La règlement européen sur l'IA n'est pas un système de certification de produits qui atteste de la conformité d'un outil après une évaluation ponctuelle. Il s'agit d'un cadre réglementaire horizontal applicable à tous les secteurs et qui impose des obligations en fonction des fonctionnalités et de l'utilisation du système, indépendamment de son appellation commerciale ou de sa catégorie de produit.
Juridiquement, un " système d'IA " est défini fonctionnellement : il s'agit d'un système automatisé conçu pour fonctionner avec différents niveaux d'autonomie et pour déduire, à partir de données d'entrée, comment générer des résultats tels que des prédictions, du contenu, des recommandations ou des décisions. Les logiciels classiques qui se contentent d'exécuter des règles entièrement définies par des humains ne correspondent pas à cette définition, même s'ils effectuent des notations ou de l'automatisation. Ce qui importe, c'est le fonctionnement réel du système ; l'appellation marketing " basé sur l'IA " est sans rapport avec sa classification.
La loi est souvent expliquée à l'aide d'un modèle de risque à quatre niveaux, bien que ces catégories ne reflètent pas pleinement tous les régimes réglementaires contenus dans la législation :
- Risque inacceptable – Les pratiques qui sont formellement interdites, notamment certaines formes de notation sociale et de catégorisation biométrique fondées sur des caractéristiques particulièrement sensibles.
- risque élevé – En particulier, les systèmes utilisés dans certains domaines énumérés dans Annexe III, ainsi que les systèmes d'IA qui servent de composants de sécurité dans les produits relevant de la législation européenne spécifique. Ces systèmes sont soumis aux exigences de documentation et de conformité les plus strictes.
- Risque limité Certains systèmes, comme les chatbots, sont principalement soumis à des obligations de transparence envers les utilisateurs finaux. Les systèmes de reconnaissance des émotions peuvent également être soumis à des exigences de transparence, bien que leur utilisation soit généralement interdite dans certains contextes, notamment sur les lieux de travail et dans les établissements d'enseignement.
- Risque minimal La plupart des applications d'IA courantes appartiennent à cette catégorie, notamment de nombreux outils d'analyse interne et les solutions d'automatisation SaaS standard. Elles ne sont pas soumises aux exigences strictes applicables aux systèmes à haut risque. Cependant, les obligations générales, telles que les mesures relatives à la sensibilisation à l'IA, peuvent néanmoins concerner les fournisseurs et les déployeurs.
La loi établit également une distinction entre plusieurs rôles d'opérateurs assortis de responsabilités différentes, notamment : fournisseur (qui développe un système d'IA, ou en fait développer un, et le commercialise sous son propre nom), le déployeur (qui utilise un système d'IA dans un contexte professionnel), ainsi que les importateurs, les distributeurs et les représentants agréés. Une entreprise peut cumuler plusieurs rôles, par exemple si elle développe une fonctionnalité d'IA et l'utilise également en interne.
Comment déterminer si un logiciel relève de l’IA à haut risque ?
La classification à haut risque dépend principalement de la finalité prévue du système et du contexte dans lequel il est utilisé, et non du fait qu'il utilise ou non l'apprentissage automatique ou que le terme " IA " apparaisse dans la description du produit.
En principe, deux voies distinctes doivent être envisagées. Premièrement, un système d'IA peut être considéré comme présentant un risque élevé s'il s'agit d'un composant de sécurité d'un produit couvert par Annexe I, ou si le système d'IA lui-même est un produit réglementé. Deuxièmement, certaines utilisations prévues énumérées dans Annexe III peut entraîner une classification à haut risque.
L’annexe III couvre des domaines tels que les systèmes biométriques, la gestion des infrastructures critiques, l’éducation et la formation professionnelle, l’emploi et la gestion de la main-d’œuvre (y compris le recrutement, la promotion et le licenciement), l’accès aux services essentiels privés et publics, y compris certaines évaluations de solvabilité, l’application de la loi, la migration et le contrôle des frontières, ainsi que l’administration de la justice et des processus démocratiques.
Toutefois, un cas d’utilisation figurant à l’annexe III n’est pas automatiquement considéré comme présentant un risque élevé en toutes circonstances. Sous certaines conditions, un système peut être exempté s’il ne présente pas de risque significatif pour la santé, la sécurité ou les droits fondamentaux des personnes physiques. Les systèmes effectuant le profilage des personnes physiques sont soumis à des règles plus strictes à cet égard.
