KI-Verordnung : exigences par rôle
Ce que doivent faire fournisseurs, déployeurs, importateurs et distributeurs, y compris les obligations de documentation, de gestion des risques et de transparence.
Vos obligations au titre du règlement (UE) 2024/1689 dépendent de votre rôle pour chaque système d’IA et de son niveau de risque. Les fournisseurs ont le plus d’obligations ; les déployeurs, importateurs et distributeurs de systèmes à haut risque en ont moins. Les obligations à haut risque s’appliquent à partir du 2 décembre 2027 (annexe III) et du 2 août 2028 (annexe I) . L’article 2 énumère des exclusions.
Les amendes peuvent atteindre 15 millions d’EUR ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 99(4)). Prochaine étape : déterminez votre rôle pour chaque système d’IA, puis lisez les obligations correspondantes ci-dessous.
Obligations par rôle pour les systèmes d’IA à haut risque
Fournisseur
Un fournisseur développe un système d’IA, ou le fait développer, et le met sur le marché ou le met en service sous son propre nom ou sa propre marque (article 3). Il respecte les articles 9 à 15 et exploite un système de gestion de la qualité (article 17). Il conserve la documentation et les journaux sous son contrôle (articles 18 et 19) et réalise l’évaluation de la conformité (article 43). Il établit la déclaration UE de conformité (article 47), appose le marquage CE (article 48) et enregistre le système (article 49). Après la mise sur le marché, il surveille le système (article 72) et signale les incidents graves (article 73). Les fournisseurs hors de l’UE désignent un mandataire dans l’UE (article 22).
Déployeur
Un déployeur est une personne physique ou morale, une autorité publique, une agence ou un autre organisme qui utilise un système d’IA sous sa propre autorité, sauf dans le cadre d’une activité personnelle à caractère non professionnel (article 3, point 4). Il utilise le système conformément à la notice d’utilisation et confie la surveillance humaine à des personnes compétentes. Il vérifie les données d’entrée qu’il contrôle, surveille le fonctionnement et conserve les journaux au moins six mois. Il informe les travailleurs et les personnes concernées et, dans certains cas, évalue l’impact sur les droits fondamentaux (articles 26 et 27).
Importateur
Un importateur met sur le marché de l’UE un système qui porte le nom ou la marque d’une personne établie dans un pays tiers. Auparavant, il vérifie que le fournisseur a réalisé l’évaluation de la conformité et établi la documentation technique. Il vérifie aussi que le système porte le marquage CE avec la déclaration UE de conformité et la notice d’utilisation, et qu’un mandataire est désigné. Il indique son nom et son adresse de contact sur le système (article 23).
Distributeur
Un distributeur met un système à disposition sur le marché de l’UE sans en être le fournisseur ni l’importateur. Auparavant, il vérifie le marquage CE, la déclaration UE de conformité et la notice d’utilisation. S’il a des raisons de considérer que le système n’est pas conforme, il ne le met pas à disposition tant qu’il ne l’est pas. Si le système présente un risque au sens de l’article 79(1), il en informe aussi le fournisseur ou l’importateur (article 24).
Documentation technique (annexe IV) : neuf points pour les fournisseurs de systèmes à haut risque
Les fournisseurs établissent la documentation technique avant la mise sur le marché et la tiennent à jour (article 11). Elle contient au moins les informations de l’annexe IV, selon ce qui est applicable au système d’IA concerné. Les PME et les petites ETI (« petites entreprises à moyenne capitalisation » dans le règlement) peuvent fournir les éléments de l’annexe IV de manière simplifiée.
1
Description générale du système d’IA
Finalité prévue, fournisseur et version, interaction avec d’autres matériels et logiciels, formes de mise sur le marché, matériel, interface utilisateur et notice d’utilisation.
2
Description détaillée des éléments et du processus de développement
Méthodes et étapes de développement, spécifications de conception et choix clés, architecture du système et ressources de calcul, exigences relatives aux données, évaluation du contrôle humain, modifications prédéterminées, procédures de validation et d’essai et mesures de cybersécurité.
3
Suivi, fonctionnement et contrôle
Capacités et limites de performance, résultats involontaires prévisibles et sources de risque, mesures de contrôle humain et spécifications des données d’entrée.
4
Adéquation des mesures de performance
Une description des raisons pour lesquelles les mesures de performance choisies conviennent à ce système d’IA.
5
Système de gestion des risques
Une description détaillée du système de gestion des risques prévu à l’article 9.
6
Modifications au cours du cycle de vie
Une description des modifications pertinentes apportées au système par le fournisseur au cours de son cycle de vie.
7
Normes appliquées
Une liste des normes harmonisées appliquées en tout ou en partie ou, si aucune n’a été appliquée, une description des solutions adoptées.
8
Déclaration UE de conformité
Une copie de la déclaration UE de conformité (article 47).
9
Évaluation après la mise sur le marché
Une description détaillée du système d’évaluation des performances après la mise sur le marché, y compris le plan de surveillance après commercialisation (article 72(3)).
La gestion des risques (article 9) est un processus continu et itératif
Le système de gestion des risques fonctionne pendant tout le cycle de vie et exige un réexamen et une mise à jour systématiques et réguliers (article 9(2)).
Identifier et analyser les risques
Risques connus et raisonnablement prévisibles pour la santé, la sécurité ou les droits fondamentaux lorsque le système est utilisé conformément à sa finalité prévue.
