Règlement IA edtech : conformité éducation

Le règlement n’a pas de régime sectoriel pour l’éducation. Ce site emploie ce mot pour l’IA qui relève du règlement par l’annexe III, point 3, intitulé « Éducation et formation professionnelle », et par les règles ci-dessous.

• Accès et admission : annexe III, point 3 a)

  Les systèmes d’IA destinés à être utilisés pour déterminer l’accès, l’admission ou l’affectation de personnes physiques à des établissements d’enseignement et de formation professionnelle, à tous les niveaux, sont à haut risque.

• Acquis d’apprentissage : annexe III, point 3 b)

  Les systèmes d’IA destinés à être utilisés pour évaluer les acquis d’apprentissage, y compris lorsque ceux-ci sont utilisés pour orienter le processus d’apprentissage de personnes physiques, sont à haut risque.

• Niveau d’enseignement : annexe III, point 3 c)

  Les systèmes d’IA destinés à être utilisés pour évaluer le niveau d’enseignement approprié qu’une personne recevra ou sera en mesure d’atteindre sont à haut risque.

• Surveillance lors d’examens : annexe III, point 3 d)

  Les systèmes d’IA destinés à être utilisés pour surveiller et détecter des comportements interdits chez les étudiants lors d’examens sont à haut risque. Chacun des quatre usages est lié à des établissements d’enseignement et de formation professionnelle à tous les niveaux. Le point 3 d) nomme les examens.

• Usages que le point 3 ne nomme pas

  Le point 3 ne nomme pas, en tant que tels, la détection de plagiat ou de textes générés par l’IA, la prédiction du décrochage, les tableaux de bord d’apprentissage, les chatbots administratifs ni l’apprentissage adaptatif. Un système destiné à l’un de ces usages n’est à haut risque que si sa finalité prévue correspond à l’un des points 3 a) à d), ou si un autre point de l’annexe III ou de l’annexe I le couvre.

• L’article 6, paragraphe 3, peut sortir un système de l’annexe III

  Un système relevant du point 3 est à haut risque au titre de l’article 6, paragraphe 2. Par dérogation, un système d’IA visé à l’annexe III n’est pas considéré comme étant à haut risque au titre de l’article 6, paragraphe 3 lorsqu’il ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux des personnes physiques, y compris en n’ayant pas d’incidence significative sur le résultat de la prise de décision. Cela s’applique lorsqu’une des quatre conditions suivantes est remplie : a) le système est destiné à accomplir une tâche procédurale étroite ; b) il est destiné à améliorer le résultat d’une activité humaine préalablement réalisée ; c) il est destiné à détecter les constantes en matière de prise de décision ou les écarts par rapport aux constantes habituelles antérieures et n’est pas destiné à se substituer à l’évaluation humaine préalablement réalisée, ni à influencer celle-ci, sans examen humain approprié ; ou d) il est destiné à exécuter une tâche préparatoire en vue d’une évaluation pertinente aux fins des cas d’utilisation visés à l’annexe III. Un système de l’annexe III est toujours à haut risque lorsqu’il effectue un profilage de personnes physiques (article 3, point 52), article 4, point 4), du RGPD). Le fournisseur qui considère que son système de l’annexe III n’est pas à haut risque documente son évaluation avant que le système ne soit mis sur le marché ou mis en service, et l’enregistre (article 6, paragraphe 4, article 49, paragraphe 2). Savoir si un système éducatif donné effectue un profilage relève d’un juriste.

