Skip to main content

Article 9 : système de gestion des risques pour l'IA à haut risque

Article 9 de l'AI Act : les fournisseurs de systèmes d'IA à haut risque doivent exploiter un système de gestion des risques continu. Ce qu'il couvre, quand il s'applique, ce que coûtent les manquements et par où commencer.

Les fournisseurs de systèmes d'IA à haut risque mis sur le marché de l'UE doivent exploiter un système de gestion des risques (article 9). Il couvre tout le cycle de vie. Il identifie, évalue et réduit les risques.

La règle s'applique à partir du 2 décembre 2027 aux systèmes de l'annexe III (usages à haut risque listés). Pour les produits de l'annexe I, elle s'applique à partir du 2 août 2028 (article 113, point c). Les produits de la section B sont exclus (article 2(2)). Les amendes pour manquement atteignent 15 millions d'EUR ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (article 99(4)). Prochaine étape : vérifiez avec l'article 6 que votre système est à haut risque, puis ouvrez un registre des risques.

L'article 9 exige d'identifier, d'évaluer, de réduire et de tester les risques

Identifier les risques

Listez les risques connus et raisonnablement prévisibles pour la santé, la sécurité ou les droits fondamentaux lorsque le système est utilisé conformément à sa destination (article 9(2), point a)). Seuls comptent les risques que la conception, le développement ou des informations techniques permettent de réduire raisonnablement (article 9(3)).

Estimer et évaluer les risques

Incluez les risques en cas de mauvaise utilisation raisonnablement prévisible et ceux qui apparaissent dans les données de la surveillance après commercialisation (article 9(2), points b) et c)).

Réduire les risques dans un ordre précis

Éliminez ou réduisez d'abord les risques par la conception et le développement. Ajoutez ensuite des mesures d'atténuation et de contrôle. Donnez enfin aux déployeurs des informations et, s'il y a lieu, une formation. Le risque résiduel doit être acceptable (article 9(5)).

Tester par rapport à des indicateurs définis

Testez pendant le développement et avant la mise sur le marché, selon des indicateurs et des seuils probabilistes définis à l'avance (article 9(6) et (8)). Les essais en conditions réelles sont possibles selon l'article 60 (article 9(7)).

Tenir compte des enfants et des groupes vulnérables

Examinez si le système est susceptible d'avoir un impact négatif sur les personnes de moins de 18 ans et, s'il y a lieu, sur d'autres groupes vulnérables (article 9(9)).

Quatre pratiques d'ingénierie qui produisent des preuves pour l'article 9

L'article 9 ne prescrit aucun outil. Ces quatre pratiques sont des suggestions pour un processus documenté et reproductible.

Registre des risques sous forme de code

Tenez un registre des risques lisible par machine (JSON ou YAML) sous gestion de versions, à côté du code. Notez pour chaque risque sa probabilité, sa gravité, la mesure de réduction et la personne responsable.

Contrôles de risque dans le CI/CD

Ajoutez au pipeline des analyses et des tests qui signalent les schémas à risque, comme l'absence de validation des entrées ou de seuils de confiance.

Tests pour les risques connus

Écrivez des tests qui vérifient l'efficacité de chaque mesure, selon des indicateurs et des seuils définis à l'avance (article 9(8)).

Suivi après la mise en production

Versez les données de production au registre : baisses de performance, dérive, sorties inhabituelles et interventions humaines (article 9(2), point c)).

La gestion des risques se poursuit sur tout le cycle de vie

L'article 9(2) décrit le système comme un processus itératif continu, mené sur tout le cycle de vie, avec un examen et une mise à jour systématiques et réguliers.

1

Identifier et évaluer les risques avant chaque version.

2

Mettre en œuvre les mesures et les tester.

3

Surveiller après la mise en production et réinjecter les constats.

Questions fréquentes sur l'article 9

L'article 9 s'applique-t-il à tous les systèmes d'IA ?

Non. L'article 9 s'applique aux systèmes d'IA à haut risque, que l'article 6 définit par les annexes III et I. Il s'applique à partir du 2 décembre 2027 aux systèmes de l'annexe III et à partir du 2 août 2028 à ceux de l'annexe I (article 113, point c). Pour les systèmes à haut risque liés à des produits relevant des actes de l'annexe I, section B, seuls l'article 6(1), l'article 60 bis et les articles 102 à 112 s'appliquent, et les articles 57 à 59 ne s'appliquent que dans la mesure où les exigences applicables aux systèmes d'IA à haut risque ont été intégrées dans cette législation (article 2(2)).

Quelle documentation l'article 9 exige-t-il ?

L'article 9(1) exige que le système de gestion des risques soit documenté, et l'annexe IV, point 5, exige sa description détaillée dans la documentation technique. Le règlement ne liste aucun ensemble fixe de documents. Consignez les risques, les mesures, l'appréciation du risque résiduel et les résultats des tests.

À quelle fréquence faut-il réviser le système de gestion des risques ?

Régulièrement et systématiquement sur tout le cycle de vie (article 9(2)). Le règlement ne fixe aucun intervalle.

Qui est responsable du système de gestion des risques ?

Le fournisseur. Les fournisseurs doivent veiller à ce que leurs systèmes d'IA à haut risque respectent les exigences de la section 2, dont l'article 9 (article 16, point a)). Les déployeurs ne l'exploitent pas, mais doivent surveiller le fonctionnement du système et informer les fournisseurs s'il y a lieu (article 26(5)).

Quelle amende s'applique si un fournisseur enfreint l'article 9 ?

Les amendes pour manquement aux obligations des fournisseurs de l'article 16 atteignent 15 millions d'EUR ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (article 99(4)). Pour les PME et les petites ETI (« petites entreprises à moyenne capitalisation » dans le règlement), le plus bas des deux montants est la limite (article 99(6) et (6 bis)).

À lire ensuite : journalisation, surveillance humaine et documentation technique

Scanara prépare des preuves à partir de vos dépôts

Scanara lit vos dépôts GitHub connectés et exécute des analyses à base de règles pour repérer les schémas courants d'IA et d'apprentissage automatique. Il peut manquer du code non standard. Par ailleurs, il génère des projets de documentation à partir de modèles et de vos réponses aux évaluations, comme preuves pour votre travail de conformité. Vous décidez de la classification.