Article 26 dans l’éducation : obligations des déployeurs

L’article 26 fixe ces obligations aux déployeurs de systèmes d’IA à haut risque.

• art. 26(1)
  Utiliser selon la notice d’utilisation

  Prendre des mesures techniques et organisationnelles appropriées pour utiliser le système conformément à la notice d’utilisation.

• art. 26(2)
  Confier le contrôle humain

  Confier le contrôle humain à des personnes physiques disposant des compétences, de la formation et de l’autorité nécessaires ainsi que du soutien nécessaire.

• art. 26(4)
  Vérifier les données d’entrée

  Dans la mesure où le déployeur exerce un contrôle sur les données d’entrée, veiller à ce qu’elles soient pertinentes et suffisamment représentatives au regard de la finalité prévue.

• art. 26(5)
  Surveiller, informer, suspendre

  Surveiller le fonctionnement sur la base de la notice d’utilisation et, le cas échéant, informer les fournisseurs conformément à l’article 72. Si l’utilisation conforme aux instructions peut présenter un risque au sens de l’article 79, paragraphe 1, informer sans retard indu le fournisseur ou le distributeur et l’autorité de surveillance du marché, et suspendre l’utilisation. Après un incident grave, informer immédiatement d’abord le fournisseur, puis l’importateur ou le distributeur et les autorités de surveillance du marché. Si le fournisseur est injoignable, l’article 73 s’applique mutatis mutandis.

• art. 26(6)
  Conserver les journaux

  Conserver les journaux générés automatiquement par le système, dans la mesure où ils sont sous le contrôle du déployeur, pendant une période adaptée à la finalité prévue et d’au moins six mois, sauf disposition contraire du droit de l’Union ou du droit national, en particulier sur la protection des données à caractère personnel.

• art. 26(7)
  Informer les travailleurs

  Les employeurs doivent informer les représentants des travailleurs et les travailleurs concernés, avant de mettre en service ou d’utiliser un système à haut risque sur le lieu de travail, qu’ils feront l’objet de son utilisation. Cette information est fournie, le cas échéant, conformément aux règles et procédures du droit et de la pratique de l’Union et nationaux relatives à l’information des travailleurs et de leurs représentants.

• art. 26(8)
  Les autorités publiques s’enregistrent

  Les déployeurs qui sont des autorités publiques, ou des institutions, organes ou organismes de l’Union, doivent respecter les obligations d’enregistrement de l’article 49, qui concernent les systèmes de l’annexe III. Ils ne doivent pas utiliser un système qui n’est pas enregistré dans la base de données de l’UE.

• art. 26(9)
  Analyse d’impact relative à la protection des données

  Le cas échéant, utiliser les informations fournies au titre de l’article 13 pour l’analyse d’impact relative à la protection des données prévue à l’article 35 du règlement (UE) 2016/679 ou à l’article 27 de la directive (UE) 2016/680.

• art. 26(11)
  Informer les personnes concernées par les décisions

  Pour les systèmes de l’annexe III qui prennent ou aident à prendre des décisions concernant des personnes physiques, informer ces personnes qu’elles font l’objet de l’utilisation du système, sans préjudice de l’article 50.

• art. 26(12)
  Coopérer avec les autorités

  Coopérer avec les autorités compétentes dans toute action qu’elles entreprennent à l’égard du système d’IA à haut risque.

L’article 26 ne vise que les déployeurs de systèmes d’IA à haut risque. Les lignes ci-dessous montrent où l’IA éducative devient à haut risque et quelles autres règles touchent les écoles et les universités.

• Où se situe l’éducation dans le règlement

  Le règlement ne comporte pas de régime propre à l’éducation dans son ensemble. Ce site emploie « éducation » pour l’IA utilisée dans les écoles, les universités, la formation professionnelle et les examens. Cette IA entre dans le règlement par l’annexe III, point 3, intitulé « Éducation et formation professionnelle », et par l’interdiction de déduire les émotions dans les établissements d’enseignement (article 5, paragraphe 1, point f)). Le point 3 ne nomme ni la détection du plagiat, ni la prédiction du décrochage, ni les plateformes d’apprentissage adaptatif, ni les tableaux de bord, ni les agents conversationnels administratifs ; qu’un système en relève découle de sa finalité prévue (article 3, point 12). Un système peut aussi être à haut risque au titre d’un autre point de l’annexe III.