• L’inférence d’émotions dans les établissements d’enseignement : interdite, avec une exception pour des raisons médicales ou de sécurité

  L’article 5, paragraphe 1, point f), interdit la mise sur le marché, la mise en service à cette fin spécifique ou l’utilisation de systèmes d’IA pour inférer les émotions d’une personne physique sur le lieu de travail et dans les établissements d’enseignement, sauf lorsque l’utilisation du système d’IA est destinée à être mise en place ou mise sur le marché pour des raisons médicales ou de sécurité. L’interdiction s’applique à partir du 2 février 2025 (article 113, point a)). C’est une interdiction, et non un usage à haut risque : l’exception ne crée aucune obligation et n’est pas un point d’accroche de l’annexe III. Une fonctionnalité d’un système éducatif qui infère les émotions des étudiants relève du point f), sauf si l’exception s’applique. Un manquement est sanctionné d’une amende pouvant atteindre 35 millions d’EUR ou, pour une entreprise, 7 % de son chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu (article 99, paragraphe 3). Pour les PME, y compris les jeunes pousses, chaque amende est plafonnée au plus faible des deux montants (article 99, paragraphe 6).

• Autres règles du règlement qui peuvent atteindre l’IA dans l’éducation

  L’article 4 prévoit que les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte ; le chapitre I s’applique à partir du 2 février 2025. L’article 50 fixe des obligations de transparence pour les fournisseurs et les déployeurs de certains systèmes d’IA ; il ne nomme aucun cas lié à l’éducation et s’applique à partir de la date générale d’application, le 2 août 2026. L’article 53 fixe des obligations pour les fournisseurs de modèles d’IA à usage général ; il ne nomme aucun cas lié à l’éducation.

Le fournisseur développe un système d’IA, ou le fait développer, et le met sur le marché ou le met en service sous son propre nom ou sa propre marque (article 3, point 3)). La mise en service inclut la fourniture pour usage propre (article 3, point 11)). Un établissement scolaire, une université ou un organisme d’examen qui utilise un système sous son autorité est un déployeur (article 3, point 4)). Une université qui développe un système et le met en service pour son usage propre sous son propre nom est donc un fournisseur. Un déployeur devient fournisseur d’un système à haut risque dans trois cas : il appose son nom ou sa marque sur un système déjà mis sur le marché, sans préjudice des dispositions contractuelles prévoyant une autre répartition des obligations ; il apporte une modification substantielle qui laisse le système à haut risque ; ou il modifie la finalité prévue d’un système qui n’était pas à haut risque, de sorte qu’il le devienne (article 25, paragraphe 1).

Le fournisseur d’un système éducatif à haut risque porte les obligations de conception ci-dessous. Chaque page liée sous « Pages d’articles pour l’éducation » en traite une.

• art. 9
  Système de gestion des risques

  Un processus itératif continu sur tout le cycle de vie, avec des tests selon des indicateurs préalablement définis et une attention portée aux personnes de moins de 18 ans.

• art. 10
  Données et gouvernance des données

  Des jeux de données d’entraînement, de validation et de test qui satisfont aux critères de qualité, avec un examen des biais et des pratiques de gouvernance des données.

• art. 12
  Enregistrement

  Le système permet, techniquement, l’enregistrement automatique des événements (journaux) tout au long de sa durée de vie.

• art. 13
  Transparence et notice d’utilisation

  Un fonctionnement suffisamment transparent pour que les déployeurs puissent interpréter les sorties, avec une notice d’utilisation qui contient au moins les éléments de l’article 13, paragraphe 3.

• art. 14
  Contrôle humain

  Une conception qui permet un contrôle effectif par des personnes physiques pendant l’utilisation du système.

• art. 15
  Exactitude, robustesse et cybersécurité

  Un niveau approprié d’exactitude, de robustesse et de cybersécurité tout au long du cycle de vie ; les niveaux d’exactitude et les indicateurs pertinents sont indiqués dans la notice d’utilisation. Les déployeurs n’ont aucune obligation au titre de l’article 15.

• art. 17
  Système de gestion de la qualité

  Un système de gestion de la qualité documenté. Sa mise en œuvre est proportionnée à la taille de l’organisation du fournisseur, en particulier pour les PME et les petites ETI, qui doivent en tout état de cause respecter le degré de rigueur requis (article 17, paragraphe 2).

