Votre client européen demande une documentation EU AI Act
Guide pratique pour répondre aux demandes de documentation EU AI Act des clients entreprise : ce dont ils ont besoin et comment répondre.
Points essentiels
- 1.Les déployeurs (clients qui utilisent votre système d'IA à haut risque) doivent l'utiliser conformément à votre notice d'utilisation (article 26).
- 2.Répondez par un dossier : classification des risques, notice d'utilisation, résumé de la documentation technique et informations sur la journalisation et la surveillance. Pour un système à haut risque, ajoutez la déclaration UE de conformité (article 47). C'est votre déclaration signée que le système respecte les articles 8 à 15.
- 3.Ne prétendez pas à une conformité que vous ne pouvez pas documenter. Dites ce que vous avez et quand le reste suivra.
- 4.Constituez le dossier une fois et réutilisez-le. Relisez-le après chaque release et chaque changement du système ou de sa finalité prévue. La finalité prévue est l'usage que vous précisez en tant que fournisseur (article 3, point 12).
Un client de l'UE peut vous écrire : « Pouvez-vous fournir la documentation indiquant comment votre système d'IA respecte le règlement européen sur l'IA ? » Les fournisseurs qui vendent à des entreprises de l'UE peuvent recevoir une telle demande. Les déployeurs ont besoin d'informations de leur part (article 13 : notice d'utilisation ; article 26 : obligations des déployeurs).
Votre réponse dépend de la classe de risque du système : vérifiez donc d'abord la classe. Les articles 8 à 27 contiennent les exigences relatives aux systèmes à haut risque et les obligations des fournisseurs et des déployeurs. Ils s'appliquent aux systèmes de l'annexe III (la liste des usages à haut risque du règlement) à partir du 2 décembre 2027. Ils s'appliquent aux systèmes de l'annexe I (la liste des législations de l'UE sur les produits) à partir du 2 août 2028. L'annexe I, section B, énumère d'autres législations de l'UE sur les produits. Elle inclut par exemple la sûreté de l'aviation civile, les véhicules agricoles et forestiers et les équipements marins. Les articles 8 à 27 ne s'appliquent pas aux systèmes à haut risque liés à des produits relevant de cette législation (article 2, paragraphe 2). Cela vise les systèmes classés à haut risque en vertu de l'article 6, paragraphe 1. Le règlement (UE) 2026/1744 a modifié l'article 113 pour fixer les deux dates et remplacé l'article 2, paragraphe 2. Sans votre notice d'utilisation, les déployeurs ne peuvent pas utiliser le système comme l'exige l'article 26, paragraphe 1.
Pourquoi votre client de l'UE pose la question
Les déployeurs de systèmes d'IA à haut risque ont leurs propres obligations. Parmi elles, l'article 26 exige que les déployeurs :
- utilisent le système comme l'indique la notice d'utilisation du fournisseur (article 26, paragraphe 1)
- confient le contrôle humain à des personnes disposant de la compétence, de la formation et de l'autorité nécessaires (article 26, paragraphe 2)
- surveillent le fonctionnement du système (article 26, paragraphe 5)
- informent le fournisseur ou le distributeur ainsi que l'autorité de surveillance du marché d'un risque et, d'un incident grave, d'abord le fournisseur (article 26, paragraphe 5)
- suspendent l'utilisation d'un système qui présente un risque (article 26, paragraphe 5)
- conservent les journaux sous leur contrôle pendant au moins six mois, sauf disposition contraire d'une autre loi (article 26, paragraphe 6)
L'article 27 ajoute une obligation d'analyser l'impact sur les droits fondamentaux avant la première utilisation. Il s'applique aux organismes de droit public, aux entités privées fournissant des services publics et aux déployeurs de systèmes d'évaluation de la solvabilité ou d'assurance vie et santé. Il ne s'applique pas aux systèmes du point 2 de l'annexe III (infrastructures critiques).
L'article 13, paragraphe 2, vous impose de fournir une notice d'utilisation avec un système à haut risque.
Envoyez jusqu'à cinq documents
Parmi ces documents, seule la notice d'utilisation doit parvenir aux déployeurs (article 13, paragraphe 2). La déclaration UE de conformité est tenue à la disposition des autorités nationales compétentes (article 47, paragraphe 1). Les autres éléments sont ce que nous vous suggérons d'offrir aux clients.
Déclaration de classification des risques
Une déclaration de la classe de risque de votre système : interdit (article 5), à haut risque (article 6), avec obligations de transparence (article 50) ou aucune de ces classes. Ajoutez un raisonnement qui renvoie à l'annexe III le cas échéant.
Notice d'utilisation
L'article 13, paragraphe 3, liste le contenu minimal de la notice d'utilisation d'un système à haut risque. Il comprend l'identité du fournisseur, la finalité prévue et les niveaux testés d'exactitude, de robustesse et de cybersécurité. Il comprend aussi les risques connus, les mesures de contrôle humain, la durée de vie attendue et la maintenance. Si votre manuel utilisateur sert de notice d'utilisation, vérifiez qu'il couvre chaque point de l'article 13, paragraphe 3. Sinon, ajoutez un document séparé.
