Analyse approfondie de la loi européenne sur l'IA

1. Aperçu

Qu'est-ce que la loi européenne sur l'IA

Le règlement (UE) 2024/1689, communément appelé EU AI Act, est la première réglementation horizontale globale en matière d'intelligence artificielle au monde. Il est entré en vigueur le 1er août 2024 avec une application progressive : pratiques interdites (article 5) et obligations de maîtrise de l’IA (article 4) à partir du 2 février 2025 ; obligations en matière de modèles d’IA à usage général (chapitre V) à partir du 2 août 2025 ; l’essentiel des obligations à haut risque (article 6 / Annexe III) à partir du 2 août 2026 ; et les systèmes à haut risque intégrés dans les produits réglementés (Annexe I) à compter du 2 août 2027. Le texte complet consolidé est publié au Journal Officiel à l'adresse eur-lex.europa.eu.

À qui s’applique-t-il

La loi s'applique de manière extraterritoriale. Il lie les fournisseurs plaçant des systèmes d’IA sur le marché de l’UE, les déployeurs utilisant des systèmes d’IA dans l’UE, les importateurs et les distributeurs, ainsi que tout fournisseur ou déployeur en dehors de l’UE dont les résultats du système sont utilisés dans l’Union. Ce champ d’application est plus large que le RGPD en termes d’obligation et plus restreint en termes d’objet.

Niveaux de risque

• Pratiques d'IA interdites (Article 5) — notation sociale par les autorités publiques, identification biométrique à distance en temps réel dans les espaces publics (à quelques exceptions près), exploitation des vulnérabilités, police prédictive basée uniquement sur le profilage, grattage non ciblé d'images faciales, inférence d'émotions sur les lieux de travail et dans l'éducation.
• Systèmes d'IA à haut risque (Article 6, Annexe III) — huit domaines définis, dont l'identification biométrique, les infrastructures critiques, l'éducation et la formation professionnelle, l'emploi et la gestion des travailleurs, l'accès aux services essentiels, l'application de la loi, les migrations et le contrôle des frontières, l'administration de la justice et les processus démocratiques.
• Systèmes d’IA à risque limité — obligations de transparence (article 50): informer les utilisateurs lorsqu'ils interagissent avec l'IA, étiqueter les deepfakes, divulguer des contenus synthétiques.
• Systèmes d'IA à risque minimal — pas d'obligations spécifiques au-delà des codes volontaires.
• Modèles d'IA à usage général (GPAI) (Chapitre V) — régime distinct ; obligations supplémentaires pour les GPAI présentant un risque systémique (seuils de l'article 51, actuellement 10 ^ 25 FLOP de formation cumulés).

Résultat

Pour la plupart des fournisseurs à haut risque, la loi exige une évaluation de la conformité (article 43), le marquage CE, l'enregistrement dans la base de données de l'UE et une surveillance après commercialisation (article 72). Pour les déployeurs, les obligations comprennent une évaluation de l'impact sur les droits fondamentaux (article 27) pour certains systèmes de l'annexe III, la surveillance humaine, la surveillance et le signalement des incidents.

Clarify Consult Partner accompagne ses clients à travers la Service de conformité à la loi européenne sur l’IA, fréquemment associé à notre Système de management de l'IA ISO 42001 mise en œuvre. Pour un cas pratique de superposition de la gouvernance de l'IA sur un SMSI existant, consultez notre article de blog approfondi. Comment intégrer ISO 42001 à ISO 27001 sans reconstruire votre SMSI.

2. Portée et applicabilité

Portée matérielle

Un « système d'IA » au sens de l'article 3(1) est un système basé sur une machine conçu pour fonctionner avec différents niveaux d'autonomie, qui peut faire preuve d'adaptabilité et qui déduit des entrées comment générer des sorties (prédictions, contenus, recommandations, décisions) qui peuvent influencer les environnements physiques ou virtuels. La Commission européenne a publié des lignes directrices clarifiant cette définition en février 2025.

