sa propre autorité. Un transporteur qui achète un module de scoring à un éditeur de TMS est en principe déployeur. Il porte alors ses propres obligations : utiliser le système conformément à sa notice, confier la supervision à des personnes compétentes, conserver les journaux générés et informer les représentants du personnel avant la mise en service d’un système à haut risque sur le lieu de travail.
Le statut change si vous modifiez substantiellement l’usage prévu. Un module de prévision réentraîné par votre équipe data pour noter les chauffeurs peut vous faire basculer du côté du fournisseur. C’est un point à vérifier dans le texte et avec votre juriste, car le règlement prévoit des cas de changement de rôle le long de la chaîne de valeur. Dans les contrats avec vos éditeurs, demandez trois choses : la classification de risque retenue par le fournisseur, la documentation technique mise à disposition, et l’engagement de vous prévenir en cas de changement de modèle.
Implications pour la France et l’Union européenne
Le calendrier du RIA est échelonné : les interdictions et l’obligation de formation à l’IA s’appliquent depuis 2025, les obligations pour les modèles d’IA à usage général depuis août 2025, et celles des systèmes à haut risque ont fait l’objet de propositions de report dans le cadre du paquet « omnibus numérique ». Vérifiez le texte et le calendrier en vigueur avant de fixer vos échéances, par exemple via le suivi indépendant de artificialintelligenceact.eu, qui n’a pas de valeur officielle.
Côté sanctions, le règlement prévoit des amendes administratives dont le plafond dépend de la gravité du manquement, jusqu’à 7 % du chiffre d’affaires mondial pour les pratiques interdites. Les montants exacts sont à vérifier dans le texte avant toute présentation au comité exécutif. En France, la CNIL reste l’interlocuteur pour tout ce qui touche aux données personnelles, y compris celles des salariés, ce qui concerne directement les systèmes de suivi de conduite. Pour un panorama des textes applicables à votre activité, consultez la page Réglementations IA.
Un plan en 90 jours pour un responsable IA de la logistique
Un programme réaliste tient en trois étapes, que l’on peut mener sans attendre la fin des débats sur le calendrier.
Jours 1 à 30, inventaire. Listez les usages d’IA par direction (exploitation, entrepôts, achats, RH, service client) en croisant trois sources : les contrats éditeurs, les déclarations des managers et les flux réseau. Notez pour chaque usage un propriétaire métier, une finalité et les données concernées.
Jours 31 à 60, classification. Appliquez la grille du tableau ci-dessus. Isolez les usages qui évaluent ou pilotent des personnes : ce sont eux qui nécessitent une analyse d’impact, une information des représentants du personnel et une supervision humaine documentée.
Jours 61 à 90, preuves et pilotage. Mettez en place un registre unique, des règles d’usage des assistants publics et un point trimestriel avec la direction juridique. Les référentiels comme la norme ISO/IEC 42001 (système de management de l’IA) et le NIST AI RMF structurent cette démarche ; la page Sécuriser ma conformité IA montre comment relier ces référentiels à un registre d’usages.
À retenir
- Commencez par l’inventaire des usages, pas par une charte : sans liste des systèmes, aucune classification n’est défendable devant un client ou un auditeur.
- Les outils qui notent ou répartissent le travail des chauffeurs et des préparateurs sont ceux qui peuvent relever du haut risque ; traitez-les en premier.
- Votre rôle (déployeur ou fournisseur) dépend de l’usage réel : verrouillez-le dans les contrats éditeurs et vérifiez le calendrier du RIA avant de fixer vos échéances.
Pour aller plus loin : Reliez votre inventaire aux exigences du RIA et d’ISO/IEC 42001 avec la page Sécuriser ma conformité IA.
FAQ
Dans la majorité des cas, déployeur : il utilise des systèmes achetés ou intégrés à ses logiciels. Il devient fournisseur s’il développe un système ou en modifie substantiellement l’usage prévu. À confirmer avec votre juriste sur le texte en vigueur.
Le règlement classe parmi les systèmes à haut risque ceux qui servent à gérer les travailleurs, notamment pour répartir les tâches ou évaluer les performances. Un score individuel automatisé peut donc entrer dans cette catégorie ; l’analyse se fait au cas par cas.
Définissez une liste d’outils autorisés, interdisez le dépôt de données personnelles ou confidentielles dans les outils non autorisés, et mesurez l’écart entre outils déclarés et usages observés.
Par un recensement sur 30 jours croisant contrats éditeurs, déclarations des managers et flux réseau, avec un propriétaire métier et une finalité par usage.
Cet article a été rédigé avec l’assistance de l’IA et relu par l’équipe de Fruggr avant publication.