Skip to main content

Évaluation des risques de l’IA (AIRA) : le système de gestion des risques de l’article 9

Les fournisseurs de systèmes d’IA à haut risque doivent exploiter un système de gestion des risques (article 9). AIRA est l’évaluation guidée de Scanara.

Les fournisseurs de systèmes d’IA à haut risque doivent exploiter un système de gestion des risques sur tout le cycle de vie (article 9). AIRA est le nom que Scanara donne à son évaluation guidée de cette obligation. Le règlement lui-même ne connaît pas d’« évaluation des risques liés à l’IA ».

L’obligation s’applique à partir du 2 décembre 2027 aux systèmes de l’annexe III. Pour les fournisseurs, les amendes atteignent 15 millions d’EUR ou 3 % du chiffre d’affaires annuel mondial. Le montant le plus élevé est retenu (article 99(4)). Prochaine étape : vérifiez avec l’article 6 que votre système est à haut risque, puis lancez l’évaluation.

L’article 9 décrit un processus continu en quatre étapes

Le système de gestion des risques est un processus itératif continu, planifié et mené sur tout le cycle de vie, avec un examen et une mise à jour systématiques et réguliers (article 9(2)).

  1. 1

    Identifier et analyser les risques

    Listez les risques connus et raisonnablement prévisibles pour la santé, la sécurité ou les droits fondamentaux lorsque le système est utilisé conformément à sa finalité prévue (article 9(2), point a)).

  2. 2

    Estimer et évaluer les risques

    Incluez les risques susceptibles d’apparaître en cas de mauvaise utilisation raisonnablement prévisible (article 9(2), point b)).

  3. 3

    Évaluer les risques constatés après la mise sur le marché

    Ajoutez les risques qui apparaissent dans les données de la surveillance après commercialisation (article 9(2), point c), article 72).

  4. 4

    Adopter des mesures ciblées contre les risques

    Adoptez des mesures appropriées et ciblées contre les risques identifiés à l’étape 1. Le risque résiduel doit être jugé acceptable (article 9(2), point d), et article 9(5)).

Les mesures suivent un ordre précis ; les tests et les groupes vulnérables comptent

  • Réduire les risques dans un ordre précis

    Éliminez ou réduisez d'abord les risques par la conception et le développement. Ajoutez ensuite des mesures d'atténuation et de contrôle. Donnez enfin aux déployeurs des informations et, s'il y a lieu, une formation. Le risque résiduel doit être acceptable (article 9(5)).

  • Tester par rapport à des indicateurs définis

    Testez pendant le développement et avant la mise sur le marché, selon des indicateurs et des seuils probabilistes définis à l'avance (article 9(6) et (8)). Les essais en conditions réelles sont possibles selon l'article 60 (article 9(7)).

  • Tenir compte des enfants et des groupes vulnérables

    Examinez si le système est susceptible d'avoir un impact négatif sur les personnes de moins de 18 ans et, s'il y a lieu, sur d'autres groupes vulnérables (article 9(9)).

Ce que fait l’évaluation AIRA de Scanara

AIRA est une évaluation guidée : vous répondez à des questions sur votre système et Scanara conserve les réponses comme preuves. Le jugement sur les risques, et sur le risque résiduel acceptable, vous appartient.

Questions guidées

Une banque de questions vous conduit à travers les obligations de gestion des risques et cite l’article correspondant pour la plupart des questions.

Réponses préremplies à partir des analyses

Si vous avez analysé un dépôt de code, Scanara préremplit des réponses à partir des résultats de l’analyse. Vous les vérifiez et les corrigez.

Base pour la documentation de l’annexe IV

L’annexe IV, point 5, demande une description du système de gestion des risques. Scanara rédige la documentation technique à partir de vos réponses ; vous la complétez et la vérifiez.

Ouvrir la démo de Scanara

Lire le détail derrière cette évaluation

Questions fréquentes sur l’évaluation AIRA

« AIRA » est-il un terme du règlement de l’UE sur l’IA ?

Non. L’article 9 exige un système de gestion des risques. AIRA est le nom que Scanara donne à son évaluation guidée de ce système.

Qui est responsable du système de gestion des risques ?

Le fournisseur. Les fournisseurs doivent veiller à ce que leurs systèmes d'IA à haut risque respectent les exigences de la section 2, dont l'article 9 (article 16, point a)). Les déployeurs ne l'exploitent pas, mais doivent surveiller le fonctionnement du système et informer les fournisseurs s'il y a lieu (article 26(5)).

L'article 9 s'applique-t-il à tous les systèmes d'IA ?

Non. L'article 9 s'applique aux systèmes d'IA à haut risque, que l'article 6 définit par les annexes III et I. Il s'applique à partir du 2 décembre 2027 aux systèmes de l'annexe III et à partir du 2 août 2028 à ceux de l'annexe I (article 113, point c). Pour les systèmes à haut risque liés à des produits relevant des actes de l'annexe I, section B, seuls l'article 6(1), l'article 60 bis et les articles 102 à 112 s'appliquent, et les articles 57 à 59 ne s'appliquent que dans la mesure où les exigences applicables aux systèmes d'IA à haut risque ont été intégrées dans cette législation (article 2(2)).

L’article 9 s’applique-t-il aux systèmes déjà sur le marché ?

Seulement après des modifications importantes de leur conception. Un système à haut risque mis sur le marché ou mis en service avant la date d’application du chapitre III n’est couvert que si, à compter de cette date, sa conception subit d’importantes modifications (article 111(2)). En tout état de cause, les fournisseurs et les déployeurs de systèmes d’IA à haut risque destinés à être utilisés par des autorités publiques doivent prendre les mesures nécessaires pour se conformer au plus tard le 2 août 2030.

Le règlement impose-t-il une méthode ou une norme particulière pour la gestion des risques ?

Non. L’article 9 fixe des étapes, pas une méthode. Les normes harmonisées publiées au Journal officiel donnent une présomption de conformité avec les exigences qu’elles couvrent (article 40).

Scanara prépare des preuves à partir de vos dépôts

Scanara lit vos dépôts GitHub connectés et exécute des analyses à base de règles pour repérer les schémas courants d'IA et d'apprentissage automatique. Il peut manquer du code non standard. Par ailleurs, il génère des projets de documentation à partir de modèles et de vos réponses aux évaluations, comme preuves pour votre travail de conformité. Vous décidez de la classification.