Zones à haut risque de l'annexe III

1. Catégorisation biométrique, reconnaissance des émotions (hors contextes interdits), identification biométrique à distance
2. Infrastructures critiques (numérique, trafic routier, eau, gaz, chauffage, électricité)
3. Enseignement et formation professionnelle (admission, évaluation, suivi)
4. Emploi, gestion des travailleurs, accès au travail indépendant (recrutement, performance, répartition des tâches, suivi)
5. Accès aux services privés et publics essentiels (évaluation du crédit, prestations publiques, répartition des services d'urgence, tarification des assurances vie et santé)
6. Application de la loi (dans le cadre de la compétence de l'Union)
7. Migration, asile, contrôle des frontières
8. Administration de la justice et processus démocratiques

Article 6, paragraphe 3, dérogation

Un système qui autrement relèverait de l’annexe III ne présente pas de risque élevé s’il ne présente pas de risque de préjudice important. Le prestataire doit documenter et justifier cette dérogation. L’Office européen de l’IA devrait publier des orientations supplémentaires.

Fournisseur vs Déployeur

• Fournisseur — développe ou a développé un système d'IA et le met sur le marché ou le met en service sous son propre nom. Ensemble d’obligations les plus lourdes.
• Déployeur — utilise un système d'IA sous son autorité, autrement que pour une activité personnelle non professionnelle. Les obligations comprennent la surveillance humaine, la surveillance, l’évaluation de l’impact sur les droits fondamentaux dans des cas définis et le signalement des incidents.
• Importateur, distributeur, fabricant de produits, représentant autorisé — chacun a défini la responsabilité aux articles 22 à 27.

Modèles GPAI

Les modèles formés sur de vastes ensembles de données capables d'effectuer des tâches générales sont les GPAI. À partir du 2 août 2025, les fournisseurs sont soumis à des obligations de documentation, de droit d'auteur et de transparence. Les modèles dépassant le seuil de risque systémique de l'article 51 (actuellement 10^25 FLOP de formation cumulés) sont soumis à des obligations supplémentaires d'évaluation du modèle, de tests contradictoires, de déclaration d'incidents et de cybersécurité en vertu de l'article 55. Le Bureau européen de l'IA a co-développé un code de bonnes pratiques pour la GPAI, finalisé à la mi-2025.

3. Principes fondamentaux

La loi s'appuie sur sept principes tirés des lignes directrices éthiques du groupe d'experts de haut niveau : l'action humaine et la surveillance ; robustesse technique et sécurité ; confidentialité et gouvernance des données ; transparence; diversité, non-discrimination et équité ; bien-être sociétal et environnemental; responsabilité. Ces principes correspondent aux obligations opérationnelles du titre III pour les systèmes à haut risque.

Principes opérationnels clés pour les prestataires à haut risque :

• La gestion des risques est un processus itératif tout au long du cycle de vie (article 9)
• La gouvernance des données doit aborder la pertinence, la représentativité, les erreurs et les biais (article 10)
• La documentation technique doit être maintenue à jour (article 11, annexe IV)
• La journalisation est intégrée dès la conception (article 12)
• La transparence envers les déployeurs comprend l'objectif prévu, les caractéristiques de performance et les mesures de surveillance humaine (article 13).
• Le contrôle humain est conçu dans (Article 14)
• La précision, la robustesse et la cybersécurité sont validées et maintenues (article 15)

4. Panne du contrôle

Article 9 — Système de gestion des risques

But: Identifiez, estimez, évaluez et atténuez les risques pour la santé, la sécurité et les droits fondamentaux tout au long du cycle de vie de l’IA.
Attentes minimales : Méthodologie documentée ; risque résiduel avant et après atténuation ; tests, y compris contre une utilisation abusive raisonnablement prévisible ; mise à jour continue grâce à la surveillance post-commercialisation.
Preuve: Registre des risques, journal d'atténuation, acceptation des risques résiduels, enregistrements d'examen périodique.

