Article 13 règlement IA : transparence et notice d’utilisation
L’article 13 exige que les fournisseurs remettent aux déployeurs une notice d’utilisation. Ce guide liste son contenu et ce que les déployeurs en font.
Les fournisseurs de systèmes d’IA à haut risque doivent remettre aux déployeurs une notice d’utilisation et un système transparent (article 13).
Cela vise les systèmes mis sur le marché ou mis en service dans l’UE. Cela s’applique à partir du 2 décembre 2027 (annexe III) et du 2 août 2028 (annexe I). Les déployeurs sont les organisations qui utilisent le système. La transparence doit leur permettre d’interpréter les sorties (article 13(1)). La notice doit nommer le fournisseur, indiquer l’exactitude testée et les risques connus, et décrire le contrôle humain (article 13(3)). Les amendes peuvent atteindre 15 millions d’EUR ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 99(4)). Prochaine étape : comparez votre notice à l’article 13(3).
La notice d’utilisation doit contenir au moins ces informations
L’article 13(3) liste le contenu minimal aux points a) à f). Les cartes ci-dessous regroupent ces points. La notice doit être concise, complète, exacte et claire, dans un format numérique approprié ou autre (article 13(2)).
Identité et coordonnées du fournisseur
Indiquez le nom et les coordonnées du fournisseur et, le cas échéant, de son mandataire (article 13(3), point a)).
Finalité prévue et performance testée
Indiquez la finalité prévue. Indiquez le niveau d’exactitude, de robustesse et de cybersécurité sur lequel le système a été testé et validé et qui peut être attendu, avec ses indicateurs. Ajoutez les circonstances susceptibles de l’influencer (article 13(3), point b), i) et ii)).
Risques connus et mauvaise utilisation prévisible
Décrivez les circonstances connues ou prévisibles, y compris la mauvaise utilisation raisonnablement prévisible, susceptibles d’entraîner des risques pour la santé, la sécurité ou les droits fondamentaux (article 13(3), point b), iii)).
Explication, groupes de personnes et données
Le cas échéant, décrivez comment le système explique ses sorties, sa performance pour des personnes ou groupes de personnes spécifiques, les spécifications des données d’entrée et les jeux de données d’entraînement, de validation et de test utilisés (article 13(3), point b), iv) à vii)).
Modifications prédéterminées par le fournisseur
Listez les modifications du système et de sa performance que vous avez prédéterminées lors de l’évaluation initiale de la conformité (le contrôle avant le lancement que le système respecte le règlement), le cas échéant (article 13(3), point c)).
Mesures de contrôle humain
Décrivez les mesures de contrôle humain de l’article 14, y compris les mesures techniques qui aident les déployeurs à interpréter les sorties (article 13(3), point d)).
Ressources, durée de vie, maintenance et journaux
Indiquez les ressources informatiques et matérielles nécessaires, la durée de vie attendue et la maintenance, avec sa fréquence et les mises à jour logicielles (article 13(3), point e)). Le cas échéant, décrivez les mécanismes qui permettent aux déployeurs de collecter, stocker et interpréter les journaux conformément à l’article 12 (article 13(3), point f)).
Quatre façons de garder la notice exacte
L’article 13 fixe le contenu, pas la méthode. Ces quatre pratiques gardent la notice complète et à jour.
Rédiger à partir des documents existants
Reprenez les faits sur le système depuis les cartes de modèle, les fiches techniques et les rapports d’évaluation, et gardez la notice sous gestion de versions à côté du code.
Suivre les limites et les changements
Consignez chaque limite connue et chaque mode de défaillance dans un journal des modifications. Mettez la notice à jour dès que le système change.
Indiquer la performance par groupe
Le cas échéant, indiquez la performance du système pour les personnes ou groupes de personnes spécifiques à l’égard desquels il est destiné à être utilisé (article 13(3), point b), v)).
Expliquer comment lire les sorties
Expliquez aux déployeurs comment interpréter les sorties, par exemple avec des scores de confiance ou des explications lorsque le système en fournit, et quelles mesures de contrôle humain s’appliquent (article 13(3), point b), vii), et point d)).
Les déployeurs utilisent la notice pour remplir leurs propres obligations
Les déployeurs doivent prendre des mesures techniques et organisationnelles appropriées pour utiliser le système conformément à sa notice d’utilisation (article 26(1)). Ils se servent aussi des informations de l’article 13 pour leur analyse d’impact relative à la protection des données, lorsqu’elle est requise (article 26(9)). Un déployeur ne peut suivre que ce que dit la notice.