On croit souvent, à tort, que tout produit SaaS B2B doté d'une fonctionnalité d'IA intégrée présente automatiquement un risque élevé. Ce n'est pas le cas. La classification dépend de la fonction spécifique du produit, et non de sa catégorie. Un système CRM avec un système de notation des prospects basé sur l'IA, par exemple, n'est pas automatiquement considéré comme à haut risque, sauf si cette notation est utilisée dans un contexte réglementé pour prendre des décisions concernant des personnes physiques.
Un processus de classification pratique pourrait ressembler à ceci :
- Étape 1 – Évaluez la fonction, et non le produit. Identifiez la fonctionnalité spécifique qui effectue une tâche basée sur l'inférence et décrivez son résultat ainsi que son impact potentiel sur les personnes physiques.
- Étape 2 – Vérifiez les deux itinéraires à haut risque. Déterminez d’abord si le système relève des règles relatives aux produits de l’annexe I, puis évaluez si son objectif correspond à une catégorie énumérée dans l’annexe III.
- Étape 3 – Examiner les exemptions possibles. Pour les systèmes relevant de l’annexe III, déterminer si les conditions d’une exemption de classification à haut risque peuvent s’appliquer.
- Étape 4 – Documentez le raisonnement. Une auto-évaluation écrite et datée constitue une première étape judicieuse et fournit une base traçable pour les évaluations futures.
- Étape 5 – Réévaluer après des changements importants. Si la finalité, les fonctionnalités ou le contexte de déploiement du système changent de manière significative, sa classification doit être réexaminée.
À titre d’exemples pratiques, citons un tableau de bord analytique SaaS doté d’une fonction de prévision, qui ne serait généralement pas considéré comme présentant un risque élevé ; un modèle d’apprentissage automatique intégré utilisé pour évaluer la solvabilité des personnes physiques sur une plateforme fintech, qui pourrait être considéré comme présentant un risque élevé ; et certains composants d’IA utilisés dans le matériel de contrôle industriel, à condition qu’ils constituent des composants de sécurité pertinents en vertu de la législation sur la sécurité des produits mentionnée dans la Loi.
Quels sont les délais de mise en conformité prévus par le règlement européen sur l’IA ?
Les obligations découlant de la règlement européen sur l'IA entrent en vigueur progressivement. La date d'application dépend de l'exigence spécifique et du rôle de l'entreprise concernée. Depuis l'entrée en vigueur de la loi, certaines périodes de transition ont également été ajustées.
| Date | Type d'obligation | Affecte principalement |
|---|---|---|
| 2 février 2025 | Pratiques d'IA interdites et obligations en matière de culture de l'IA | Fournisseurs et déployeurs de systèmes d'IA |
| 2 août 2025 | Règles relatives aux modèles d'IA à usage général et à la gouvernance | Principalement des fournisseurs de modèles GPAI |
| 2 août 2026 | D'autres dispositions essentielles, notamment les obligations de transparence prévues à l'article 50 | Fournisseurs et déployeurs de certains systèmes d'IA |
| 2 décembre 2027 | Exigences relatives aux systèmes à haut risque relevant des catégories pertinentes de l'annexe III | Fournisseurs et déployeurs de systèmes à haut risque |
| 2 août 2028 | Règles à haut risque pour les systèmes d'IA intégrés à certains produits réglementés | Fournisseurs de systèmes d'IA pertinents liés aux produits |
Les délais applicables varient également selon le rôle de l'opérateur. Les fournisseurs ont généralement des obligations plus importantes car ils sont responsables de domaines tels que la documentation technique, la conformité et la conception du système. Les déployeurs, en revanche, ont des responsabilités opérationnelles telles que la supervision et le contrôle humains lorsque cela est nécessaire pour le système concerné. Les importateurs et les distributeurs sont soumis à leurs propres obligations de vérification et d'information.
Des dispositions transitoires spécifiques peuvent s'appliquer aux systèmes et modèles déjà utilisés ou commercialisés avant l'entrée en vigueur des exigences concernées. Les équipes doivent donc évaluer les règles applicables à leurs produits existants. Le cadre réglementaire étant en constante évolution grâce à des orientations et des mesures complémentaires, il convient de vérifier les délais en vigueur au Journal officiel de l'Union européenne ou sur le portail « Stratégie numérique » de la Commission européenne.
Quels documents conserver pour respecter le règlement européen sur l’IA ?
Les exigences en matière de documentation varient considérablement selon la classification des risques du système et le rôle de l'organisation. Les systèmes à haut risque sont soumis aux exigences les plus strictes. Pour les systèmes principalement soumis à des obligations de transparence, la charge documentaire est nettement allégée.