Article 10 — Données et gouvernance des données

But: Assurez-vous que les ensembles de données de formation, de validation et de test sont adaptés à leur objectif.
Attentes minimales : Documentation sur la provenance des données, analyse de la pertinence et de la représentativité, détection et atténuation des biais, contrôles de la qualité des données, traitement des catégories spéciales au titre de l'article 10, paragraphe 5, lorsque cela est strictement nécessaire.
Preuve: Fiches techniques, rapports sur les biais statistiques, enregistrements de préparation des données.
Lacunes courantes : Aucun enregistrement formel de l'origine des ensembles de données ou de la provenance des annotations ; tests de biais limités à un seul axe démographique.

Article 11 — Documentation technique

But: Démontrer la conformité pour l’évaluation de la conformité.
Attentes minimales : Documentation conforme à l'annexe IV couvrant la description du système, les spécifications de conception, la méthodologie de développement, les données de formation, la validation, le déploiement, la surveillance post-commercialisation et le contrôle des modifications.
Preuve: Dossier technique, documentation sous contrôle de version, matrice de traçabilité.

Article 12 — Tenue de registres (journalisation)

But: Activez la surveillance post-commercialisation et les enquêtes sur les incidents.
Attentes minimales : Journalisation automatique tout au long de la durée de vie opérationnelle ; contenu minimal pour les systèmes d'identification biométrique à distance spécifié à l'article 12, paragraphe 2 ; période de conservation adaptée à l’usage prévu et d’au moins six mois pour le déployeur.
Preuve: Inventaire des journaux, politique de conservation, exemples d’exportations de journaux.

Article 13 — Transparence envers les déployeurs

But: Équipez les déployeurs pour qu’ils utilisent le système de manière appropriée.
Attentes minimales : Instructions d'utilisation couvrant l'usage prévu, les mesures de précision et de performance, les limitations connues, les mesures de surveillance humaine, les ressources informatiques, la durée de vie prévue et la maintenance.
Preuve: Mode d'emploi publié, fiche modèle, résumé des performances.

Article 14 — Surveillance humaine

But: Assurez-vous qu’une personne physique puisse surveiller et intervenir.
Attentes minimales : Mesures de surveillance conçues par le prestataire ; documenté dans les instructions d'utilisation ; le déployeur les implémente en fonctionnement.
Preuve: Procédure de surveillance, dossiers de formation des opérateurs, journaux de remplacement.

Article 15 — Précision, robustesse, cybersécurité

But: Maintenir la fiabilité et la sécurité opérationnelles.
Attentes minimales : Niveaux de précision déclarés dans les instructions ; la résilience aux erreurs, aux pannes, aux incohérences, aux attaques contradictoires (empoisonnement des données, évasion de modèle, injection rapide pour les systèmes génératifs) et aux attaques de confidentialité ; documenté dans la documentation technique.
Preuve: Rapports de tests, évaluations de robustesse contradictoire, enregistrements de gestion des vulnérabilités, tests d'intrusion des pipelines d'inférence d'IA. Voir notre service de tests d'intrusion.

Articles 16 à 21 — Obligations du fournisseur

Système de gestion de la qualité, tenue à jour de la documentation technique, enregistrement dans la base de données de l'UE (article 49), évaluation de la conformité, déclaration UE de conformité (article 47), marquage CE (article 48), mandataire s'il n'est pas établi dans l'UE.

Articles 26 à 27 — Obligations du déployeur

Agir selon les instructions, attribuer une surveillance humaine compétente, surveiller les opérations, conserver les journaux, informer le fournisseur des incidents et des risques, mener une analyse d'impact sur les droits fondamentaux (article 27) pour certains services publics de l'annexe III et contextes de notation de crédit.

Article 43 — Évaluation de la conformité

Pour la plupart des systèmes de l'Annexe III, contrôle interne par le prestataire (Annexe VI). Pour les systèmes d'identification biométrique et les systèmes intégrés aux produits de l'annexe I, évaluation par un tiers par un organisme notifié. Résultat : Déclaration UE de conformité et marquage CE.

