Article 13 pour l’IA biométrique : transparence et notice d’utilisation

L’article 13 concerne les informations qu’un fournisseur donne aux déployeurs. Ce n’est pas une obligation d’information envers les personnes saisies par un système.

• art. 13(1)
  Suffisamment transparent pour interpréter les sorties

  La conception et le développement des systèmes d’IA à haut risque sont tels que le fonctionnement de ces systèmes est suffisamment transparent pour permettre aux déployeurs d’interpréter les sorties d’un système et de les utiliser de manière appropriée. Un type et un niveau adéquats de transparence sont garantis afin de veiller au respect des obligations pertinentes incombant au fournisseur et au déployeur énoncées à la section 3.

• art. 13(2)
  Notice d’utilisation dans un format approprié

  Les systèmes d’IA à haut risque sont accompagnés d’une notice d’utilisation dans un format numérique approprié ou autre. Elle contient des informations concises, complètes, correctes et claires, pertinentes, accessibles et compréhensibles pour les déployeurs.

• art. 13(3)(a)–(b)
  Identité du fournisseur, capacités et limites

  La notice d’utilisation doit contenir au moins l’identité et les coordonnées du fournisseur et, le cas échéant, de son mandataire. Elle doit décrire les caractéristiques, les capacités et les limites de performance du système, y compris ce qui suit. La finalité prévue. Le niveau d’exactitude, y compris ses indicateurs, de robustesse et de cybersécurité par rapport auquel le système a été testé et validé et auquel on peut s’attendre, ainsi que toute circonstance connue et prévisible susceptible d’avoir une incidence sur ce niveau. Toute circonstance connue ou prévisible susceptible d’entraîner des risques pour la santé et la sécurité ou pour les droits fondamentaux. Le cas échéant, les capacités et caractéristiques techniques du système permettant de fournir des informations pertinentes pour expliquer sa sortie. Lorsque c’est approprié, ses performances en ce qui concerne des personnes ou groupes de personnes spécifiques à l’égard desquels le système est destiné à être utilisé. Lorsque c’est approprié, les spécifications relatives aux données d’entrée ou toute autre information pertinente sur les jeux de données d’entraînement, de validation et de test utilisés. Le cas échéant, des informations permettant aux déployeurs d’interpréter la sortie du système et de l’utiliser de manière appropriée.

• art. 13(3)(c)–(f)
  Modifications, contrôle humain, ressources et journaux

  La notice d’utilisation doit aussi contenir ce qui suit. Les modifications du système et de ses performances que le fournisseur a prédéterminées au moment de l’évaluation initiale de la conformité, le cas échéant. Les mesures de contrôle humain visées à l’article 14, y compris les mesures techniques mises en place pour faciliter l’interprétation des sorties par les déployeurs. Les ressources informatiques et matérielles nécessaires, la durée de vie attendue du système et toute mesure de maintenance et de suivi nécessaire, y compris leur fréquence, pour garantir le bon fonctionnement du système, notamment en ce qui concerne les mises à jour logicielles. Le cas échéant, une description des mécanismes inclus dans le système qui permettent aux déployeurs de collecter, stocker et interpréter correctement les journaux conformément à l’article 12.

L’article 13 ne lie que les systèmes d’IA à haut risque. Les lignes ci-dessous montrent où l’IA biométrique est à haut risque, qui est lié et où figurent les obligations envers les personnes concernées.