Estimer et évaluer les risques
Risques pouvant apparaître lors d’un usage conforme à la finalité prévue et lors d’un mauvais usage raisonnablement prévisible.
Utiliser les données après commercialisation
Évaluer d’autres risques qui résultent des données recueillies par le système de surveillance après commercialisation.
Adopter des mesures ciblées
Mesures qui répondent aux risques recensés ; le risque résiduel doit être jugé acceptable. Les tests ont lieu, selon le cas, à tout moment du développement et, en tout état de cause, avant la mise sur le marché ou la mise en service, sur la base de métriques et de seuils probabilistes définis au préalable.
Les obligations de transparence varient selon le type de système
Trois ensembles d’obligations de transparence s’appliquent à des systèmes différents.
Systèmes à haut risque : notice d’utilisation (article 13)
Le système est assez transparent pour que les déployeurs interprètent sa sortie. La notice d’utilisation indique notamment l’identité du fournisseur, les caractéristiques, capacités et limites de performance du système, ses niveaux d’exactitude et les mesures de contrôle humain.
Chatbots, contenus synthétiques, deepfakes (article 50)
Les fournisseurs informent les personnes qu’elles interagissent avec un système d’IA et marquent les contenus audio, image, vidéo et texte synthétiques dans un format lisible par machine. Les déployeurs signalent les deepfakes et informent les personnes exposées à la reconnaissance des émotions ou à la catégorisation biométrique. L’article 50 prévoit des exceptions, par exemple pour les systèmes autorisés par la loi à détecter ou poursuivre des infractions pénales.
Modèles d’IA à usage général (article 53)
Les fournisseurs tiennent la documentation technique du modèle, informent les fournisseurs en aval, définissent une politique de droit d’auteur et publient un résumé des contenus d’entraînement.
Dates d’application pour les entreprises
2 février 2025
Pratiques interdites (article 5)
2 août 2025
Obligations des modèles d’IA à usage général (chapitre V) : documentation, politique de droit d’auteur, résumé de l’entraînement ; les modèles mis sur le marché avant doivent s’y conformer d’ici le 2 août 2027
2 août 2026
Obligations de transparence (article 50)
2 décembre 2027
Obligations à haut risque pour les systèmes de l’annexe III (chapitre III, sections 1 à 3)
2 août 2028
Obligations à haut risque pour les systèmes de l’annexe I (chapitre III, sections 1 à 3)
Les systèmes mis sur le marché ou mis en service avant ces dates ne sont couverts qu’après des modifications significatives de leur conception (article 111(2)).
Exclusions, systèmes plus anciens et plafonds des amendes
Le règlement ne s’applique pas aux systèmes d’IA utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale (article 2(3)). Il ne s’applique pas aux systèmes d’IA développés et mis en service spécifiquement et à seule fin de recherche et développement scientifiques (article 2(6)), ni à la recherche, aux essais ou au développement avant la mise sur le marché ou la mise en service, sauf les essais en conditions réelles (article 2(8)). Les systèmes sous licences libres et ouvertes sont exclus, sauf s’ils sont mis sur le marché ou mis en service comme systèmes à haut risque ou relèvent de l’article 5 ou 50 (article 2(12)). Les personnes physiques qui utilisent un système dans le cadre d’une activité strictement personnelle à caractère non professionnel ne sont pas tenues comme déployeurs (article 2(10)). Pour les systèmes à haut risque liés à des produits relevant de la législation de l’annexe I, section B, comme les véhicules à moteur, l’aviation, le rail, les équipements marins, les véhicules agricoles et les machines, seuls l’article 6(1), l’article 60a et les articles 102 à 112 s’appliquent. Les articles 57 à 59 ne s’appliquent que dans la mesure où cette législation intègre les exigences (article 2(2)).
Les systèmes à haut risque mis sur le marché ou mis en service avant la date d’application ne sont couverts qu’après des modifications significatives de leur conception. En tout état de cause, les fournisseurs et les déployeurs de systèmes d’IA à haut risque destinés à être utilisés par des autorités publiques doivent prendre les mesures nécessaires pour se conformer au plus tard le 2 août 2030 (article 111(2)).
Pour les PME, chaque amende atteint au plus le pourcentage ou le montant le plus bas (article 99(6)). Pour les petites ETI (« petites entreprises à moyenne capitalisation », article 3, point 14b), le même plafond s’applique aux amendes de l’article 99, paragraphes 4 et 5 (article 99(6a)). Le niveau de 15 millions d’EUR couvre aussi les obligations des fournisseurs et des opérateurs de l’article 25, paragraphes 2 et 4 (article 99(4), point da)).
À lire ensuite : systèmes à haut risque et checklist
KI-Verordnung : systèmes d’IA à haut risque
Quels systèmes d’IA sont à haut risque, quelles exigences les fournisseurs respectent et qui supervise en Allemagne.
KI-Verordnung : checklist pour fournisseurs et déployeurs
Checklist des obligations dans l’ordre de leurs dates d’application, des pratiques interdites aux obligations à haut risque.
Scanara prépare des preuves à partir de vos dépôts
Scanara lit vos dépôts GitHub connectés et exécute des analyses à base de règles pour repérer les schémas courants d'IA et d'apprentissage automatique. Il peut manquer du code non standard. Par ailleurs, il génère des projets de documentation à partir de modèles et de vos réponses aux évaluations, comme preuves pour votre travail de conformité. Vous décidez de la classification.