Articles 72 à 73 — Surveillance post-commercialisation et déclaration d'incidents

Les fournisseurs maintiennent un plan de surveillance post-commercialisation, collectent des données opérationnelles et documentent les actions correctives. Les incidents graves (article 3, paragraphe 49) et les infractions généralisées doivent être signalés à l'autorité de surveillance du marché dans des délais définis (immédiatement pour les incidents mortels ; au plus tard 15 jours dans le cas contraire ; plus courts pour les incidents liés à une violation des droits fondamentaux au sens de l'article 73, paragraphe 3).

5. Exigences minimales (non négociables)

Documents obligatoires

• Documentation technique de l'annexe IV
• Documentation de gestion des risques (article 9)
• Gouvernance des données et fiches de données (article 10)
• Mode d'emploi (article 13)
• Déclaration UE de conformité (article 47)
• Documentation du système de gestion de la qualité (article 17)
• Plan de surveillance post-commercialisation (article 72)
• Registre de déclaration d'incidents
• Modèle d’analyse d’impact sur les droits fondamentaux pour les déployeurs dans des contextes définis (article 27)
• Pour les fournisseurs GPAI : modèle de documentation conformément à l’annexe XI ; pour les GPAI à risque systémique : modèles de rapports d'évaluation, tests contradictoires, évaluation de la cybersécurité

Processus obligatoires

• Gestion des risques du cycle de vie avec examen itératif
• Tests préalables au déploiement, y compris la robustesse contradictoire
• Surveillance post-commercialisation avec collecte de données structurée
• Déclaration d'incident grave à l'autorité de surveillance du marché
• Évaluation de la conformité avant mise sur le marché ou mise en service
• Programme d’alphabétisation en IA pour le personnel (article 4)
• Procédures opérationnelles de surveillance humaine

Contrôles techniques

• Journalisation intégrée au système (article 12)
• Contrôles de cybersécurité, y compris la robustesse des adversaires
• Contrôles de la qualité des données et des biais
• Contrôle d'accès et journalisation d'audit pour les opérations du système
• Surveillance de la dérive de précision en production

6. Conseils de mise en œuvre technique

Mappage à la norme ISO 42001

Le système de gestion de l'IA défini dans la norme ISO/IEC 42001:2023 constitue l'épine dorsale de la gouvernance pour la conformité à la loi sur l'IA. L'article 17 (gestion de la qualité) correspond aux articles 5 à 10 de la norme ISO 42001. L'article 9 (gestion des risques) correspond aux articles 6.1 et 8.2 de la norme ISO 42001 ainsi qu'aux contrôles de l'annexe A dans A.5 (politiques), A.6 (organisation) et A.8 (cycle de vie de l'IA). Les deux ne sont pas interchangeables, mais un programme aligné sur la norme ISO 42001 répond à la plupart des attentes en matière de documentation de l'AI Act. Voir notre Prestation ISO 42001.

Chevauchement de confidentialité

Les systèmes d’IA traitant des données personnelles restent entièrement soumis au RGPD. L’article 10, paragraphe 5, de la loi sur l’IA autorise le traitement de données de catégorie spéciale à des fins de correction des biais dans des conditions strictes. Une DPIA en vertu de l'article 35 du RGPD doit être réalisée le cas échéant et alignée sur la FRIA lorsque le déployeur déclenche l'article 27. Consultez notre Prestation RGPD et Prestation ISO 27701.

