Quatre façons de commencer la conformité avec la loi sur l’IA de l’UE
La loi sur l’intelligence artificielle (IA) de l’Union Européenne représente la première régulation complète au monde concernant l’IA, et elle devrait affecter des entreprises bien au-delà des frontières de l’Europe. Cette loi complexe régit le développement, le déploiement et l’utilisation des systèmes d’IA et des modèles d’IA à usage général au sein de l’UE. De plus, elle a un champ d’application extraterritorial et imposera des obligations à de nombreuses organisations basées aux États-Unis qui développent, vendent ou utilisent des technologies d’IA.
Comment se préparer à la conformité aux États-Unis
La loi sur l’IA adopte une approche par étapes. Le premier ensemble d’obligations, concernant les pratiques d’IA interdites et la littératie en matière d’IA, est entré en vigueur en février 2025. Les exigences pour les fournisseurs de modèles d’IA à usage général (GPAI) entreront en vigueur le 2 août 2025, et de nombreuses autres règles sont prévues pour le 2 août 2026. Il est temps pour les entreprises américaines de commencer leur parcours de conformité. Voici quatre étapes clés pour se préparer à cette nouvelle loi.
1. Déterminer si votre organisation est concernée
La première étape consiste à déterminer si votre organisation relève de la loi sur l’IA de l’UE. Cette loi s’applique largement aux fournisseurs, déployeurs, importateurs et distributeurs de systèmes d’IA opérant dans l’UE. Elle a également une portée extraterritoriale, s’étendant aux organisations en dehors de l’UE qui (1) mettent des systèmes d’IA sur le marché de l’UE ou les mettent en service dans l’UE, ou (2) permettent aux résultats de l’IA d’être utilisés par des individus situés dans l’UE (sous certaines exceptions). Étant donné cette portée expansive, les obligations de conformité peuvent s’appliquer à un large éventail d’entités américaines dans divers secteurs, y compris les fournisseurs de services cloud, les vendeurs de sécurité, et les entreprises offrant des services tels que la vérification d’identité, les outils RH, les chatbots de service client, la détection des menaces, et les systèmes de prise de décision basés sur l’IA.
2. Identifier où vos systèmes d’IA se situent sur le spectre des risques et s’ils sont GPAI
Si votre organisation est concernée, l’étape suivante consiste à comprendre comment votre produit s’inscrit dans le spectre des risques de la loi sur l’IA, qui classifie les systèmes d’IA en fonction de leur niveau de risque inacceptable, élevé, limité ou minimal. Cette classification est essentielle car chaque catégorie a des obligations distinctes. Les organisations devraient inventorier les systèmes d’IA actuellement utilisés ou en développement et évaluer quels systèmes tombent dans quelle catégorie pour identifier les exigences applicables. Une attention particulière doit être portée aux produits qui pourraient être considérés comme à haut risque ou potentiellement interdits en vertu de la loi.
Une brève description des catégories et de leurs obligations respectives suit :
- La loi interdit l’utilisation de systèmes d’IA en lien avec des pratiques spécifiques entraînant un risque inacceptable, telles que le notage social par les gouvernements ou certaines surveillances biométriques en temps réel.
- Les systèmes à haut risque, tels que ceux utilisés dans l’infrastructure critique, le recrutement, l’éducation, l’assurance-vie, l’application de la loi, ou la vérification d’identité, sont soumis à des exigences réglementaires strictes. Les obligations pour les fournisseurs de ces systèmes incluent des évaluations de risque obligatoires, une documentation technique détaillée, des mécanismes de supervision humaine, et des contrôles de cybersécurité et de gouvernance des données.
- Certaines systèmes d’IA à risque limité doivent se conformer à des exigences de transparence minimale et/ou de marquage. Ces obligations concernent principalement les systèmes d’IA conçus pour interagir directement avec des personnes.
- Les systèmes d’IA à risque minimal peuvent être couverts par de futurs codes de conduite volontaires qui seront établis.
La loi a également des règles spécifiques pour les GPAI, qui entreront en vigueur le 2 août 2025, et s’appliquent même à ceux modèles mis sur le marché ou mis en service avant cette date. Ces modèles sont formés avec une grande quantité de données en utilisant l’auto-supervision à grande échelle, qui affichent une généralité significative et sont capables d’effectuer de manière compétente une large gamme de tâches distinctes. La loi sur l’IA impose des règles plus strictes (par exemple, évaluations de modèles, plans d’atténuation des risques, rapports d’incidents, et mesures de cybersécurité renforcées) pour les modèles qui posent des risques systémiques.
