Article 10 : gouvernance des données pour l'IA à haut risque
Article 10 de l'AI Act : critères de qualité et gouvernance des données d'entraînement, de validation et de test des systèmes d'IA à haut risque, et règle de l'article 4 bis pour la correction des biais.
Les fournisseurs de systèmes d'IA à haut risque qui entraînent des modèles d'IA doivent respecter des critères de qualité pour les données (article 10(1)). Ces jeux de données sont soumis à des pratiques de gouvernance des données, par exemple l'examen des biais (article 10(2)).
La règle s'applique à partir du 2 décembre 2027 aux systèmes de l'annexe III (usages à haut risque listés). Pour les produits de l'annexe I, elle s'applique à partir du 2 août 2028 (article 113, point c). Les produits de la section B sont exclus (article 2(2)). Les amendes pour manquement atteignent 15 millions d'EUR ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (article 99(4)). Prochaine étape : notez l'origine de chaque jeu de données et vos contrôles des biais.
L'article 10(2) énumère huit pratiques, regroupées ici en cinq domaines
Choix de conception et origine des données
Les pratiques doivent porter sur les choix de conception pertinents, la façon dont les données ont été collectées, leur origine et, pour les données à caractère personnel, la finalité initiale de la collecte (article 10(2), points a) et b)).
Préparation des données
Encadrez l'annotation, l'étiquetage, le nettoyage, la mise à jour, l'enrichissement et l'agrégation (article 10(2), point c)).
Hypothèses et adéquation
Indiquez ce que les données sont censées mesurer et représenter, et évaluez si assez de données adaptées sont disponibles (article 10(2), points d) et e)).
Examen des biais et mesures
Examinez les données pour repérer les biais qui peuvent nuire à la santé ou à la sécurité, affecter les droits fondamentaux ou conduire à une discrimination interdite. Prenez des mesures pour les détecter, les prévenir et les atténuer (article 10(2), points f) et g)).
Lacunes et insuffisances des données
Repérez les lacunes ou les insuffisances qui vous empêchent de respecter le règlement, et la manière d'y remédier (article 10(2), point h)).
Si un système d'IA à haut risque n'entraîne pas de modèles d'IA, ces règles ne s'appliquent qu'à ses jeux de données de test (article 10(6)).
Les jeux de données doivent respecter trois critères de qualité
Pertinents, représentatifs, sans erreur, complets
Les jeux de données doivent être pertinents, suffisamment représentatifs et, dans toute la mesure du possible, exempts d'erreurs et complets au regard de la finalité prévue (article 10(3)).
Propriétés statistiques adaptées
Ils doivent avoir les propriétés statistiques appropriées, y compris à l'égard des personnes ou des groupes de personnes à l'égard desquels le système est destiné à être utilisé (article 10(3)).
Adaptés au contexte d'utilisation
Ils doivent refléter le cadre géographique, contextuel, comportemental ou fonctionnel d'utilisation, dans la mesure requise par la finalité prévue (article 10(4)).
Quatre pratiques d'ingénierie qui produisent des preuves pour l'article 10
L'article 10 ne prescrit aucun outil. Ces quatre pratiques sont des suggestions pour documenter votre gouvernance des données.
Documentation des jeux de données sous forme de code
Conservez les spécifications des jeux de données, les méthodes de collecte et les étapes de préparation dans des fichiers versionnés, à côté du code de votre système d'IA.
Tests de biais et de dérive dans le CI/CD
Exécutez dans le pipeline des contrôles de biais sur chaque version d'un jeu de données et des tests de dérive des données.
Suivi de la provenance des données
Suivez les sources, les transformations et les versions, pour pouvoir montrer d'où vient chaque jeu de données (article 10(2), point b)).
Fiches de jeux de données versionnées
Consignez, pour chaque version d'un jeu de données, sa composition, sa méthode de collecte, ses limites connues et les résultats de l'examen des biais.
