AI Compliance par Conception : Guide du CTO sur l’Inventaire des Modèles, les Sources RAG et l’Enregistrement des Décisions en vertu de la Loi sur l’IA de l’UE
La Loi sur l’IA de l’UE est désormais en vigueur et se déploie par phases ; plusieurs obligations arrivent avant l’application complète en 2026–2027. La Commission européenne a créé un bureau de l’IA qui supervisera les fournisseurs, en se concentrant particulièrement sur l’IA à usage général (GPAI). Ce bureau pourra demander des informations ou évaluer des modèles. Pour la GPAI, la Commission a publié des pages d’obligations ainsi qu’un Code de Pratique GPAI volontaire pour réduire l’ambiguïté pendant que les devoirs des articles 53/55 se mettent en place.
Commencer par le périmètre : êtes-vous un fournisseur ou un déployeur, et est-ce de la GPAI ?
La loi différencie les fournisseurs (qui mettent sur le marché ou mettent en service) et les déployeurs (qui utilisent des systèmes d’IA). Si vous fournissez ou affinez des modèles GPAI, vous êtes soumis à des devoirs spécifiques tels que la documentation technique, une politique de droits d’auteur, et un résumé du contenu de formation. Pour les GPAI à « risque systémique », ajoutez une évaluation des risques, un rapport d’incidents, et une cybersécurité robuste.
Pratique de Pynest : Nous maintenons un registre en direct qui étiquette chaque intégration de modèle par rôle (fournisseur/déployeur), catégorie (GPAI vs. spécifique à une tâche), et exposition juridique.
Inventaire d’abord : modèles, ensembles de données, invites et sources RAG
Le chemin le plus rapide vers la non-conformité est de ne pas savoir ce que vous utilisez. Nous traitons l’inventaire comme un produit :
- Catalogue de modèles : version, fournisseur, état d’affinage, scores d’évaluation, utilisation prévue, et propriétaire de contact.
- Contrats de données pour chaque source RAG : lignée, fraîcheur, règles de complétude, conservation, et utilisations autorisées.
- Registre des invites et outils : invites approuvées, portées des appels d’outils, et actions à haut risque nécessitant des vérifications manuelles.
- Journaux de décisions : « qui-quoi-quand-pourquoi » pour les changements, refus, et surcharges.
Cela s’aligne avec le Cadre de Gestion des Risques de l’IA NIST et son guide de mise en œuvre.
Pratique de Pynest : Notre assistant de connaissances RH fonctionne uniquement sur des sources avec des contrats de données signés.
Construire la documentation technique une fois — et la garder vivante
L’article 53 exige que les fournisseurs de GPAI « établissent une documentation technique » et partagent ce dont les utilisateurs en aval ont besoin sans divulguer de propriété intellectuelle. Le Code de Pratique GPAI de la Commission fournit un formulaire de documentation de modèle que vous pouvez adopter dès maintenant.
Pratique de Pynest : Nous maintenons un ensemble de documentation unique par intégration de modèle :
- Carte de modèle : capacités, limites, évaluations, portée de sécurité.
- Fiche de données / carte RAG : sources, contrats, politique de droits d’auteur.
- Dossier de sécurité : politique de refus, voies d’escalade, canaux d’abus.
- Manuel opérationnel : SLA, retour en arrière, approbations de changements, manuels d’incidents.
Traiter la politique de droits d’auteur et la transparence des données de formation comme des exigences de production
La loi s’attend à une politique de droits d’auteur et — pour la GPAI — un résumé des données de formation. Le Code de Pratique GPAI fournit des modèles, et la page d’informations de la Commission clarifie les devoirs de transparence de l’article 53.
Pratique de Pynest : Pour les assistants générant du contenu, nous intégrons des indices de citation et interdisons les résultats qui ne peuvent pas être tracés à des sources autorisées.
Enregistrer les décisions, pas seulement les prédictions : auditabilité par conception
Les obligations de transparence s’étendent au-delà de la divulgation aux utilisateurs : vous devez prouver que les humains peuvent superviser et tracer les décisions du système. Nous enregistrons le contexte des décisions, les gates politiques déclenchés, les approbations humaines, et les raisons de refus.
Pratique de Pynest : Dans notre « Bureau de Réponses » d’ingénierie commerciale, chaque réponse de sécurité inclut des sources liées et un enregistrement de décision politique.
Contrôler l’accès et les risques comme vous le feriez pour le mouvement d’argent
L’encadrement de la GPAI se renforce ; le Bureau de l’IA peut évaluer des modèles et demander des informations. Traitez les appels d’outils et l’accès aux données comme des transactions financières.
- Identités à courte durée pour les agents ; portées de privilèges minimaux ; élévation JIT pour des tâches à haut risque.
- Enregistrement de session/logging pour les actions destructrices ou sensibles.
- Aperçus et retours en arrière des changements pour les opérations par lots.
- Séparation juridictionnelle : pour l’UE et le Moyen-Orient, nous maintenons des index de vecteurs régionaux et du stockage.
Pratique de Pynest : Lorsque notre assistant RH touche à des salaires ou à des PII, l’accès expire automatiquement, la session est enregistrée, et une étape d’approbation humaine est appliquée.
Utiliser un rythme de gate-stage que le CFO et le CISO peuvent soutenir
Nous exécutons des initiatives GenAI sur un rythme de 15/45/90 jours avec des seuils de coûts et de qualité explicites :
- 15 jours : un flux de travail, une métrique, plafond de coût (tokens/infrastructure), logique de refus durcie.
- 45 jours : baseline vs. après, coûts d’erreur capturés, qualité au-dessus du seuil.
- 90 jours : soit intégrer (répond aux critères de seuil) soit fermer.
Pratique de Pynest : Notre copilote de support est passé en production après trois cycles avec un retour sur investissement documenté.
Quand utiliser le Code de Pratique GPAI
Si vous êtes un fournisseur de GPAI (ou affinez un GPAI) et souhaitez un chemin moins contraignant pour démontrer la conformité, le Code de Pratique GPAI de la Commission offre un chemin volontaire dès maintenant, couvrant la transparence et le droit d’auteur pour tous les GPAI.
Ce qu’il faut informer le conseil (en une diapositive)
- Périmètre et rôle : Quels usages font de nous un fournisseur (y compris GPAI) vs. un déployeur ?
- Obligations et timing : Quelles obligations de type Article 53/55 s’appliquent ce trimestre vs. 2026–2027 ?
- Contrôles en place : Inventaire, contrats de données, enregistrement des décisions, politique de droits d’auteur, séparation juridictionnelle.
- Gate-stages : rythme de 15/45/90 avec seuils de coût et de qualité.
- Assurance : Alignement avec le Cadre de Gestion des Risques de l’IA NIST.