• L’annexe III comporte un domaine « Biométrie », limité à trois types de systèmes

  L’annexe III comporte un domaine « Biométrie », dans la mesure où son utilisation est autorisée par le droit de l’Union ou le droit national applicable. Ce domaine se limite aux points 1 a) à 1 c) ; le règlement ne connaît pas de régime plus large de la biométrie. Le mot « biométrie » de ce site désigne ces systèmes. Le point 1 a) couvre les systèmes d’identification biométrique à distance. Cela n’inclut pas les systèmes d’IA destinés à être utilisés à des fins de vérification biométrique dont la seule finalité est de confirmer qu’une personne physique spécifique est la personne qu’elle prétend être. Le point 1 b) couvre les systèmes d’IA destinés à être utilisés à des fins de catégorisation biométrique, en fonction d’attributs ou de caractéristiques sensibles ou protégés, sur la base de la déduction de ces attributs ou de ces caractéristiques. Le point 1 c) couvre les systèmes d’IA destinés à être utilisés pour la reconnaissance des émotions. Un système d’identification biométrique à distance identifie des personnes physiques sans leur participation active, généralement à distance, en comparant les données biométriques d’une personne avec celles d’une base de données de référence (article 3, point 41)). La vérification biométrique est la vérification automatisée, un à un, y compris l’authentification, de l’identité de personnes physiques par comparaison de leurs données biométriques avec des données biométriques préalablement fournies (article 3, point 36)). Un système biométrique que le point 1 ne mentionne pas n’est à haut risque que si un autre point de l’annexe III ou l’annexe I le couvre.

• L’article 6, paragraphe 3, peut sortir un système de l’annexe III

  Un système relevant de l’annexe III, point 1, est à haut risque au titre de l’article 6, paragraphe 2. Au titre de l’article 6, paragraphe 3, il n’est pas à haut risque s’il ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux. Cela inclut de ne pas avoir d’incidence significative sur le résultat de la prise de décision. Le règlement applique cette exception lorsqu’une des conditions suivantes est remplie (article 6, paragraphe 3, points a) à d)). Le système est destiné à accomplir une tâche procédurale étroite. Ou il est destiné à améliorer le résultat d’une activité humaine préalablement réalisée. Ou il est destiné à détecter les constantes en matière de prise de décision ou les écarts par rapport aux constantes habituelles antérieures et n’est pas destiné à se substituer à l’évaluation humaine préalablement réalisée, ni à influencer celle-ci, sans examen humain approprié. Ou il est destiné à exécuter une tâche préparatoire en vue d’une évaluation pertinente aux fins des cas d’utilisation visés à l’annexe III. Savoir comment ces conditions se combinent avec le critère du risque important relève d’un juriste. Le système est toujours à haut risque lorsqu’il effectue un profilage de personnes physiques. Le profilage est défini à l’article 4, point 4), du RGPD (article 3, point 52)). Savoir si un système biométrique donné en effectue un relève aussi d’un juriste. Le fournisseur qui invoque l’exception documente son évaluation avant la mise sur le marché ou la mise en service du système. Il doit aussi enregistrer le système (article 6, paragraphe 4, article 49, paragraphe 2). Indépendamment de cela, le point 1 a) exclut lui-même les systèmes d’IA destinés à être utilisés à des fins de vérification biométrique dont la seule finalité est de confirmer qu’une personne physique spécifique est la personne qu’elle prétend être.

• Fournisseur et déployeur

  Le fournisseur développe un système d’IA, ou le fait développer, et le met sur le marché ou le met en service sous son propre nom ou sa propre marque (article 3, point 3)). La mise en service inclut la fourniture pour usage propre du fournisseur (article 3, point 11)). Une entreprise ou une autorité publique qui développe un système biométrique et le met en service sous son propre nom est donc un fournisseur. Une entreprise ou une autorité publique qui utilise un système sous son autorité est un déployeur (article 3, point 4)). Un déployeur devient fournisseur dans trois cas. Il appose son nom ou sa marque sur un système à haut risque déjà mis sur le marché, sans préjudice des dispositions contractuelles prévoyant une autre répartition des obligations. Il y apporte une modification substantielle qui le laisse à haut risque. Ou il modifie la finalité prévue d’un système qui n’était pas à haut risque, de sorte qu’il le devienne (article 25, paragraphe 1). Le fournisseur qui a initialement mis le système sur le marché ou en service n’est alors plus considéré comme le fournisseur de ce système spécifique, et coopère étroitement avec le nouveau fournisseur (article 25, paragraphe 2). Cela ne s’applique pas lorsque le fournisseur initial a clairement précisé que son système ne doit pas être transformé en système d’IA à haut risque.