Résumé de la documentation technique
L'annexe IV est la liste de ce que doit contenir la documentation technique. La documentation complète est destinée aux autorités nationales compétentes et aux organismes notifiés (article 11, paragraphe 1). Un organisme notifié est un organisme d'évaluation de la conformité notifié en vertu du règlement et d'autres législations d'harmonisation de l'Union pertinentes (article 3, point 22). Nous suggérons de partager un résumé, pour que le déployeur voie que la documentation complète existe et ce qu'elle couvre.
Informations sur la journalisation et la surveillance
Les déployeurs doivent savoir ce que votre système journalise et comment ils peuvent accéder aux journaux, car ils doivent conserver les journaux sous leur contrôle (article 26, paragraphe 6). Le cas échéant, la notice d'utilisation doit décrire les mécanismes qui permettent aux déployeurs de collecter, stocker et interpréter les journaux (article 13, paragraphe 3, point f).
Déclaration UE de conformité (systèmes à haut risque)
Pour les systèmes à haut risque, le fournisseur établit une déclaration UE de conformité (article 47). Elle indique que le système respecte les exigences des articles 8 à 15 (article 47, paragraphe 2). L'évaluation de la conformité est le processus qui démontre si ces exigences sont remplies (article 3, point 20). Si l'évaluation est encore en cours, dites-le et donnez la date prévue à titre d'estimation.
Accusez réception d'abord, puis envoyez le dossier complet
Dans la première réponse, accusez réception et donnez des dates que vous pouvez tenir
Envoyez le dossier complet quand il est prêt
Ne faites pas d'affirmations que vous ne pouvez pas étayer
Articles connexes
Sources et références
Questions fréquemment posées
De quels documents un client de l'UE a-t-il besoin auprès d'un fournisseur d'IA ?
Cela dépend du système. Pour un système à haut risque, les déployeurs ont besoin de la notice d'utilisation (article 13), y compris les informations sur la journalisation et le contrôle humain. Nous vous suggérons d'offrir aussi votre classification des risques, un résumé de la documentation technique de l'annexe IV et la déclaration UE de conformité (article 47). Les fournisseurs doivent concevoir les systèmes d'IA qui interagissent directement avec des personnes de sorte que celles-ci en soient informées, sauf si cela est évident (article 50, paragraphe 1).
Qu'est-ce que l'annexe IV du règlement européen sur l'IA ?
L'annexe IV liste neuf points minimaux pour la documentation technique d'un système d'IA à haut risque. Points 1 à 5 : description générale ; processus de développement et conception ; surveillance et contrôle ; adéquation des indicateurs de performance ; système de gestion des risques. Points 6 à 9 : modifications au fil du cycle de vie ; normes appliquées ; déclaration UE de conformité ; système de surveillance après commercialisation.
Que doit contenir ma première réponse à une demande de documentation sur le règlement européen sur l'IA ?
Envoyez une première réponse qui accuse réception de la demande, indique quels documents vous pouvez envoyer et donne des dates que vous pouvez tenir. Convenez des dates par écrit.
Puis-je réutiliser le même dossier de documentation pour plus d'un client de l'UE ?
Oui, dans la mesure où le système et sa finalité prévue sont les mêmes. La finalité prévue est celle que vous spécifiez (article 3, point 12). Relisez le dossier après chaque release et chaque changement du système ou de sa finalité prévue.
Et si je n'ai pas encore de documentation technique (annexe IV) ?
Dites-le. Indiquez au client quels documents vous avez et quand le reste suivra. La documentation technique doit exister avant la mise sur le marché ou la mise en service d'un système à haut risque (article 11, paragraphe 1). Les articles 8 à 27 s'appliquent aux systèmes de l'annexe III à partir du 2 décembre 2027 et aux systèmes de l'annexe I à partir du 2 août 2028. L'annexe I, section B, énumère d'autres législations de l'UE sur les produits. Pour les systèmes à haut risque liés à des produits relevant de cette législation, les articles 8 à 27 ne s'appliquent pas (article 2, paragraphe 2). Cela vise les systèmes classés à haut risque en vertu de l'article 6, paragraphe 1. Le règlement (UE) 2026/1744 a modifié l'article 113 pour fixer les deux dates et remplacé l'article 2, paragraphe 2.
Scanara prépare des preuves à partir de vos dépôts
Scanara lit vos dépôts GitHub connectés et exécute des analyses à base de règles pour repérer les schémas courants d'IA et d'apprentissage automatique. Il peut manquer du code non standard. Par ailleurs, il génère des projets de documentation à partir de modèles et de vos réponses aux évaluations, comme preuves pour votre travail de conformité. Vous décidez de la classification.