• Annexe III, point 3 : quatre usages

  L’annexe III, point 3 couvre les systèmes d’IA destinés à être utilisés : a) pour déterminer l’accès, l’admission ou l’affectation de personnes physiques à des établissements d’enseignement et de formation professionnelle, à tous les niveaux ; b) pour évaluer les acquis d’apprentissage, y compris lorsque ceux-ci sont utilisés pour orienter le processus d’apprentissage de personnes physiques dans les établissements d’enseignement et de formation professionnelle, à tous les niveaux ; c) pour évaluer le niveau d’enseignement approprié qu’une personne recevra ou sera en mesure d’atteindre, dans le contexte ou au sein de ces établissements ; d) pour surveiller et détecter des comportements interdits chez les étudiants lors d’examens, dans le contexte de ces établissements ou en leur sein. En vertu de l’article 6, paragraphe 2, les systèmes d’IA visés à l’annexe III sont considérés comme à haut risque. Un fournisseur qui considère qu’un tel système n’est pas à haut risque au titre de l’article 6, paragraphe 3 doit documenter son évaluation avant la mise sur le marché ou la mise en service du système, et l’enregistrer conformément à l’article 49, paragraphe 2. La dérogation ne s’applique jamais lorsque le système effectue du profilage de personnes physiques. Le profilage est celui défini à l’article 4, point 4), du règlement (UE) 2016/679 (article 3, point 52).

• Fournisseur et déployeur

  Le fournisseur développe le système d’IA, ou le fait développer, et le met sur le marché ou le met en service sous son propre nom (article 3, point 3) ; ce peut être un éditeur de technologies éducatives ou une université qui développe un système pour son propre usage. Une personne physique ou morale, une autorité publique, une agence ou un autre organisme qui utilise un système sous son autorité, par exemple une école, une université ou un organisme d’examen, est un déployeur (article 3, point 4). Un déployeur devient fournisseur s’il appose son nom ou sa marque sur un système à haut risque déjà mis sur le marché, s’il y apporte une modification substantielle qui le laisse à haut risque, ou s’il modifie la finalité prévue d’un système qui n’était pas à haut risque de sorte qu’il le devienne (article 25, paragraphe 1). Les personnes physiques qui utilisent un système dans le cadre d’une activité strictement personnelle à caractère non professionnel ne sont pas liées en tant que déployeurs (article 2, paragraphe 10). Apposer son nom ou sa marque est sans préjudice des arrangements contractuels répartissant autrement les obligations (article 25, paragraphe 1, point a)) ; le fournisseur initial n’est alors plus le fournisseur de ce système et coopère étroitement avec le nouveau fournisseur (article 25, paragraphe 2). L’obligation de coopération ne s’applique pas lorsque le fournisseur initial a clairement précisé que son système d’IA ne doit pas être transformé en système d’IA à haut risque et n’est donc pas soumis à l’obligation de coopérer (article 25, paragraphe 2, dernier alinéa).

• Dates

  L’annexe III, point 3 s’applique à partir du 2 décembre 2027 (article 113, point c)). Un système mis sur le marché ou mis en service avant cette date n’est couvert que si, à partir de cette date, sa conception subit d’importantes modifications. Dans le même paragraphe, la phrase « en tout état de cause » prévoit que les fournisseurs et déployeurs de systèmes d’IA à haut risque destinés à être utilisés par des autorités publiques prennent les mesures nécessaires pour se conformer d’ici le 2 août 2030 (article 111, paragraphe 2). Le règlement ne dit pas si cela vise aussi les systèmes mis sur le marché après le 2 décembre 2027 ; consultez un conseil juridique.