• art. 43(2), 47–49
  Évaluation de la conformité et enregistrement

  Pour les systèmes des points 2 à 8 de l’annexe III, dont le point 3, le fournisseur suit la procédure d’évaluation de la conformité fondée sur le contrôle interne (annexe VI), sans organisme notifié (article 43, paragraphe 2). Il établit la déclaration UE de conformité (article 47), appose le marquage CE (article 48) et s’enregistre, avec le système, dans la base de données de l’UE (article 49, paragraphe 1) avant de mettre le système sur le marché ou en service.

• art. 26(1)–(3)
  Utiliser selon la notice ; confier le contrôle

  Les déployeurs prennent des mesures techniques et organisationnelles appropriées afin de garantir qu’ils utilisent le système conformément à la notice d’utilisation, et confient le contrôle humain à des personnes physiques qui disposent des compétences, de la formation et de l’autorité nécessaires ainsi que du soutien nécessaire. Ces obligations sont sans préjudice des autres obligations du déployeur prévues par le droit de l’Union ou le droit national (article 26, paragraphes 1 à 3).

• art. 26(4)–(6)
  Données d’entrée, surveillance et journaux

  Pour autant que le déployeur exerce un contrôle sur les données d’entrée, il veille à ce qu’elles soient pertinentes et suffisamment représentatives au regard de la finalité prévue. Il surveille le fonctionnement du système sur la base de la notice d’utilisation et, lorsque les déployeurs ont des raisons de considérer que l’utilisation conformément à la notice pourrait conduire à un risque au sens de l’article 79, paragraphe 1, ils en informent, sans retard injustifié, le fournisseur ou le distributeur ainsi que l’autorité de surveillance du marché, et suspendent l’utilisation. Il assure la tenue des journaux sous son contrôle pendant au moins six mois, sauf disposition contraire du droit de l’Union ou du droit national (article 26, paragraphes 4 à 6).

• art. 26(8)
  Autorités publiques : enregistrement

  Les déployeurs qui sont des autorités publiques, ou des institutions, organes ou organismes de l’Union, respectent les obligations en matière d’enregistrement prévues à l’article 49 et n’utilisent pas un système qui n’a pas été enregistré dans la base de données de l’UE (article 26, paragraphe 8, article 49, paragraphe 3).

• art. 26(9)
  Analyse d’impact relative à la protection des données, le cas échéant

  Le cas échéant, les déployeurs utilisent les informations fournies en application de l’article 13 pour se conformer à leur obligation de procéder à une analyse d’impact relative à la protection des données en vertu de l’article 35 du RGPD (article 26, paragraphe 9). L’existence de cette obligation est déterminée par le droit de la protection des données.

• art. 26(11)
  Informer les personnes concernées

  Sans préjudice de l’article 50, les déployeurs de systèmes à haut risque de l’annexe III qui prennent des décisions ou facilitent les prises de décision concernant des personnes physiques informent lesdites personnes qu’elles sont soumises à l’utilisation du système (article 26, paragraphe 11). C’est l’obligation d’information du règlement envers les étudiants. Ce n’est pas l’article 50, paragraphe 1.

• art. 27
  Analyse d’impact sur les droits fondamentaux

  Avant de déployer un système à haut risque, les déployeurs qui sont des organismes de droit public ou des entités privées fournissant des services publics effectuent une analyse de l’impact sur les droits fondamentaux, et en notifient les résultats à l’autorité de surveillance du marché ; dans le cas visé à l’article 46, paragraphe 1, les déployeurs peuvent être exemptés de cette obligation de notification. L’obligation exclut le point 2 de l’annexe III et couvre le point 3 (article 27, paragraphes 1 et 3). Le règlement ne nomme aucune école ni université ; savoir si un établissement donné est un organisme de droit public ou une entité privée fournissant des services publics relève du droit national et d’un juriste.

• art. 86
  Droit à l’explication

  Toute personne concernée faisant l’objet d’une décision prise par un déployeur sur la base des sorties d’un système de l’annexe III (à l’exception du point 2), qui produit des effets juridiques ou affecte significativement cette personne de façon similaire d’une manière qu’elle considère comme ayant des conséquences négatives sur sa santé, sa sécurité ou ses droits fondamentaux, a le droit d’obtenir du déployeur des explications claires et pertinentes (article 86).