Gouvernance des données

• Maintenir la provenance des ensembles de données, y compris les enregistrements des fournisseurs ou de récupération
• Méthodologie d'annotation de documents et mesures d'accord entre annotateurs
• Exécutez des diagnostics de biais dans les catégories protégées et intersectionnelles
• Test sur des populations représentatives, y compris les cas extrêmes pertinents par rapport à l'objectif visé

Robustesse contradictoire

• Modélisation des menaces du pipeline d'inférence : empoisonnement des données, attaques d'évasion, extraction de modèles, inférence d'appartenance, injection rapide de modèles génératifs
• Appliquer la désinfection des entrées, le filtrage des sorties et la limitation du débit
• Pour les GPAI présentant un risque systémique, documenter les évaluations de l'équipe rouge par rapport à la méthodologie du Code de bonnes pratiques.

Surveillance humaine

• Implémenter les fonctions de remplacement et d'arrêt
• Former les opérateurs aux limites du système et aux indicateurs de confiance
• Enregistrer les interventions de surveillance pour l'audit

Cybersécurité

• Intégrer le système IA dans le SMSI existant (contrôles ISO 27001 ou SOC 2)
• Modèle de modèle de menace au service de l'infrastructure et protège les pondérations du modèle et les données de formation
• Surveillance continue de l'inférence pour les modèles anormaux

7. Exigences en matière de politiques et de procédures

• Politique d'IA (liant les rôles de fournisseur/déployeur à la gouvernance)
• Procédure de gestion des risques (article 9)
• Norme de gouvernance des données (article 10)
• Norme de documentation technique (Annexe IV)
• Norme d'enregistrement et de surveillance (article 12)
• Modèle de mode d’emploi (article 13)
• Procédure de surveillance humaine (article 14)
• Norme sur la cybersécurité pour l’IA (article 15)
• Plan de surveillance post-commercialisation (article 72)
• Procédure de signalement des incidents graves (article 73)
• Programme d'alphabétisation en IA (article 4)
• Modèle d’analyse d’impact sur les droits fondamentaux (article 27)
• Procédure du système de gestion de la qualité (article 17)

Pour les déploiements combinés ISO 42001 + AI Act + ISO 27001, la plupart des documents couvrent les trois. Voir notre Prestation ISO 42001.

8. Éléments probants et vérification

L'audit et l'inspection de surveillance effectués par les autorités nationales de surveillance du marché peuvent examiner toute documentation mentionnée ci-dessus. Les organismes notifiés inspectent la documentation technique, le système de gestion de la qualité et les preuves d'évaluation de la conformité, le cas échéant.

Catégories de preuves typiques

• Dossiers de gestion des risques : registre, traitement, acceptation des risques résiduels
• Enregistrements de gouvernance des données : fiches de données, rapports de biais, versionnage des ensembles de données
• Documentation technique : dossier annexe IV, matrice de traçabilité
• Dossiers de tests : validation, robustesse, contradictoire, précision
• Exportations forestières démontrant la conformité à l’article 12
• Registre des incidents et rapports d'incidents graves
• Données de surveillance post-commercialisation et analyses de tendances
• FRIA (déployeurs), DPIA (le cas échéant)
• Dossiers du système de gestion de la qualité, y compris les audits et la revue de direction

Éléments de correction courants

• La documentation de l'Annexe IV n'est pas maintenue à jour après les mises à jour du modèle
• La gestion des risques traitée comme un exercice ponctuel de pré-lancement
• Diagnostic de biais absent ou limité à une dimension
• L’évaluation de la cybersécurité traite l’IA comme une boîte noire sans tests de robustesse contradictoires
• FRIA et DPIA réalisés de manière isolée plutôt que coordonnée

9. Considérations sur le calendrier de mise en œuvre

Dates de candidature

• 2 février 2025 : pratiques interdites (article 5) et maîtrise de l’IA (article 4) applicables
• 2 août 2025 : obligations GPAI (Chapitre V), gouvernance, cadre de surveillance des marchés opérationnel
• 2 août 2026 : application complète à la plupart des systèmes à haut risque (Annexe III)
• 2 août 2027 : systèmes à haut risque intégrés dans les produits de l'annexe I ; les fournisseurs GPAI bénéficiant de droits acquis remplissent leurs obligations