• Amendes

  Les manquements aux obligations des fournisseurs (article 16) et des déployeurs (article 26) peuvent être sanctionnés d’amendes pouvant atteindre 15 millions d’EUR ou, pour une entreprise, 3 % de son chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu (article 99, paragraphe 4). Pour les PME, y compris les jeunes pousses, chaque amende est plafonnée au montant le plus faible (article 99, paragraphe 6). Le même plafond vaut pour les petites ETI (« petites entreprises à moyenne capitalisation » dans le règlement ; article 3, point 14 ter, article 99, paragraphe 6 bis). Chaque État membre fixe les règles déterminant dans quelle mesure des amendes administratives peuvent être imposées aux autorités et organismes publics établis dans cet État membre (article 99, paragraphe 8). Les articles 27, 49 et 86 ne figurent pas à l’article 99, paragraphes 3 à 5 ; les États membres fixent les règles relatives aux sanctions applicables aux violations du règlement par les opérateurs (article 99, paragraphe 1).

• Limites du champ d’application du règlement

  Le règlement s’applique aux fournisseurs qui mettent sur le marché ou en service des systèmes d’IA dans l’Union, ou mettent sur le marché des modèles d’IA à usage général dans l’Union, où qu’ils soient établis (article 2, paragraphe 1, point a)), ainsi qu’aux fournisseurs et déployeurs établis dans un pays tiers lorsque les sorties du système d’IA sont utilisées dans l’Union (point c)). Il ne s’applique pas aux domaines qui ne relèvent pas du droit de l’Union et n’affecte pas les compétences des États membres en matière de sécurité nationale ; il ne s’applique pas non plus aux systèmes d’IA utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale (article 2, paragraphe 3). Le règlement ne s’applique pas aux systèmes ou modèles d’IA, y compris leurs sorties, spécifiquement développés et mis en service à la seule fin de la recherche et du développement scientifiques (article 2, paragraphe 6). Il ne s’applique pas non plus aux activités de recherche, d’essai et de développement menées avant la mise sur le marché ou la mise en service d’un système ou d’un modèle ; les essais en conditions réelles ne sont pas couverts par cette exclusion (article 2, paragraphe 8). Il ne s’applique pas aux obligations incombant aux déployeurs qui sont des personnes physiques utilisant des systèmes d’IA dans le cadre d’une activité strictement personnelle à caractère non professionnel (article 2, paragraphe 10). Il ne s’applique pas aux systèmes d’IA publiés dans le cadre de licences libres et ouvertes, sauf s’ils sont mis sur le marché ou mis en service en tant que systèmes d’IA à haut risque ou en tant que systèmes d’IA relevant de l’article 5 ou 50 (article 2, paragraphe 12).

• Une école ou une université est-elle un organisme public ?

  Le règlement ne définit ni l’« autorité publique » ni l’« organisme de droit public ». Par exemple, ces règles dépendent de ce statut : l’enregistrement du système et de son utilisation dans la base de données de l’UE par les déployeurs qui sont des autorités publiques, des institutions, organes ou organismes de l’Union, ou des personnes agissant en leur nom (article 26, paragraphe 8, article 49, paragraphe 3) ; l’analyse d’impact sur les droits fondamentaux (article 27, paragraphe 1) ; et la phrase « en tout état de cause » de l’article 111, paragraphe 2 sur les systèmes destinés à des autorités publiques (2 août 2030). Le règlement ne dit pas si une école, une université ou un organisme d’examen donné a ce statut.

• Analyse d’impact sur les droits fondamentaux (article 27)

  Article 27, paragraphe 1 : avant de déployer un système d’IA à haut risque visé à l’article 6, paragraphe 2, à l’exception des systèmes destinés à être utilisés dans le domaine énuméré au point 2 de l’annexe III, les déployeurs qui sont des organismes de droit public ou des entités privées fournissant des services publics doivent évaluer l’impact de l’utilisation du système sur les droits fondamentaux. Le point 3 de l’annexe III n’est pas un domaine exclu ; seul le point 2 l’est. L’obligation s’applique à la première utilisation ; dans des cas similaires, le déployeur peut s’appuyer sur des évaluations antérieures (article 27, paragraphe 2). Le déployeur notifie les résultats à l’autorité de surveillance du marché (article 27, paragraphe 3) et peut renvoyer à une analyse d’impact relative à la protection des données (article 27, paragraphe 4).