Obligatoire pour les fournisseurs de systèmes à haut risque :
- Documentation technique conforme à l'annexe IV, couvrant des domaines tels que la conception du système, l'objectif visé, les données pertinentes et les indicateurs de performance.
- Documents relatifs au système de gestion des risques, en documentant les risques identifiés, les mesures d'atténuation et les décisions concernant le risque résiduel tout au long du cycle de vie du système.
- Documentation sur la gouvernance des données, où les données d'entraînement, de validation et de test sont pertinentes pour le système.
- dispositions relatives à la surveillance humaine, définissant comment les personnes responsables peuvent surveiller adéquatement le système et intervenir le cas échéant.
- Preuves relatives à l'évaluation de la conformité, y compris la déclaration de conformité et, le cas échéant, l'intervention d'un organisme notifié.
Les exigences permanentes comprennent :
- Surveillance post-commercialisation pour suivre les performances du système et identifier les problèmes potentiels après son déploiement.
- Registres d'incidents graves, lorsque des obligations de déclaration correspondantes s'appliquent.
- Journal des modifications documenter les modifications matérielles apportées au modèle, au système ou à l'usage prévu.
Pour les systèmes soumis à des obligations de transparence :
- Avis de transparence, par exemple lorsque les utilisateurs doivent être informés qu'ils interagissent avec un système d'IA.
- Selon le système, des exigences supplémentaires peuvent s'appliquer à l'étiquetage ou à la détectabilité du contenu généré ou manipulé par l'IA.
Les logiciels à risque minimal ne requièrent généralement pas la documentation technique complète figurant à l'annexe IV. Toutefois, la conservation d'une brève trace écrite des motifs de classification peut s'avérer utile. Les entreprises doivent également évaluer si des exigences plus générales, telles que les obligations en matière de connaissances en IA, s'appliquent à leur activité.
Les fournisseurs de modèles d'IA à usage général sont soumis à un régime réglementaire et de documentation distinct.
Le règlement européen sur l’IA s’applique-t-il aux fournisseurs établis hors de l’UE ?
La règlement européen sur l'IA a également une portée extraterritoriale. Une entreprise n'a pas besoin d'avoir une présence juridique dans l'UE pour être concernée. Les éléments déclencheurs pertinents peuvent inclure la mise sur le marché de l'UE d'un système ou d'un modèle d'IA, la mise en service d'un système d'IA dans l'UE ou l'utilisation, au sein de l'UE, d'un résultat généré par un tel système.
Cela est globalement comparable à la logique extraterritoriale du RGPD, bien qu'aucun des deux régimes ne repose sur la citoyenneté de l'UE. Ce qui importe, ce sont les facteurs de rattachement territorial définis par la législation applicable.
Pour les fournisseurs SaaS américains ou britanniques, cela signifie que proposer un système d'IA sur le marché européen peut les soumettre à la loi, même sans établissement local. L'étendue précise de leurs obligations dépendra alors du type de système, de son utilisation prévue et du rôle de l'entreprise.
Les prestataires établis hors de l'UE doivent généralement désigner un représentant autorisé au sein de l'UE Avant de mettre à disposition un système d'IA à haut risque sur le marché européen, certains fournisseurs non européens de modèles GPAI sont également soumis à des exigences de représentation. En revanche, les fournisseurs d'autres types de systèmes ne sont pas automatiquement tenus de désigner un représentant au sein de l'UE.
Les entreprises qui ont déjà établi un cadre de conformité au RGPD – notamment des flux de données documentés, des responsabilités claires et des processus de gouvernance établis – peuvent présenter un avantage structurel, car un certain nombre d’exigences organisationnelles se chevauchent.
Quelles sanctions s’appliquent en cas de non-conformité au règlement européen sur l’IA ?
Les sanctions prévues par la règlement européen sur l'IA sont graduées en fonction de la gravité de l'infraction. Les montants indiqués ci-dessous correspondent aux plafonds légaux et non à des amendes automatiques.
- Infractions liées aux pratiques d'IA interdites peut entraîner des amendes pouvant aller jusqu'à 35 millions d'euros, soit 71 000 milliards de dollars de chiffre d'affaires annuel mondial.
- Autres manquements aux obligations prévues par la règlement sur l'IA peut entraîner des amendes pouvant aller jusqu'à 15 millions d'euros, soit 31 000 milliards d'euros de chiffre d'affaires annuel mondial.
- Fournir des informations incorrectes, incomplètes ou trompeuses aux autorités compétentes peut entraîner des amendes pouvant aller jusqu'à 7,5 millions d'euros, soit 11 000 milliards de dollars de chiffre d'affaires annuel mondial.