• Les obligations d’informer les personnes concernées figurent dans d’autres articles

  L’article 13 concerne l’information des déployeurs. Il ne fixe aucune règle sur des panneaux, avis ou messages à l’écran destinés aux personnes saisies par un système biométrique. Les déployeurs de systèmes d’IA à haut risque visés à l’annexe III qui prennent des décisions ou aident à prendre des décisions concernant des personnes physiques informent ces personnes qu’elles sont soumises à l’utilisation du système (article 26, paragraphe 11). Les déployeurs d’un système de reconnaissance des émotions ou d’un système de catégorisation biométrique informent les personnes physiques qui y sont exposées du fonctionnement du système et traitent les données à caractère personnel conformément au droit de la protection des données (article 50, paragraphe 3). Cette obligation ne s’applique pas aux systèmes de ce type dont la loi autorise l’utilisation pour détecter, prévenir ou enquêter sur des infractions pénales, sous réserve de garanties appropriées pour les droits et libertés des tiers et conformément au droit de l’Union. Le droit de l’Union en matière de protection des données continue de s’appliquer (article 2, paragraphe 7).

• Dates

  Les exigences pour ces usages de l’annexe III s’appliquent à partir du 2 décembre 2027 (article 113, point c) i)). Un système mis sur le marché ou mis en service avant cette date n’est couvert que si sa conception subit ensuite d’importantes modifications. En tout état de cause, les fournisseurs et les déployeurs de systèmes d’IA à haut risque destinés à être utilisés par des autorités publiques doivent prendre les mesures nécessaires pour se conformer au plus tard le 2 août 2030 (article 111, paragraphe 2). Cette règle ne couvre pas les systèmes visés à l’article 111, paragraphe 1.

• Amendes

  Les fournisseurs doivent veiller à ce que leurs systèmes à haut risque respectent les exigences de la section 2 du chapitre III, qui comprend les articles 9 à 15 (article 16, point a)). Un manquement aux obligations du fournisseur de l’article 16 ou à celles du déployeur de l’article 26 peut être sanctionné d’une amende. Elle peut atteindre 15 millions d’EUR ou, pour une entreprise, 3 % de son chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu (article 99, paragraphe 4, points a) et e)). Pour les PME, y compris les jeunes pousses, chaque amende est plafonnée au plus faible des deux montants (article 99, paragraphe 6). Le même plafond vaut pour les petites ETI (« petites entreprises à moyenne capitalisation » dans le règlement ; article 3, point 14 ter), article 99, paragraphe 6 bis). Chaque État membre établit les règles déterminant dans quelle mesure des amendes administratives peuvent être imposées aux autorités et organismes publics établis sur son territoire (article 99, paragraphe 8).