• Explication des décisions (article 86) et information (article 26, paragraphe 11)

  Selon l’article 26, paragraphe 11, les déployeurs de systèmes d’IA à haut risque de l’annexe III qui prennent des décisions concernant des personnes physiques, ou aident à en prendre, doivent informer ces personnes qu’elles sont soumises à l’utilisation du système. Séparément, toute personne concernée faisant l’objet d’une décision prise par le déployeur sur la base des résultats d’un système d’IA à haut risque de l’annexe III (hors point 2), qui produit des effets juridiques ou l’affecte de manière significative de façon similaire, d’une manière qu’elle considère comme ayant des conséquences négatives sur sa santé, sa sécurité ou ses droits fondamentaux, a le droit d’obtenir du déployeur des explications claires et pertinentes sur le rôle du système d’IA dans la procédure décisionnelle et sur les principaux éléments de la décision prise (article 86, paragraphe 1). Cela ne s’applique que dans la mesure où ce droit n’est pas prévu autrement par le droit de l’Union (article 86, paragraphe 3). Le paragraphe 1 ne s’applique pas lorsque des exceptions ou restrictions découlent du droit de l’Union ou du droit national dans le respect du droit de l’Union (article 86, paragraphe 2).

• Maîtrise de l’IA (article 4)

  Les fournisseurs et les déployeurs de systèmes d’IA doivent prendre des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation ainsi que le contexte d’utilisation (article 4, paragraphe 1). Cela vaut pour les systèmes d’IA en général, pas seulement pour les systèmes à haut risque. Le chapitre I, qui contient l’article 4, s’applique à partir du 2 février 2025 (article 113, point a)). Les fournisseurs et les déployeurs ne sont pas tenus de garantir un niveau spécifique de maîtrise de l’IA à un individu. La compétence, la formation et l’autorité des personnes chargées de la surveillance humaine sont exigées séparément par l’article 26, paragraphe 2.

• Aucun chiffre de personnel ou de formation

  L’article 26 ne fixe ni effectif, ni heures de formation, ni qualification pour les personnes qui supervisent un système d’admission, de notation ou de surveillance des examens. Il exige la compétence, la formation, l’autorité et le soutien nécessaires. La Commission élabore des lignes directrices sur l’application des exigences et obligations des articles 8 à 15 et 25 et 26 (article 96, paragraphe 1, point a)).

• Conservation des journaux

  L’article 26, paragraphe 6, fixe au moins six mois pour les journaux sous le contrôle du déployeur et cède devant un autre droit de l’Union ou national, notamment sur les données personnelles. Le règlement ne nomme aucune durée de conservation pour l’éducation.

• Choix de conception : les rôles de supervision

  Un choix de conception courant, sans valeur d’exigence du règlement : désigner les personnes chargées de la supervision par leur rôle dans les procédures d’admission, de notation ou d’examen, et consigner leur formation.

• Contrôle humain de chaque note ou décision d’admission

  L’article 14, paragraphe 4, et l’article 26, paragraphe 2, portent sur la surveillance humaine du système. Aucun des deux ne dit qu’une personne doit contrôler chaque décision individuelle. La question de savoir si un autre droit, par exemple sur les décisions individuelles automatisées, l’exige n’est pas tranchée par le règlement.

• Article 26 : obligations des déployeurs d’IA à haut risque

  L’article 26 pour tous les secteurs : qui est déployeur, les obligations, l’article 27 et les amendes.

• Règlement IA edtech : conformité éducation

  Le panorama de l’éducation : comment le règlement atteint l’IA dans les écoles, les universités et la formation.

• Article 17 pour l’IA éducative : système de gestion de la qualité

  IA éducative et article 17 : les 13 aspects et qui est le fournisseur.

• Article 27 : analyse d’impact sur les droits fondamentaux (FRIA)

  L’article 27 pour tous les secteurs : qui doit évaluer l’impact sur les droits fondamentaux et ce que couvre l’évaluation.