- Traitement des PME : Pour les petites et moyennes entreprises, le plafond applicable correspond généralement au montant le plus faible entre le montant fixe et le pourcentage du chiffre d'affaires annuel. Pour les autres entreprises, c'est généralement le montant le plus élevé qui s'applique.
La sanction applicable dépend de la nature, de la gravité, de la durée et des autres circonstances de l'infraction. Les fournisseurs de modèles d'IA à usage général sont également soumis à un régime de sanctions distinct.
Pour les petits fournisseurs SaaS, cela ne signifie toutefois pas que la conformité puisse être négligée. Un processus de classification traçable, des responsabilités clairement documentées et des procédures de surveillance appropriées permettent d'identifier rapidement les risques réglementaires et de fournir une preuve tangible de la manière dont les décisions en matière de conformité ont été prises.
Comment structurer la mise en conformité d’une équipe logicielle avec le règlement européen sur l’IA
La première étape la plus judicieuse pour un fournisseur de logiciels est une auto-classification documentée et datée de son système d'IA – ne pas souscrire immédiatement à un service de certification tiers ni à un logiciel de conformité. Il convient d’évaluer à la fois la voie d’accès à la classification à haut risque liée au produit et les catégories de l’annexe III.
Même une brève note interne établissant une correspondance entre les caractéristiques individuelles du produit et ses utilisations prévues et les catégories réglementaires pertinentes peut créer une base claire et traçable pour les examens futurs à mesure que le produit ou les directives réglementaires évoluent.
La classification, la documentation et le suivi des échéances doivent être traités comme un processus interne récurrent Il s'agit d'une modification liée à des changements importants de produits, et non d'un projet de mise en conformité ponctuel assorti d'une seule échéance. Si la finalité, les fonctionnalités ou le contexte de déploiement d'un système évoluent de manière significative, les équipes doivent réévaluer la validité de la classification existante.
Questions fréquemment posées
L’utilisation de modèles d’IA open source entraîne-t-elle une responsabilité supplémentaire ?
L'intégration d'un modèle d'IA tiers ou open source dans un produit n'exempte pas automatiquement une organisation de ses obligations réglementaires. Une entreprise peut toujours être considérée comme le fournisseur de son propre système d'IA même si le modèle tiers sous-jacent est intégré sans modification.
Parallèlement, la règlement sur l'IA comprend des dispositions spécifiques et, dans certains cas, des exemptions pour les systèmes et modèles sous licence libre et open source. Ces exemptions ne sont pas sans limites, notamment pour certains systèmes à haut risque ou modèles GPAI présentant un risque systémique. Les fournisseurs doivent donc documenter les composants provenant de tiers et définir leur propre rôle au sein de la chaîne de valeur de l'IA.
Un chatbot est-il automatiquement classé comme système à risque limité ?
De nombreux chatbots sont principalement soumis à des exigences de transparence et peuvent, par exemple, devoir informer les utilisateurs qu'ils interagissent avec un système d'IA.
Toutefois, si un chatbot est utilisé pour prendre des décisions dans un contexte à haut risque – comme l’évaluation de candidats à l’embauche ou la détermination de l’accès à certains services publics ou privés – sa fonction sous-jacente peut elle-même être considérée comme à haut risque. Ce qui importe donc, ce n’est pas l’interface de chat, mais la finalité réelle du système.
Une entreprise peut-elle auto-certifier un système d’IA à haut risque sans audit externe ?
Une évaluation interne de la conformité est possible pour divers cas d'utilisation à haut risque. Toutefois, dans certaines situations – notamment pour des systèmes biométriques spécifiques ou des systèmes liés à des produits réglementés – d'autres procédures d'évaluation de la conformité ou l'intervention d'un organisme notifié peuvent être nécessaires.
La procédure applicable dépend donc du système spécifique et de la voie réglementaire concernée.
Quel est le lien entre le règlement européen sur l’IA, ISO 42001 et le NIST AI RMF ?
Les normes ISO 42001 et le cadre de gestion des risques liés à l'IA du NIST sont des cadres de gestion et de gestion des risques volontaires, tandis que la règlement européen sur l'IA est une législation contraignante assortie d'obligations et de sanctions exécutoires.
Les organisations ayant déjà mis en œuvre de tels systèmes de gestion constateront souvent d'importantes similitudes dans des domaines tels que la gestion des risques, la gouvernance et la documentation. Cela peut réduire les efforts supplémentaires nécessaires à la conformité à la règlement sur l'IA, mais ne remplace pas une évaluation des exigences légales spécifiques.
