Article 15 pour l’IA fintech : exactitude, robustesse et cybersécurité

L’article 15 fixe des exigences de conception pour le fournisseur. Il ne nomme aucune valeur d’exactitude pour aucun secteur.

• art. 15(1)
  Niveau approprié, pendant tout le cycle de vie

  Les systèmes d’IA à haut risque doivent être conçus et développés pour atteindre un niveau approprié d’exactitude, de robustesse et de cybersécurité, et fonctionner de façon cohérente à cet égard tout au long de leur cycle de vie.

• art. 15(2)
  Les référentiels relèvent de l’encouragement de la Commission

  La Commission encourage, selon le cas, le développement de critères de référence et de méthodes de mesure, en coopération avec les parties prenantes telles que les autorités de métrologie et d’étalonnage. Ce n’est pas une obligation du fournisseur.

• art. 15(3)
  Déclarer niveaux et indicateurs

  Les niveaux d’exactitude et les indicateurs d’exactitude pertinents doivent être indiqués dans la notice d’utilisation qui accompagne le système.

• art. 15(4)
  Résilience face aux erreurs, et boucles de rétroaction

  Les systèmes doivent être aussi résilients que possible face aux erreurs, défaillances ou incohérences survenant dans le système ou son environnement, notamment du fait de leur interaction avec des personnes physiques ou d’autres systèmes. Des mesures techniques et organisationnelles doivent être prises ; la redondance technique, les plans de sauvegarde ou de sécurité intégrée sont cités comme options. Un système qui continue à apprendre après sa mise sur le marché doit être développé de manière à éliminer ou réduire autant que possible le risque que des sorties biaisées influencent les entrées futures (boucles de rétroaction).

• art. 15(5)
  Cybersécurité face aux tiers non autorisés

  Les systèmes doivent résister aux tentatives de tiers non autorisés visant à modifier leur utilisation, leurs sorties ou leurs performances en exploitant des vulnérabilités. Les solutions techniques comprennent, le cas échéant, des mesures contre l’empoisonnement des données, l’empoisonnement du modèle, les exemples contradictoires ou l’évasion du modèle, les attaques de confidentialité et les défauts du modèle.

L’article 15 ne vise que les systèmes d’IA à haut risque. Les lignes ci-dessous montrent où l’IA fintech devient à haut risque.

• La « fintech » n’est pas une catégorie du règlement

  Le règlement ne connaît pas de catégorie « fintech ». Ce site emploie ce mot pour l’IA qui relève du règlement par deux points d’accroche de l’annexe III : le point 5 b), solvabilité et note de crédit des personnes physiques, et le point 5 c), évaluation des risques et tarification en assurance-vie et en assurance maladie. Le point 5 b) exclut la détection de fraudes. Le point 5 de l’annexe III ne mentionne ni les contrôles de lutte contre le blanchiment, ni le trading algorithmique, ni le robo-conseil, ni les assurances autres que l’assurance-vie et l’assurance maladie, ni l’évaluation du crédit des personnes morales. Un système peut néanmoins être à haut risque en vertu d’un autre point de l’annexe III.

• Annexe III, points 5 b) et 5 c)

  L’annexe III, point 5 b), couvre les systèmes d’IA destinés à être utilisés pour évaluer la solvabilité des personnes physiques ou pour établir leur note de crédit, à l’exception des systèmes d’IA utilisés à des fins de détection de fraudes financières. Le point 5 c) couvre les systèmes d’IA destinés à être utilisés pour l’évaluation des risques et la tarification en ce qui concerne les personnes physiques en matière d’assurance-vie et d’assurance maladie. En vertu de l’article 6, paragraphe 2, les systèmes d’IA visés à l’annexe III sont considérés comme à haut risque. Un fournisseur qui considère qu’un tel système n’est pas à haut risque au titre de l’article 6, paragraphe 3 doit documenter son évaluation avant la mise sur le marché ou la mise en service du système, et l’enregistrer conformément à l’article 49, paragraphe 2. La dérogation ne s’applique jamais lorsque le système effectue du profilage de personnes physiques. Le profilage est celui défini à l’article 4, point 4), du règlement (UE) 2016/679 (article 3, point 52) ; le règlement ne dit pas si un système de scoring donné effectue du profilage.

• Fournisseur et déployeur

  Le fournisseur développe le système d’IA, ou le fait développer, et le met sur le marché ou le met en service sous son propre nom (article 3, point 3) ; ce peut être un éditeur de logiciels ou une banque qui développe un système pour son propre usage. Une personne physique ou morale, une autorité publique, une agence ou un autre organisme qui utilise un système sous son autorité, par exemple une banque, un assureur ou un prêteur, est un déployeur (article 3, point 4). Un déployeur devient fournisseur s’il appose son nom ou sa marque sur un système à haut risque déjà mis sur le marché, s’il y apporte une modification substantielle qui le laisse à haut risque, ou s’il modifie la finalité prévue d’un système qui n’était pas à haut risque de sorte qu’il le devienne (article 25, paragraphe 1).

