Vendre à des acheteurs de l'UE : préparez vos documents du règlement sur l'IA
Pourquoi des clients de l'UE déployant une IA à haut risque peuvent demander aux fournisseurs la documentation du règlement sur l'IA, et quoi préparer.
Points essentiels
- 1.Les fournisseurs qui vendent des systèmes d'IA à des entreprises de l'UE peuvent se voir demander la documentation du règlement sur l'IA. Les déployeurs sont les entreprises qui utilisent un système d'IA à haut risque. Ils auront des obligations au titre de l'article 26, comme le contrôle humain et la conservation des journaux (dates au point 4). L'article 26, paragraphe 1, lie leur utilisation du système à la notice d'utilisation du fournisseur. Ils peuvent donc demander cette notice.
- 2.Le règlement exige des documents des fournisseurs de systèmes à haut risque. Parmi eux figurent la documentation technique (article 11), la notice d'utilisation (article 13) et la déclaration UE de conformité (article 47). Dans la déclaration, le fournisseur déclare que le système respecte les exigences des articles 8 à 15 (article 47, paragraphe 2).
- 3.Pour les systèmes de l'annexe III, points 2 à 8, aucun organisme notifié n'intervient (article 43, paragraphe 2). Le fournisseur évalue lui-même la conformité. Un rapport SOC 2, en revanche, est établi par un cabinet d'expertise comptable (CPA) sur les contrôles d'un prestataire de services. Un organisme notifié est un organisme d'évaluation de la conformité. Il est notifié en vertu du règlement et d'autres législations d'harmonisation de l'Union pertinentes (article 3, point 22). L'annexe III est la liste des usages à haut risque du règlement.
- 4.Les articles 8 à 27 contiennent les exigences et obligations relatives aux systèmes à haut risque. Ils s'appliquent à partir du 2 décembre 2027 (annexe III) et du 2 août 2028 (annexe I). L'annexe I est la liste des législations de l'UE sur les produits. L'annexe I, section B, énumère d'autres législations de l'UE sur les produits. Les articles 8 à 27 ne s'appliquent pas aux systèmes à haut risque liés à des produits relevant de cette législation (article 2, paragraphe 2).
Nous ne connaissons aucune étude qui mesure si des documents prêts raccourcissent le processus d'achat, cet article est donc notre conseil.
Demandez à vos prospects de l'UE quels documents ils demandent.
Les acheteurs ont des raisons de demander
L'article 26 fixe des obligations aux déployeurs de systèmes d'IA à haut risque. À partir des dates indiquées plus haut, ils doivent utiliser le système conformément à la notice d'utilisation du fournisseur et confier le contrôle humain à des personnes compétentes. Ils doivent aussi surveiller son fonctionnement et conserver les journaux qui sont sous leur contrôle.
L'annexe IV énumère le contenu minimal de la documentation technique (article 11, paragraphe 1). Ces exemples de questions sont rédigés par nous, ce ne sont pas des citations d'acheteurs :
« Quelle est la classification de risque de votre système d'IA au regard du règlement sur l'IA ? »
« Pouvez-vous fournir la documentation technique de l'annexe IV ? »
« Disposez-vous d'un système de gestion des risques conforme à l'article 9 ? »
« Quels mécanismes de surveillance humaine sont intégrés à votre système ? »
SOC 2 est une analogie ; la prévision est la nôtre
La documentation du règlement sur l'IA peut être demandée dans les évaluations de fournisseurs comme le sont les rapports SOC. C'est notre prévision. Les rapports SOC, dont SOC 2, sont des rapports d'assurance que des cabinets d'expertise comptable (CPA) établissent sur les contrôles d'un prestataire de services. Les clients s'en servent pour évaluer les risques de l'externalisation d'un service (AICPA).
Pour les systèmes à haut risque relevant de l'annexe III, points 2 à 8, aucun organisme notifié n'intervient. Le fournisseur évalue lui-même la conformité par un contrôle interne, sa propre vérification (article 43, paragraphe 2).
La documentation peut aider à quatre étapes de la vente
Prospection : répondre à un appel d'offres avec des documents
Évaluation : donner les faits aux relecteurs
Négociation : montrer qui fait quoi
Renouvellement : garder les documents à jour
Préparez cinq documents ; le règlement en exige trois
Pour les systèmes à haut risque, le règlement exige notamment la documentation technique (article 11), la notice d'utilisation (article 13) et la déclaration UE de conformité (article 47). La déclaration de classification des risques et les registres d'analyses et d'évaluations ne sont pas exigés, mais ils peuvent aider les acheteurs :
Rédigez une déclaration de classification des risques
Une déclaration du niveau de risque du système au titre de l'article 6 et de l'annexe III, avec le raisonnement. La classification est votre décision : documentez la manière dont vous y êtes parvenu. Le règlement exige une évaluation écrite seulement lorsqu'un fournisseur conclut qu'un système de l'annexe III n'est pas à haut risque (article 6, paragraphe 4).