L’article 13 ne s’applique qu’aux systèmes d’IA à haut risque
Un système est à haut risque s’il relève d’un domaine de l’annexe III, sauf si une exemption de l’article 6(3) s’applique. Un système qui effectue du profilage de personnes physiques est toujours à haut risque. Il l’est aussi s’il est un produit de l’annexe I exigeant une évaluation de la conformité par un tiers, ou son composant de sécurité (article 6). Les fournisseurs sont couverts lorsqu’ils mettent un système sur le marché de l’UE ou le mettent en service dans l’UE, où qu’ils soient établis (article 2(1), point a)). Les fournisseurs et déployeurs établis dans un pays tiers sont aussi couverts lorsque les sorties du système sont utilisées dans l’UE (article 2(1), point c)). Les systèmes à haut risque liés à des produits relevant des législations de l’annexe I, section B, sont exclus de l’article 13 (article 2(2)). Pour les produits de l’annexe I, section A, certaines exigences peuvent être limitées (article 2(13)). Cela concerne les articles 9 à 15 et 17 à 25, lorsque la législation sectorielle offre un niveau de protection équivalent ou supérieur. Des actes délégués attendus d’ici le 2 août 2027 préciseront lesquelles. Le règlement exclut les usages militaires, de défense et de sécurité nationale, ainsi que les systèmes développés uniquement pour la recherche scientifique (article 2(3) et (6)). Il exclut aussi la recherche et les essais avant la mise sur le marché (article 2(8)). Les systèmes déjà mis sur le marché ou en service avant la date d’application ne sont couverts qu’après des modifications substantielles de leur conception. En tout état de cause, les fournisseurs et les déployeurs de systèmes d’IA à haut risque destinés à être utilisés par des autorités publiques doivent prendre les mesures nécessaires pour se conformer au plus tard le 2 août 2030 (article 111(2)).
Questions fréquentes : format, open source, cartes de modèle et amendes
Quel format la notice d’utilisation doit-elle avoir ?
Le règlement ne fixe pas de format de fichier. L’article 13(2) exige un format numérique approprié ou autre, avec des informations concises, complètes, exactes et claires, accessibles et compréhensibles pour les déployeurs. Un PDF, une page web ou une documentation livrée avec le logiciel peut convenir si elle est complète et claire.
L’article 13 s’applique-t-il à l’IA open source ?
Seulement si le système est mis sur le marché ou mis en service en tant que système d’IA à haut risque (article 2(12)). Le fournisseur doit alors fournir la notice d’utilisation même si le code est public.
En quoi l’article 13 diffère-t-il de la documentation technique de l’article 11 ?
La documentation technique de l’article 11 est établie avant la mise sur le marché (article 11(1)). Elle montre aux autorités et aux organismes notifiés (organismes d’évaluation indépendants) que le système est conforme. La notice de l’article 13 s’adresse aux déployeurs, afin qu’ils utilisent correctement le système.
Que se passe-t-il si le déployeur ignore la notice ?
Le fournisseur doit fournir une notice exacte (article 13), et le déployeur doit utiliser le système conformément à celle-ci (article 26(1)). Un déployeur qui ne le fait pas manque à sa propre obligation. Il peut recevoir une amende pouvant atteindre 15 millions d’EUR ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 99(4)).
Une carte de modèle suffit-elle comme notice d’utilisation ?
Seulement si elle couvre chaque point de l’article 13(3), y compris les coordonnées du fournisseur, les mesures de contrôle humain et la maintenance. Comparez votre carte de modèle aux cartes ci-dessus et ajoutez ce qui manque.
Quelles sont les amendes, et le plafond est-il plus bas pour les PME ?
Les amendes atteignent jusqu’à 15 millions d’EUR ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 99(4)). Elles visent les fournisseurs (article 16) et les déployeurs (article 26). Pour les PME, y compris les jeunes pousses, et les petites ETI, le plafond est le plus faible des deux montants (article 99(6) et (6 bis)). Le règlement les appelle « petites entreprises à moyenne capitalisation ». Les États membres fixent les règles relatives aux sanctions (article 99(1)).
À lire ensuite : documentation technique, contrôle humain et obligations du déployeur
Article 11 : documentation technique
Les fournisseurs établissent la documentation technique avant la mise sur le marché pour montrer que le système est conforme.
Article 14 : contrôle humain
La notice d’utilisation doit décrire les mesures de contrôle que l’article 14 exige.
Article 26 : obligations des déployeurs
Les déployeurs utilisent le système conformément à la notice, le surveillent et conservent les journaux.
Scanara prépare des preuves à partir de vos dépôts
Scanara lit vos dépôts GitHub connectés et exécute des analyses à base de règles pour repérer les schémas courants d'IA et d'apprentissage automatique. Il peut manquer du code non standard. Par ailleurs, il génère des projets de documentation à partir de modèles et de vos réponses aux évaluations, comme preuves pour votre travail de conformité. Vous décidez de la classification.