3. Concevoir un programme de gouvernance et prendre des mesures vers la conformité
Une fois l’analyse de l’applicabilité et l’inventaire des systèmes d’IA réalisés, votre organisation devrait effectuer une évaluation des lacunes par rapport à ses mesures de conformité existantes. À partir de là, vous pouvez identifier les étapes qui doivent encore être prises. Créer des manuels fonctionnels inter-fonctionnels pour la classification, la transparence et la supervision sera bénéfique alors que la loi entrera en vigueur et que l’application commencera. Voici quelques étapes que les organisations devraient entreprendre pour se préparer à la conformité :
- Gouvernance interne : Mettre en place des comités de gouvernance de l’IA internes pour suivre les cas d’utilisation, mettre à jour les registres de risque, et faire participer les équipes juridiques, de conformité et de sécurité.
- Documentation des risques et contrôles techniques : Maintenir une documentation détaillée pour les systèmes d’IA, en particulier ceux classés comme à haut risque. Mettre en œuvre des contrôles techniques et effectuer des évaluations de risque régulières conformément aux exigences de la loi sur l’IA.
- Mécanismes de supervision humaine : S’assurer que du personnel qualifié peut comprendre, surveiller et, si nécessaire, remplacer les processus de prise de décision automatisés pour satisfaire aux exigences de supervision humaine de la loi sur l’IA.
- Surveillance des tiers et littératie en matière d’IA : Engager des fournisseurs, des partenaires et des sous-traitants pour confirmer qu’ils maintiennent des niveaux appropriés de gouvernance et de littératie en matière d’IA, notamment lorsque leurs outils ou services sont soit concernés par la loi sur l’IA ou intégrés dans vos propres systèmes d’IA ou GPAI.
- Programmes de formation et de sensibilisation : Mettre en œuvre un programme de formation sur l’IA à l’échelle de l’organisation avec des modules améliorés adaptés aux employés directement impliqués dans le développement, le déploiement ou la supervision de l’IA.
- Préparation à la cybersécurité : Bien que la loi ne spécifie pas de mesures de protection des données spécifiques, cet exercice constitue une bonne occasion de revoir et de mettre à jour les pratiques de données et de cybersécurité de votre organisation. Les organisations peuvent avoir des obligations existantes concernant les principes de protection des données de l’UE tels que la minimisation des données, la limitation des finalités, et la collecte de données légales, notamment lors du traitement de données provenant de résidents de l’UE. Ajouter l’IA à la gamme de produits et services peut ajouter de la complexité, car des mesures de sécurité supplémentaires peuvent être nécessaires pour prévenir les attaques adversariales, la manipulation des modèles, et l’accès non autorisé, en particulier pour les systèmes à haut risque.
4. Garder un œil sur les États-Unis (et d’autres juridictions)
Les États-Unis n’ont pas encore de réglementation nationale sur l’IA analogue à la loi sur l’IA de l’UE ; cependant, cela ne signifie pas que les entreprises peuvent ignorer les développements nationaux. Bien que l’administration Biden et l’administration Trump aient toutes deux émis des ordres exécutifs sur l’IA, l’élaboration de politiques fédérales en reste à ses débuts. Cependant, il y a beaucoup d’activité au niveau des États. Un programme de conformité robuste devrait suivre les lois fédérales et étatiques émergentes et considérer comment elles interagissent avec la loi sur l’IA.
Un exemple notable d’une loi d’État américaine est la loi sur l’intelligence artificielle du Colorado, adoptée en 2024 et prévue pour entrer en vigueur en 2026. Comme la loi sur l’IA, elle utilise une approche basée sur le risque et impose des obligations aux développeurs et déployeurs de systèmes d’IA à haut risque. Mais il y a aussi des différences clés avec la loi sur l’IA, telles que le fait que la loi du Colorado soit plus limitée dans son champ d’application et définisse le haut risque de manière plus générale, plutôt que de codifier des utilisations spécifiques comme à haut risque.
Les organisations devraient également garder un œil sur d’autres marchés, car d’autres juridictions pourraient suivre l’exemple de l’UE en réglementant l’IA.
Conclusion
La préparation devrait commencer maintenant, car la date d’entrée en vigueur du 2 août 2025 approche rapidement. Ces étapes aideront les professionnels en interne à opérationnaliser ces exigences légales et à garantir la conformité, même au milieu d’un paysage juridique en rapide évolution.
