Conformité AI Act : mettez vos systèmes d’IA en conformité

Votre entreprise peut être concernée dès lors qu’elle développe, commercialise, importe, distribue ou utilise un système d’intelligence artificielle dans le cadre de son activité. Les entreprises simplement utilisatrices peuvent notamment être considérées comme des déployeurs. Les obligations AI Act applicables dépendent ensuite de leur rôle, de la finalité du système et de sa classification.

L’utilisation d’un outil d’IA générative ne signifie pas automatiquement que l’entreprise exploite un système à haut risque. Elle doit néanmoins connaître les outils utilisés, les données qui leur sont transmises, les personnes concernées par leurs résultats et la manière dont ces résultats influencent les décisions. Des mesures de gouvernance, de transparence, de sécurité ou de maîtrise de l’IA peuvent alors être nécessaires.

Le fournisseur développe un système d’IA, ou le fait développer, puis le met sur le marché ou en service sous son nom ou sa marque. Le déployeur utilise un système d’IA sous sa propre autorité dans le cadre de son activité. Une même entreprise peut exercer plusieurs rôles selon les projets, notamment lorsqu’elle personnalise fortement une solution ou la commercialise sous son propre nom.

Non. L’AI Act repose sur une approche proportionnée aux risques. Certains usages sont interdits, certains systèmes peuvent être classés à haut risque, d’autres relèvent principalement d’obligations de transparence et de nombreux outils présentent un risque plus limité. La classification dépend de la finalité prévue, du contexte d’utilisation et de l’influence réelle du système sur les personnes ou les décisions.

Non. L’éditeur peut assumer les obligations attachées à son propre rôle, mais l’entreprise utilisatrice conserve les responsabilités correspondant à son déploiement du système. Elle doit notamment respecter les conditions d’utilisation, organiser les contrôles nécessaires, utiliser les informations fournies et encadrer l’usage du système dans son environnement. La répartition contractuelle et opérationnelle des responsabilités doit donc être analysée.

Les fournisseurs et déployeurs doivent prendre des mesures pour développer la maîtrise de l’IA des personnes qui utilisent ou exploitent des systèmes pour leur compte. Le règlement n’impose pas un programme de formation AI Act identique à toutes les organisations. Les actions doivent être adaptées aux connaissances des équipes, à leurs responsabilités, aux outils concernés et aux risques liés aux usages.

La conformité AI Act encadre les systèmes d’intelligence artificielle selon leurs risques, leurs usages et le rôle des différents acteurs. Le RGPD s’applique au traitement des données personnelles. Lorsqu’un système d’IA utilise des données personnelles, les deux réglementations peuvent s’appliquer simultanément, avec des exigences complémentaires concernant notamment la transparence, la finalité, la sécurité, les droits des personnes et la prise de décision automatisée.

Les obligations documentaires varient selon le rôle de l’entreprise et la classification des systèmes. Même lorsqu’un registre précis n’est pas expressément imposé pour chaque outil, la cartographie des usages constitue un support essentiel pour identifier les systèmes, leurs responsables, leurs fournisseurs, les données concernées, leur niveau de risque et les mesures à mettre en place.

Non. L’audit réalisé par Complianz System ne constitue pas une certification officielle et ne remplace pas une éventuelle procédure réglementaire d’évaluation de la conformité lorsqu’elle est applicable. Il permet d’identifier les systèmes concernés, d’analyser les écarts, de documenter les risques et de construire un plan de mise en conformité adapté à l’organisation.

Certaines dispositions de l’AI Act sont déjà applicables et les autres entrent progressivement en application. La démarche peut nécessiter plusieurs étapes : inventaire des systèmes, collecte d’informations auprès des fournisseurs, classification, documentation, définition de la gouvernance et accompagnement des équipes. Il est donc préférable de commencer par les usages existants et les risques prioritaires sans attendre la dernière échéance réglementaire.

La durée dépend du nombre de systèmes étudiés, de leur complexité, du rôle de l’entreprise, des parties prenantes à interroger et de la documentation déjà disponible. L’audit peut porter sur un seul système sensible ou sur l’ensemble de l’environnement IA de l’organisation. Le périmètre et les étapes sont définis avant le démarrage de la mission.

Selon le périmètre convenu, la mission peut notamment aboutir à une cartographie des systèmes, une analyse des rôles, une matrice de classification, un rapport d’audit, une analyse des écarts et un plan d’action priorisé. Des modèles de politiques, procédures, registres et outils de suivi peuvent également être construits dans le cadre de l’accompagnement à la mise en conformité.