• Dates

  L’annexe III, points 5 b) et 5 c), s’applique à partir du 2 décembre 2027 (article 113, paragraphe 3, point c)). Un système mis sur le marché ou mis en service avant cette date n’est couvert que si sa conception subit ensuite d’importantes modifications ; en tout état de cause, les fournisseurs et les déployeurs de systèmes d’IA à haut risque destinés à être utilisés par des autorités publiques doivent prendre les mesures nécessaires pour se conformer au plus tard le 2 août 2030 (article 111, paragraphe 2).

• Amendes

  Les manquements aux obligations des fournisseurs (article 16) et des déployeurs (article 26) peuvent être sanctionnés d’amendes pouvant atteindre 15 millions d’EUR ou, pour une entreprise, 3 % de son chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu (article 99, paragraphe 4). Pour les PME, y compris les jeunes pousses, chaque amende est plafonnée au montant le plus faible (article 99, paragraphe 6). Le même plafond vaut pour les petites ETI (« petites entreprises à moyenne capitalisation » dans le règlement ; article 3, point 14 ter, article 99, paragraphe 6 bis). Chaque État membre fixe les règles déterminant dans quelle mesure des amendes administratives peuvent être imposées aux autorités et organismes publics établis dans cet État membre (article 99, paragraphe 8).

• Limites du champ d’application du règlement

  Le règlement s’applique aux fournisseurs qui mettent sur le marché ou en service des systèmes d’IA dans l’Union, ou mettent sur le marché des modèles d’IA à usage général dans l’Union, où qu’ils soient établis (article 2, paragraphe 1, point a)), ainsi qu’aux fournisseurs et déployeurs établis dans un pays tiers lorsque les sorties du système d’IA sont utilisées dans l’Union (point c)). Il ne s’applique pas aux domaines qui ne relèvent pas du droit de l’Union et n’affecte pas les compétences des États membres en matière de sécurité nationale ; il ne s’applique pas non plus aux systèmes d’IA utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale (article 2, paragraphe 3).

• Aucune valeur d’exactitude pour la fintech

  L’article 15 ne nomme, pour aucun secteur, d’indicateur d’exactitude, de valeur minimale, de méthode d’essai ni de norme, et rien non plus pour le scoring de crédit ou l’assurance. Le fournisseur déclare les niveaux et les indicateurs pertinents (article 15, paragraphe 3). Les normes harmonisées dont les références sont publiées au Journal officiel font présumer la conformité dans la mesure où elles couvrent les exigences (article 40, paragraphe 1) ; un certificat de cybersécurité publié au titre du règlement (UE) 2019/881 la fait présumer pour les exigences de cybersécurité dans la mesure où il les couvre (article 42, paragraphe 2). Les systèmes qui relèvent du champ d’application du règlement (UE) 2024/2847 et remplissent les conditions de l’article 12, paragraphe 1, de ce règlement sont réputés conformes aux exigences de cybersécurité de l’article 15 (article 42, paragraphe 3). La Commission élabore des lignes directrices sur l’application des exigences et obligations des articles 8 à 15 et 25 et 26 (article 96, paragraphe 1, point a)).

• Exemple : indicateurs pour un modèle de scoring de crédit

  Exemple, sans valeur d’exigence du règlement : le fournisseur d’un modèle de scoring de crédit pourrait déclarer les indicateurs d’exactitude qu’il a mesurés et indiquer la population de demandeurs et la période sur lesquelles ils ont été mesurés.

• Exemple : tester les erreurs et les attaques

  Exemple, sans valeur d’exigence du règlement : un fournisseur pourrait tester le système avec des entrées corrompues ou hors plage et avec des exemples contradictoires, et conserver les résultats.

• Article 15 règlement IA : exactitude, robustesse et cybersécurité

  L’article 15 pour tous les secteurs : exigences, dates et amendes.

• Règlement IA fintech : guide de conformité

  Le panorama fintech : comment le règlement atteint l’IA de crédit et d’assurance.

• Article 17 pour l’IA fintech : système de gestion de la qualité

  L’IA fintech et l’article 17 : les 13 aspects et la règle pour les établissements financiers.

• Annexe III en détail : les 8 catégories à haut risque

  Les huit domaines de l’annexe III, dont le scoring de crédit et l’assurance-vie et maladie.