Durée typique du programme du fournisseur

• Pratiques de blanchiment de capitaux matures et à haut risque figurant à l’Annexe III: 6 à 9 mois entre l’analyse des écarts et la préparation à l’évaluation de la conformité
• Pratiques de BC ponctuelles à haut risque figurant à l’Annexe III: 12 à 18 mois, y compris la mise en œuvre du système de gestion de la qualité et le remplissage de la documentation de l'annexe IV
• Modèle de risque systémique GPAI: continu — les obligations sont opérationnelles une fois le seuil franchi

Durée typique du programme de déploiement

• 3 à 6 mois pour un déploiement défini selon l'Annexe III, y compris FRIA, la formation des opérateurs et la procédure de surveillance

10. Exigences continues du BAU

• Collecte et examen des données de surveillance post-commercialisation
• Signalement d’incidents graves dans les délais légaux
• Documentation de l'Annexe IV maintenue à jour avec les modifications du modèle et des données
• Actualisation annuelle de l’évaluation des risques liés à l’IA
• Nouveaux tests périodiques de robustesse contradictoire sur les modèles de production
• Formation d'alphabétisation en IA mise à jour et actualisée chaque année
• Évaluation de la conformité actualisée en cas de modification substantielle (article 43, paragraphe 4)
• Pour les prestataires GPAI présentant des risques systémiques : évaluation continue du modèle et reporting des incidents

11. Niveaux de maturité

Conformité minimale

• Inventaire des systèmes d'IA concernés et des rôles de fournisseur/déployeur documentés
• Documentation technique de l'Annexe IV maintenue
• Procédure de gestion des risques en place
• Mode d'emploi publié
• Création d'un canal de signalement des incidents

Intermédiaire

• Système de gestion de l'IA intégré aligné sur la norme ISO 42001
• Gouvernance automatisée des données : suivi de la provenance, suivi de la qualité des données
• Tests de robustesse contradictoire dans CI/CD pour les mises à jour du modèle
• FRIA intégré à DPIA lorsque les données personnelles sont impliquées

Avancé

• Surveillance post-commercialisation continue avec détection statistique des dérives
• Combinaison de collecte de preuves ISO 27001 + ISO 27701 + ISO 42001 + AI Act
• Surveillance des biais et de l'équité en temps réel avec alerte
• Alignement mature du code de pratique GPAI et participation de l’équipe rouge externe

12. FAQ

Quand la loi sur l’IA commence-t-elle à faire effet ?

C’est déjà le cas. Les pratiques interdites sont en vigueur depuis le 2 février 2025. Les obligations des fournisseurs GPAI s'appliquent à partir du 2 août 2025. La plupart des obligations à haut risque s'appliquent à partir du 2 août 2026 et celles de l'annexe I pour les produits à haut risque intégrés à partir du 2 août 2027.

Sommes-nous un fournisseur ou un déployeur ?

Les obligations du fournisseur incombent à celui qui met le système sur le marché ou le met en service sous son propre nom. Si vous prenez un modèle tiers, le modifiez considérablement ou le changez de nom, vous pouvez devenir fournisseur. Si vous utilisez un système sous votre autorité à des fins professionnelles, vous êtes un déployeur. Une même organisation peut être à la fois destinée à différents systèmes.

Qu’est-ce qui constitue un système d’IA à haut risque ?

Systèmes de l'annexe III dans les huit domaines définis et systèmes intégrés dans les produits réglementés par l'annexe I. Un système situé dans une zone de l'annexe III n'est pas à haut risque s'il ne présente pas de risque significatif de préjudice au sens de l'article 6, paragraphe 3, mais cette dérogation doit être documentée.

Avons-nous besoin d’un organisme notifié ?

Pour la plupart des systèmes de l'annexe III, non : le fournisseur effectue un contrôle interne au titre de l'annexe VI. L'évaluation par un organisme notifié est requise pour les systèmes d'identification biométrique et pour l'IA à haut risque intégrée dans les produits de l'annexe I, en suivant les voies d'évaluation de la conformité sectorielle pertinentes.