• Portée et limites du règlement

  Le règlement s’applique aux fournisseurs et aux déployeurs qui ont leur lieu d’établissement ou sont situés dans un pays tiers, lorsque les sorties produites par le système d’IA sont utilisées dans l’Union (article 2, paragraphe 1, point c)). Il ne s’applique pas aux domaines qui ne relèvent pas du champ d’application du droit de l’Union et ne porte pas atteinte aux compétences des États membres en matière de sécurité nationale (article 2, paragraphe 3). Le règlement ne s’applique pas aux systèmes d’IA ou aux modèles d’IA, ni à leurs sorties, spécifiquement développés et mis en service uniquement à des fins de recherche et développement scientifiques (article 2, paragraphe 6). Il ne s’applique pas aux activités de recherche, d’essai et de développement avant la mise sur le marché ou la mise en service d’un système. Les essais en conditions réelles ne sont pas couverts par cette exclusion (article 2, paragraphe 8). Les systèmes d’IA publiés dans le cadre de licences libres et ouvertes sont hors du champ du règlement. Cette exclusion ne joue pas s’ils sont mis sur le marché ou mis en service en tant que systèmes d’IA à haut risque, ou s’ils relèvent de l’article 5 ou de l’article 50 (article 2, paragraphe 12). Il ne s’applique pas aux systèmes d’IA lorsque et dans la mesure où ils sont mis sur le marché, mis en service ou utilisés, avec ou sans modification, exclusivement à des fins militaires, de défense ou de sécurité nationale, quel que soit le type d’entité exerçant ces activités (article 2, paragraphe 3). Il ne s’applique ni aux autorités publiques d’un pays tiers ni aux organisations internationales relevant de son champ d’application en vertu de l’article 2, paragraphe 1, lorsqu’elles utilisent des systèmes d’IA dans le cadre de la coopération internationale ou d’accords internationaux de coopération des services répressifs et judiciaires avec l’Union ou avec un ou plusieurs États membres, à condition que ce pays tiers ou cette organisation internationale fournisse des garanties adéquates en ce qui concerne la protection des droits fondamentaux et des libertés des personnes (article 2, paragraphe 4). Il ne s’applique pas aux obligations des déployeurs qui sont des personnes physiques utilisant des systèmes d’IA dans le cadre d’une activité strictement personnelle à caractère non professionnel (article 2, paragraphe 10). Le droit de l’Union en matière de protection des données à caractère personnel, de respect de la vie privée et de confidentialité des communications s’applique aux données à caractère personnel traitées en lien avec les droits et obligations énoncés dans le règlement. Sans préjudice de l’article 4 bis et de l’article 59, le règlement n’a pas d’incidence sur le règlement (UE) 2016/679, le règlement (UE) 2018/1725, la directive 2002/58/CE ni la directive (UE) 2016/680 (article 2, paragraphe 7).

• Aucune valeur d’exactitude ni liste de groupes propres à la biométrie

  L’article 13, paragraphe 3, exige que la notice indique le niveau d’exactitude et ses indicateurs et, lorsque c’est approprié, les performances à l’égard de personnes ou groupes de personnes spécifiques. Il ne nomme, pour les systèmes biométriques, ni valeur d’exactitude, ni indicateur, ni liste de groupes. Le règlement lui-même ne nomme aucune norme. Les systèmes à haut risque conformes à des normes harmonisées dont les références sont publiées au Journal officiel sont présumés conformes aux exigences de la section 2, dans la mesure où ces normes les couvrent (article 40, paragraphe 1). La Commission élabore des lignes directrices sur l’application des exigences et obligations des articles 8 à 15, 25 et 26 (article 96, paragraphe 1, point a)).

• Exemple : un guide pour les personnes qui vérifient les correspondances

  Exemple, sans valeur d’exigence du règlement : pour les personnes qui doivent vérifier une correspondance au titre de l’article 14, paragraphe 5, le fournisseur pourrait ajouter un guide succinct expliquant comment lire une correspondance et quelles circonstances la rendent moins fiable.

• Exemple : versionner la notice d’utilisation

  Exemple, sans valeur d’exigence du règlement : un fournisseur pourrait versionner la notice d’utilisation et consigner quelle version accompagne quelle version du système, afin qu’un déployeur puisse vérifier ce qui s’appliquait lors d’une utilisation donnée.

• Article 13 règlement IA : transparence et notice d’utilisation

  L’article 13 pour tous les secteurs : exigences, dates et amendes.

• Règlement IA biométrie : guide de conformité

  Le panorama de la biométrie : ce que couvre le règlement, ce qu’il interdit et les règles propres à la biométrie.

• Article 14 pour l’IA biométrique : supervision humaine

  L’IA biométrique et l’article 14 : contrôle humain et vérification par deux personnes pour l’identification à distance.

• Article 15 règlement IA : exactitude, robustesse et cybersécurité

  L’article 15 pour tous les secteurs : les niveaux d’exactitude que l’article 13, paragraphe 3, demande aux fournisseurs d’indiquer.