Tenez à jour la documentation technique de l'annexe IV
La documentation technique doit être tenue à jour et contenir au minimum les éléments de l'annexe IV (article 11, paragraphe 1). L'annexe IV fixe neuf points. Points 1 à 5 : description générale, processus de développement, surveillance et contrôle, indicateurs de performance, gestion des risques. Points 6 à 9 : modifications au fil du cycle de vie, normes appliquées, déclaration de conformité, surveillance après commercialisation. Les autorités et les organismes notifiés s'en servent pour évaluer la conformité (article 11). L'évaluation de la conformité est le processus qui démontre si un système à haut risque remplit les exigences des articles 8 à 15 (article 3, point 20). Pour les systèmes du point 1 de l'annexe III (biométrie), elle peut faire intervenir un organisme notifié (article 43, paragraphe 1).
Fournissez la notice d'utilisation avec le système
Le règlement exige une notice d'utilisation avec chaque système à haut risque (article 13, paragraphe 2). Elle indique l'identité du fournisseur, la finalité prévue, l'exactitude, la robustesse et la cybersécurité testées, ainsi que les mesures de contrôle humain (article 13, paragraphe 3). Les déployeurs en ont besoin pour utiliser le système comme l'exige l'article 26, paragraphe 1.
Conservez des registres datés des analyses et des évaluations
Les registres des analyses de votre code et des évaluations par questionnaire montrent où en est votre travail à une date donnée. Ils ne montrent pas la conformité : une analyse sans anomalie ne signifie pas que le système est conforme.
Établissez la déclaration UE de conformité
Pour les systèmes à haut risque, le fournisseur établit une déclaration UE de conformité (article 47, paragraphe 1). Elle indique que le système respecte les exigences des articles 8 à 15 (article 47, paragraphe 2).
Les articles 8 à 27 s'appliquent à partir du 2 décembre 2027 (annexe III) et du 2 août 2028 (annexe I)
L'article 113, tel que modifié par le règlement (UE) 2026/1744, fixe les deux dates. Les articles 8 à 27 contiennent les exigences relatives aux systèmes à haut risque et les obligations des fournisseurs et des déployeurs.
Dès que vous savez quels documents ils demandent, préparez ceux-là en premier.
Articles connexes
Sources et références
- Regulation (EU) 2024/1689 — Articles 2, 3, 6, 9, 11, 13, 26, 43, 47 and Annexes I, III, IV (EU Artificial Intelligence Act)
- Regulation (EU) 2026/1744 — Digital Omnibus on AI (Articles 2, 111 and 113 as amended: scope and dates of application)
- AICPA & CIMA — System and Organization Controls: SOC Suite of Services
Questions fréquemment posées
Comment la documentation du règlement sur l'IA peut-elle aider à vendre à des acheteurs de l'UE ?
Les acheteurs de l'UE qui déploient des systèmes à haut risque auront des obligations au titre de l'article 26. Elles s'appliquent à partir du 2 décembre 2027 (annexe III) et du 2 août 2028 (annexe I). Ils peuvent demander une documentation aux fournisseurs, et un fournisseur dont les documents sont prêts peut répondre directement. Nous n'avons pas de données sur le temps que cela fait gagner.
La documentation du règlement sur l'IA devient-elle comme SOC 2 ?
Elle peut devenir une demande courante, mais c'est une prévision. Un rapport SOC 2 provient d'un cabinet d'expertise comptable (CPA). Pour les systèmes de l'annexe III, points 2 à 8, aucun organisme notifié n'intervient (article 43, paragraphe 2) ; le fournisseur évalue lui-même la conformité.
Quelle documentation dois-je avoir prête pour les clients de l'UE ?
Préparez cinq documents. Pour les systèmes à haut risque, le règlement en exige trois : la documentation technique (article 11), la notice d'utilisation (article 13) et la déclaration UE de conformité (article 47). Les deux autres sont une déclaration de classification des risques et les registres d'analyses et d'évaluations.
Avoir une documentation raccourcit-il les cycles de vente dans l'UE ?
Nous ne connaissons aucune source qui le mesure ; nous ne donnons donc aucun chiffre. Le règlement exige que la documentation technique existe avant la mise sur le marché ou la mise en service d'un système à haut risque (article 11, paragraphe 1). Un fournisseur qui le respecte a des documents à envoyer.
Quand faut-il commencer à préparer la documentation du règlement sur l'IA ?
Pour les articles 8 à 27, les dates sont le 2 décembre 2027 pour les systèmes de l'annexe III et le 2 août 2028 pour ceux de l'annexe I. Commencez avant de mettre un système à haut risque sur le marché de l'UE, ou plus tôt si un client le demande. À partir de ces dates, la documentation technique doit exister avant la mise sur le marché ou la mise en service d'un système à haut risque (article 11, paragraphe 1). L'article 111, paragraphe 2, ne couvre les systèmes à haut risque mis sur le marché avant l'application du chapitre III que si leur conception change sensiblement dès cette date. Pour les systèmes à haut risque destinés aux autorités publiques, la date limite est le 2 août 2030. Les fournisseurs et les déployeurs doivent prendre les mesures nécessaires pour se conformer (article 111, paragraphe 2).
Scanara prépare des preuves à partir de vos dépôts
Scanara lit vos dépôts GitHub connectés et exécute des analyses à base de règles pour repérer les schémas courants d'IA et d'apprentissage automatique. Il peut manquer du code non standard. Par ailleurs, il génère des projets de documentation à partir de modèles et de vos réponses aux évaluations, comme preuves pour votre travail de conformité. Vous décidez de la classification.