Règlement IA pour les CTO
Pour les CTO de fournisseurs d’IA : obligations du règlement IA côté ingénierie et contrôles de Scanara dans le code. Ensuite : l’exemple de rapport.
Ce que le règlement IA demande à l’ingénierie
Les fournisseurs de systèmes à haut risque mettent en œuvre les articles 8 à 15
Ils couvrent la gestion des risques, la gouvernance des données, la journalisation, la notice d’utilisation, le contrôle humain, l’exactitude, la robustesse et la cybersécurité. Ils s’appliquent à partir du 2 décembre 2027 (systèmes de l’annexe III) ou du 2 août 2028 (produits de l’annexe I) (article 113, point c)).
Documentation et système de qualité en font partie
Les fournisseurs tiennent aussi la documentation technique (article 11, annexe IV) et un système de gestion de la qualité (article 17). Ils conservent la documentation pendant 10 ans (article 18).
La classification décide des obligations applicables
Un système n’est à haut risque que par l’annexe III ou l’annexe I (article 6). Classez d’abord chaque système. L’article 5 énumère les pratiques interdites, applicables depuis le 2 février 2025.
Ce que Scanara apporte aux équipes d’ingénierie
Une vérification sur chaque pull request
Scanara publie une vérification GitHub sur chaque pull request et renvoie vers le rapport complet. Le mode Audit se limite à signaler. Le mode Blocking fait échouer la vérification au-delà de vos seuils.
Analyse du code selon les exigences du règlement
Des règles générées à partir du texte du règlement recherchent dans votre code les motifs standard des frameworks de ML. Les surcouches maison et le code obscurci peuvent échapper à l’analyse.
Brouillon de documentation technique
Scanara génère un brouillon de la documentation de l’annexe IV à partir de vos données et de vos réponses aux évaluations. Votre équipe le complète et le vérifie.
Inventaire avec classification enregistrée
Vous enregistrez chaque système d’IA. Scanara consigne sa classification des risques et votre raisonnement. Votre équipe prend la décision de classification.
Date clé et plafond de l’amende
2 décembre 2027
À partir de cette date, les règles relatives aux systèmes à haut risque s’appliquent aux systèmes de l’annexe III, et aux produits de l’annexe I à partir du 2 août 2028 (article 113, point c)).
15 millions d’EUR ou 3 %
Plafond des amendes en cas de manquement aux obligations des fournisseurs et des déployeurs : jusqu’à 15 millions d’EUR ou, pour une entreprise, jusqu’à 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 99(4)). Pour les PME et les petites ETI (« petites entreprises à moyenne capitalisation » dans le règlement), le plafond est le montant le plus faible (article 99(6) et (6a)).
Questions des CTO
Quelles obligations du règlement IA concernent mon équipe d’ingénierie ?
Cela dépend de votre rôle et du caractère à haut risque du système. Les fournisseurs de systèmes à haut risque respectent les articles 8 à 15 et l’article 17 (article 16). Les déployeurs suivent l’article 26 : ils utilisent le système selon la notice, confient le contrôle humain et conservent les journaux sous leur contrôle au moins six mois, sauf disposition contraire d’un autre texte.
Quand les règles à haut risque s’appliquent-elles à nos systèmes ?
À partir du 2 décembre 2027 pour les systèmes de l’annexe III et du 2 août 2028 pour les produits de l’annexe I (article 113, point c)). Un système à haut risque mis sur le marché ou mis en service plus tôt n’est couvert qu’après des modifications importantes de sa conception. En tout état de cause, les fournisseurs et les déployeurs de systèmes d’IA à haut risque destinés à être utilisés par des autorités publiques doivent prendre les mesures nécessaires pour se conformer au plus tard le 2 août 2030 (article 111(2)).
Le merge gate est-il disponible dans l’offre Free ?
Non. L’offre Free n’inclut pas de merge gate et autorise 5 analyses au total, 1 système d’IA et 2 dépôts. L’offre Team inclut le merge gate sur 1 dépôt, l’offre Business sur tous les dépôts.
Scanara peut-il nous dire si notre système est à haut risque ?
Non. Scanara structure la classification et consigne votre raisonnement. Votre équipe décide, avec un conseil juridique si l’enjeu est important. Un même code peut être à haut risque ou non selon sa finalité prévue.
Une analyse réussie signifie-t-elle que nous respectons le règlement ?
Non. Une analyse vérifie des motifs de code et le contenu requis des documents. Elle ne peut pas confirmer la conduite réelle, et la réussir ne remplit aucune obligation.
À lire ensuite
Consultez un exemple de rapport d’analyse
La démo présente un vrai rapport de conformité anonymisé et une visite guidée du produit.
Scanara prépare des preuves à partir de vos dépôts
Scanara lit vos dépôts GitHub connectés et exécute des analyses à base de règles pour repérer les schémas courants d'IA et d'apprentissage automatique. Il peut manquer du code non standard. Par ailleurs, il génère des projets de documentation à partir de modèles et de vos réponses aux évaluations, comme preuves pour votre travail de conformité. Vous décidez de la classification.