• art. 4
  Maîtrise de l’IA du personnel

  Les déployeurs prennent des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte. Cette obligation ne les contraint pas à garantir un niveau spécifique de maîtrise de l’IA par un individu (article 4).

• Dates

  Le chapitre III, sections 1 à 3, qui comprennent les articles 9 à 15, 17, 26 et 27, s’applique aux systèmes d’IA classés à haut risque au titre de l’article 6, paragraphe 2, et de l’annexe III à partir du 2 décembre 2027 (article 113, point c) i)). Un système à haut risque mis sur le marché ou mis en service avant cette date n’est couvert que si, à partir de cette date, sa conception subit d’importantes modifications. En tout état de cause, les fournisseurs et les déployeurs de systèmes d’IA à haut risque destinés à être utilisés par des autorités publiques prennent les mesures nécessaires pour se conformer aux exigences et obligations du règlement au plus tard le 2 août 2030 (article 111, paragraphe 2). Le règlement n’indique pas si cela vaut aussi pour les systèmes mis sur le marché ou mis en service après le 2 décembre 2027 ; c’est une question pour un juriste.

• Amendes

  Les fournisseurs doivent veiller à ce que leurs systèmes à haut risque respectent les exigences de la section 2 du chapitre III, qui comprend les articles 9 à 15 (article 16, point a)). Un manquement aux obligations du fournisseur de l’article 16 ou à celles du déployeur de l’article 26 peut être sanctionné d’une amende. Elle peut atteindre 15 millions d’EUR ou, pour une entreprise, 3 % de son chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu (article 99, paragraphe 4, points a) et e)). Pour les PME, y compris les jeunes pousses, chaque amende est plafonnée au plus faible des deux montants (article 99, paragraphe 6). Le même plafond vaut pour les petites ETI (« petites entreprises à moyenne capitalisation » dans le règlement ; article 3, point 14 ter), article 99, paragraphe 6 bis). Chaque État membre établit dans quelle mesure des amendes peuvent être imposées aux autorités publiques et aux organismes publics (article 99, paragraphe 8).

• Systèmes et usages hors du champ du règlement

  Le règlement s’applique aux fournisseurs établis ou situés dans l’Union ou dans un pays tiers qui mettent sur le marché ou mettent en service des systèmes d’IA dans l’Union, et aux fournisseurs et aux déployeurs de systèmes d’IA qui ont leur lieu d’établissement ou sont situés dans un pays tiers, lorsque les sorties produites par le système d’IA sont utilisées dans l’Union (article 2, paragraphe 1, points a) et c)). Il ne s’applique pas aux domaines qui ne relèvent pas du champ d’application du droit de l’Union et ne porte pas atteinte aux compétences des États membres en matière de sécurité nationale (article 2, paragraphe 3). Il ne s’applique pas aux systèmes d’IA si et dans la mesure où ils sont mis sur le marché, mis en service ou utilisés avec ou sans modifications exclusivement à des fins militaires, de défense ou de sécurité nationale, ni aux systèmes d’IA qui ne sont pas mis sur le marché ou mis en service dans l’Union, lorsque les sorties sont utilisées dans l’Union exclusivement à des fins de ce type (article 2, paragraphe 3). Il ne s’applique pas aux systèmes d’IA ou modèles d’IA, y compris à leurs sorties, spécifiquement développés et mis en service uniquement à des fins de recherche et développement scientifiques (article 2, paragraphe 6). Il ne s’applique pas aux activités de recherche, d’essai et de développement avant la mise sur le marché ou la mise en service d’un système ; les essais en conditions réelles ne sont pas couverts par cette exclusion (article 2, paragraphe 8). Il ne s’applique pas aux obligations incombant aux déployeurs qui sont des personnes physiques utilisant des systèmes d’IA dans le cadre d’une activité strictement personnelle à caractère non professionnel (article 2, paragraphe 10). Les systèmes d’IA publiés dans le cadre de licences libres et ouvertes sont hors du champ du règlement, sauf s’ils sont mis sur le marché ou mis en service en tant que systèmes d’IA à haut risque, ou s’ils relèvent de l’article 5 ou de l’article 50 (article 2, paragraphe 12).

