Utiliser l’ISO 42001 et le NIST AI RMF pour se conformer à la loi sur l’IA de l’UE
Au cours des dernières années, l’adoption des technologies d’IA a explosé. En 2019, 58% des organisations utilisaient l’IA pour au moins une fonction commerciale ; d’ici 2024, ce chiffre a grimpé à 72%. L’utilisation de l’IA générative a presque doublé entre 2023 et 2024, passant de 33% à 65%.
Qu’est-ce que la loi sur l’IA de l’UE ?
La loi sur l’intelligence artificielle de l’Union européenne (Règlement (UE) 2024/1689) concerne l’IA et établit un cadre réglementaire et juridique commun au sein de l’UE. Elle est entrée en vigueur le 1er août 2024 et couvre tous les types d’IA dans divers secteurs, à l’exception des systèmes d’IA utilisés uniquement à des fins militaires, de sécurité nationale, de recherche et non professionnelles.
Cette loi vise à établir des directives claires pour la gestion des risques, la surveillance continue des systèmes et la supervision humaine, créant ainsi une base pour une IA digne de confiance. Elle protège également les droits fondamentaux tels que la vie privée et veille à ce que les systèmes d’IA ne discriminent pas de manière injuste.
Qui sera affecté ?
Les organisations qui utilisent l’IA et opèrent au sein de l’UE, ainsi que celles situées en dehors de l’UE qui développent ou utilisent des systèmes d’IA sur le territoire de l’UE, seront concernées.
Qui ne sera pas affecté ?
Il est crucial de comprendre ce qui ne relève pas du champ d’application de la loi. Les applications militaires et de sécurité nationale, ainsi que les systèmes d’IA purement axés sur la recherche scientifique, bénéficient d’une exemption. La loi ne s’applique qu’une fois que les systèmes d’IA sont déployés ou commercialisés.
Amendes prévues par la loi sur l’IA de l’UE
Les sanctions pour non-conformité sont sévères :
- Pour les pratiques d’IA interdites, les organisations peuvent être condamnées à une amende pouvant atteindre 35 millions d’euros ou 7% du chiffre d’affaires mondial annuel, selon le montant le plus élevé.
- Pour le non-respect des exigences relatives aux systèmes d’IA à haut risque, les amendes peuvent atteindre 15 millions d’euros ou 3% du chiffre d’affaires mondial annuel.
- La fourniture d’informations incorrectes, incomplètes ou trompeuses aux autorités peut entraîner des amendes allant jusqu’à 7,5 millions d’euros ou 1% du chiffre d’affaires mondial annuel.
Approche basée sur les risques de la loi sur l’IA de l’UE
1. Risques inacceptables :
Les systèmes d’IA qui permettent des pratiques de manipulation, d’exploitation et de contrôle social sont considérés comme présentant un risque inacceptable. Par exemple, l’utilisation de techniques subliminales ou manipulatrices, l’identification biométrique à distance, ou la compilation de bases de données de reconnaissance faciale.
2. Risques élevés :
Les systèmes d’IA ayant un impact négatif sur la sécurité ou les droits fondamentaux sont classés comme à haut risque. Cela inclut les biométries, les infrastructures critiques, ainsi que les processus judiciaires et démocratiques. Ces systèmes peuvent être déployés dans le marché de l’UE après avoir atténué les risques.
3. Risques limités :
Certaines IA destinées à interagir avec des personnes naturelles ou à générer du contenu peuvent ne pas être classées comme à haut risque mais peuvent comporter des risques de tromperie. Cela inclut les chatbots et les deepfakes, soumis à des obligations de transparence légères.
4. Risques minimes :
Les systèmes d’IA qui ne relèvent d’aucune autre catégorie, tels que les jeux vidéo assistés par IA ou les filtres anti-spam, ne sont pas réglementés sur le marché de l’UE.
Comprendre le cadre de gestion des risques de l’IA du NIST et l’ISO/IEC 42001
Ces normes sont conçues pour fournir une approche structurée de la gestion des risques associés aux technologies d’IA, assurant un développement, un déploiement et une utilisation responsables et éthiques des systèmes d’IA.
Qu’est-ce que l’ISO/IEC 42001:2023 ?
L’ISO/IEC 42001 est une norme internationale qui spécifie les exigences pour établir, mettre en œuvre, maintenir et améliorer en continu un Système de gestion de l’intelligence artificielle (AIMS) au sein des organisations. Applicable à toutes les entités impliquées dans le développement ou l’utilisation de produits ou services basés sur l’IA, elle est pertinente pour tous les secteurs.