Qu’est-ce qu’une analyse d’impact sur les droits fondamentaux ?

La FRIA est une obligation de déploiement au titre de l'article 27, obligatoire pour les organismes publics et les opérateurs privés dans des contextes définis à l'annexe III (notamment les services publics essentiels et la notation de crédit). Il évalue les risques pour les droits fondamentaux, les personnes concernées, les mesures de surveillance et les mécanismes de plainte.

Quel est le lien entre l’IA Act et la norme ISO 42001 ?

ISO 42001 est la norme internationale de système de gestion pour l'IA ; la loi sur l’IA est une réglementation européenne contraignante. La certification ISO 42001 n'équivaut pas à la conformité à la loi sur l'IA, mais un programme aligné sur la norme ISO 42001 fournit l'essentiel de la documentation et de la gouvernance que la loi sur l'IA exige des fournisseurs.

Quel est le lien entre la loi sur l’IA et le RGPD ?

Le RGPD continue de s'appliquer à tout système d'IA traitant des données personnelles. L’article 10, paragraphe 5, de la loi sur l’IA autorise le traitement de données de catégorie spéciale à des fins de correction des biais dans des conditions strictes. La DPIA et la FRIA devraient être coordonnées.

Qu’en est-il des modèles d’IA à usage général ?

À partir du 2 août 2025, les fournisseurs GPAI sont soumis à des obligations de documentation, de droit d'auteur et de transparence en vertu du chapitre V. Les modèles dépassant le seuil de l'article 51 (actuellement 10 ^ 25 FLOP de formation cumulés) sont soumis à des obligations supplémentaires d'évaluation de modèle, de tests contradictoires, de rapport d'incident et de cybersécurité.

Quelles sont les sanctions ?

Jusqu'à 35 millions d'euros ou 7 pour cent du chiffre d'affaires annuel mondial pour les violations de pratiques interdites ; jusqu'à 15 millions d'euros ou 3 pour cent pour la plupart des autres infractions ; jusqu'à 7,5 millions d'euros ou 1 pour cent pour fourniture d'informations incorrectes.

Qu’en est-il de l’IA générative déployée au sein de notre entreprise ?

Si vous utilisez un modèle génératif tiers (tel qu'une API de modèle de base) pour la productivité interne, vous êtes un déployeur. Des obligations de transparence à risque limité en vertu de l’article 50 s’appliquent (étiqueter le contenu synthétique, informer les utilisateurs qu’ils interagissent avec l’IA). Les obligations à haut risque ne s'appliquent que si le déploiement relève de l'annexe III.

Quel est le rapport avec la directive sur la responsabilité en matière d’IA ?

La proposition de directive sur la responsabilité des IA constitue une législation distincte en matière de responsabilité civile. La loi sur l’IA est une réglementation des produits. Les deux créent ensemble un cadre de responsabilité plus complet. La directive sur la responsabilité reste en négociation à partir de 2026.

13. Résumé

La loi de l’UE sur l’IA établit un régime réglementaire à plusieurs niveaux et fondé sur les risques pour l’intelligence artificielle, avec une portée extraterritoriale. La conformité repose sur la gestion des risques du cycle de vie, la gouvernance des données, la documentation technique, la journalisation, la surveillance humaine, l'exactitude et la robustesse, ainsi que la surveillance post-commercialisation. Pour la plupart des fournisseurs, la solution pratique consiste à créer un système de gestion de l’IA aligné sur la norme ISO 42001, à l’intégrer au SMSI existant et à utiliser cette base de données probantes combinée pour étayer l’évaluation de la conformité au titre de l’article 43.

Pour définir un engagement, réservez un appel depuis le Page du service de conformité à la loi européenne sur l'IA, ou parlez-nous de la combinaison de l'AI Act avec ISO 42001, GDPR, ou ISO 27701 pour un programme unique de gouvernance intégrée de l’IA.