• Pas de valeurs propres à l’éducation

  Au-delà du point 3 de l’annexe III et de l’article 5, paragraphe 1, point f), le règlement n’a aucune règle propre à l’éducation. Il ne nomme, pour l’éducation, aucune valeur d’exactitude, aucune durée de conservation au-delà du minimum de six mois, aucune fréquence de test ni aucun seuil de biais. Le règlement lui-même ne nomme aucune norme harmonisée. Les systèmes à haut risque conformes à des normes harmonisées dont les références sont publiées au Journal officiel sont présumés conformes aux exigences de la section 2, dans la mesure où ces normes les couvrent (article 40, paragraphe 1). La Commission élabore des lignes directrices sur l’application des articles 8 à 15, 25 et 26 (article 96, paragraphe 1, point a)) et sur les pratiques interdites (article 96, paragraphe 1, point b)).

• Qui est un organisme de droit public

  L’article 27, paragraphe 1, et l’article 26, paragraphe 8, s’appliquent aux organismes de droit public, aux entités privées fournissant des services publics et aux autorités publiques. Le règlement ne définit pas ces termes pour les écoles ou les universités. Le droit national décide de la manière dont un établissement est classé.

• Outils qui ne sont pas nommés

  Savoir si un détecteur de plagiat, un outil de prédiction du décrochage ou un outil d’apprentissage adaptatif est à haut risque dépend de sa finalité prévue, telle que le fournisseur la fixe, lue au regard des points 3 a) à d). Le règlement ne donne aucune liste de ces outils.

Une page pour chaque article qui compte le plus pour les fournisseurs et les déployeurs dans l’éducation.

• Article 9 pour l’IA dans l’éducation : système de gestion des risques

  Système de gestion des risques, y compris les personnes de moins de 18 ans.

• Article 10 pour l’IA dans l’éducation : données et gouvernance des données

  Jeux de données, examen des biais et catégories particulières de données à caractère personnel.

• Article 12 pour l’IA dans l’éducation : enregistrement

  Enregistrement automatique des événements et conservation des journaux.

• Article 13 pour l’IA dans l’éducation : transparence et information des déployeurs

  Notice d’utilisation et information des déployeurs.

• Article 14 pour l’IA dans l’éducation : contrôle humain

  Contrôle humain dès la conception et rôle du déployeur.

• Article 15 pour l’IA éducative : exactitude, robustesse et cybersécurité

  Exactitude, robustesse et cybersécurité.

• Article 17 pour l’IA éducative : système de gestion de la qualité

  Système de gestion de la qualité pour les fournisseurs.

• Article 26 dans l’éducation : obligations des déployeurs

  Ce que les déployeurs de systèmes à haut risque doivent faire.

• Article 50 pour l’IA éducative : transparence et divulgation

  Obligations de transparence pour certains systèmes d’IA.

• Article 53 dans l’éducation : obligations des fournisseurs de modèles d’IA à usage général

  Obligations des fournisseurs de modèles d’IA à usage général.

• Annexe III en détail : les 8 catégories à haut risque

  Les huit domaines de l’annexe III, dont le point 3 sur l’éducation et la formation professionnelle.

• Article 6 : classification des systèmes IA à haut risque

  Comment l’article 6 classe les systèmes d’IA à haut risque, y compris l’exception de l’article 6, paragraphe 3.

• Article 27 : analyse d’impact sur les droits fondamentaux (FRIA)

  L’analyse d’impact sur les droits fondamentaux pour les déployeurs qui sont des organismes de droit public ou des entités privées fournissant des services publics.

• Pratiques IA interdites : article 5 du règlement IA

  Les pratiques interdites de l’article 5, dont l’interdiction d’inférer les émotions dans les établissements d’enseignement.