L'article 4 bis autorise des données sensibles pour corriger les biais, sous conditions strictes
Les fournisseurs de systèmes d'IA à haut risque peuvent, à titre exceptionnel, traiter des catégories particulières de données à caractère personnel lorsque cela est strictement nécessaire pour détecter et corriger les biais visés à l'article 10(2), points f) et g) (article 4 bis(1)). Toutes les conditions doivent être remplies. Parmi elles : d'autres données, y compris des données synthétiques ou anonymisées, ne suffisent pas ; les données sont soumises à des limites techniques de réutilisation et à des contrôles d'accès stricts, et ne sont pas transmises à des tiers ; elles sont supprimées une fois le biais corrigé ou la durée de conservation écoulée. Ces conditions s'ajoutent au RGPD. L'article 4 bis(2) l'étend aux déployeurs de systèmes d'IA à haut risque ainsi qu'aux fournisseurs et déployeurs d'autres systèmes et modèles d'IA, lorsque le traitement est strictement nécessaire et que toutes les conditions et garanties de l'article 4 bis(1) sont appliquées. Il ne crée aucune obligation de détecter ou de corriger les biais.
L'article 4 bis a été ajouté par le règlement (UE) 2026/1744. Il remplace l'ancien article 10(5).
Questions fréquentes sur l'article 10
L'article 10 s'applique-t-il si j'ajuste un modèle d'IA à usage général ?
Oui, pour les jeux de données que vous utilisez pour entraîner, valider et tester votre système d'IA à haut risque (article 10(1)). Le règlement ne dit pas si l'article 10 couvre aussi les données d'entraînement d'origine du modèle de base. Demandez conseil à un juriste et réclamez les informations sur le modèle que le fournisseur du modèle d'IA à usage général doit tenir à la disposition des fournisseurs en aval (article 53(1), point b)).
Que signifie « suffisamment représentatif » ?
L'article 10(3) exige que les jeux de données soient suffisamment représentatifs au regard de la finalité prévue et aient des propriétés statistiques appropriées, y compris à l'égard des personnes ou des groupes de personnes à l'égard desquels le système est utilisé. L'article 10(4) y ajoute le cadre géographique, contextuel, comportemental ou fonctionnel d'utilisation. Le règlement ne fixe aucun seuil chiffré.
Dois-je utiliser des données synthétiques ?
Non. Les données synthétiques ne sont pas obligatoires. L'article 4 bis(1) exige toutefois que la détection et la correction des biais ne puissent pas être réalisées efficacement avec d'autres données, y compris synthétiques ou anonymisées, avant de traiter des catégories particulières de données à caractère personnel.
Qu'en est-il des jeux de données de tiers ?
L'article 10 s'applique aux jeux de données utilisés pour votre système, quel qu'en soit l'auteur. Documentez leur origine (article 10(2), point b)) et examinez vous-même leurs biais (article 10(2), point f)).
Comment l'article 10 s'articule-t-il avec le RGPD ?
L'article 10 s'applique en plus du RGPD. L'article 4 bis fixe des conditions pour traiter des catégories particulières de données à caractère personnel afin de corriger les biais, en plus du RGPD (article 4 bis(1)). L'article 4 bis(2) étend l'exception aux déployeurs et aux autres systèmes et modèles d'IA.
Quelle amende s'applique si un fournisseur enfreint l'article 10 ?
Les amendes pour manquement aux obligations des fournisseurs de l'article 16 atteignent 15 millions d'EUR ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (article 99(4)). Pour les PME et les petites ETI (« petites entreprises à moyenne capitalisation » dans le règlement), le plus bas des deux montants est la limite (article 99(6) et (6 bis)).
À lire ensuite : gestion des risques, documentation et exactitude
Article 9 : système de gestion des risques
Explique le processus dans lequel les risques liés aux biais sont identifiés et réduits.
Article 11 : documentation technique
Explique où sont documentés les jeux de données, l'étiquetage et le nettoyage (annexe IV, point 2, d)).
Article 15 : exactitude et robustesse
Explique les niveaux d'exactitude, de robustesse et de cybersécurité que les systèmes à haut risque doivent atteindre.
Scanara prépare des preuves à partir de vos dépôts
Scanara lit vos dépôts GitHub connectés et exécute des analyses à base de règles pour repérer les schémas courants d'IA et d'apprentissage automatique. Il peut manquer du code non standard. Par ailleurs, il génère des projets de documentation à partir de modèles et de vos réponses aux évaluations, comme preuves pour votre travail de conformité. Vous décidez de la classification.