Quels sont les principaux objectifs et principes fondamentaux qui sous-tendent l’AI Act ?
L’AI Act de l’UE, formellement proposée en avril 2021 et promulguée le 1er août 2024, établit un cadre juridique uniforme pour les systèmes d’IA dans toute l’UE. Elle concilie l’innovation avec la nécessité de protéger les droits fondamentaux et les données personnelles.
Principaux objectifs :
- Sauvegarde des droits fondamentaux : Garantit que les systèmes d’IA respectent les droits fondamentaux de l’UE, en mettant l’accent sur les considérations éthiques.
- Promotion de l’innovation : Encourage le développement et le déploiement de technologies d’IA fiables.
- Promotion de la confiance : Renforce la confiance du public dans les systèmes d’IA.
Principes fondamentaux :
L’AI Act adopte une approche fondée sur les risques, classant les systèmes d’IA en fonction de leur niveau de risque potentiel. Cette approche dicte le niveau de surveillance réglementaire et les exigences de conformité.
- Catégorisation des risques :
- Risque inacceptable : Les systèmes d’IA violant les droits fondamentaux de l’UE sont interdits.
- Risque élevé : Les systèmes ayant un impact sur la santé, la sécurité ou les droits fondamentaux nécessitent des évaluations de conformité et une surveillance continue.
- Risque limité : Des exigences de transparence s’appliquent, telles que la divulgation de l’interaction avec l’IA.
- Risque minimal : Aucune exigence spécifique.
- IA à usage général (GPAI) : Une catégorie supplémentaire pour les modèles d’IA entraînés sur de vastes ensembles de données, capables d’effectuer diverses tâches. Les modèles GPAI considérés comme présentant un « risque systémique » sont soumis à des obligations accrues.
En outre, l’AI Act reconnaît différents rôles au sein de la chaîne de valeur de l’IA, notamment les fournisseurs, les déployeurs, les distributeurs, les importateurs et les représentants agréés. Chaque rôle a des responsabilités distinctes et des exigences de conformité.
Les auditeurs internes doivent comprendre la catégorie de risque de chaque système d’IA et le rôle de leur organisation dans sa chaîne de valeur afin de garantir la conformité à l’AI Act. Ces rôles peuvent évoluer, ce qui a un impact sur les obligations de conformité.
french
Comment les organisations devraient-elles aborder la réalisation et le maintien de la conformité avec les diverses obligations définies par l’AI Act ?
L’AI Act introduit une approche basée sur le risque, catégorisant les systèmes d’IA en niveaux de risque inacceptable, élevé, limité et minimal, ainsi qu’une catégorie pour l’IA à usage général (GPAI). Les efforts de conformité doivent être adaptés à ces catégories de risque et au rôle spécifique qu’une organisation joue dans la chaîne de valeur de l’IA (Fournisseur, Déployeur, etc.). Voici une analyse pour les professionnels du droit des technologies, les responsables de la conformité et les analystes politiques :
Comprendre Votre Rôle et Profil de Risque
Tout d’abord, les organisations doivent identifier le rôle qu’elles occupent pour chaque système d’IA qu’elles utilisent et déterminer la catégorie de risque applicable. Soyez prudent, un Déployeur devient un Fournisseur lorsqu’il apporte des modifications importantes à l’IA ou la renomme sous sa propre marque. Les exigences varieront selon que vous êtes dans l’UE, en dehors de l’UE, un fournisseur, un déployeur, un distributeur ou un représentant.
Établir des Mesures de Conformité Fondamentales
Pour se préparer, les auditeurs internes peuvent aborder la conformité à l’AI Act comme tout autre projet de conformité — mais en se concentrant sur l’évaluation, l’audit et la gouvernance des processus d’IA distincts. Prenez note des prochaines échéances :
- 2 février 2025 : Concentrez-vous sur la formation du personnel à la littératie en IA, créez un inventaire des systèmes d’IA, classez les systèmes par risque et cessez d’utiliser/supprimez l’IA à risque inacceptable.
- 2 août 2025 : Traitez la conformité à la GPAI, y compris la compréhension des organismes de réglementation pertinents et l’établissement de mécanismes de transparence. (Note : la conformité est reportée à 2027 pour les systèmes GPAI préexistants).
- 2 août 2026 : Mettez en œuvre des systèmes d’évaluation, de gestion et de responsabilisation des risques pour l’IA à haut risque, et des politiques de transparence pour les systèmes à risque limité.
- 2 août 2027 : Appliquez les mesures GPAI à tous les systèmes et assurez-vous que les composants d’IA intégrés respectent les obligations de l’IA à haut risque.
Obligations et Exigences Clés
Plusieurs obligations s’appliquent en fonction du type de modèle d’IA :
- Littératie en IA : Assurez-vous d’une littératie suffisante en IA parmi ceux qui traitent des systèmes d’IA.
- Registre de l’IA : Les entreprises doivent construire un registre de l’IA qui contient tous les systèmes d’IA qu’elles utilisent ou mettent sur le marché. Les systèmes d’IA à haut risque doivent être soumis à un référentiel central de l’IA.
- Évaluation des Risques de l’IA : Tous les systèmes d’IA figurant dans le registre de l’IA doivent faire l’objet d’une évaluation des risques conformément à la méthode de classification des risques utilisée dans l’AI Act. Il convient de noter que la méthode de classification est prescrite dans l’AI Act.
Pour les systèmes d’IA à haut risque, les organisations doivent mettre en œuvre des systèmes robustes de gestion des risques, se concentrer sur les données et la gouvernance des données, maintenir une documentation technique et mettre en œuvre des mesures d’enregistrement et de transparence. La supervision humaine doit être intégrée dans la conception. Il est impératif que l’exactitude, la résilience et les mesures de cybersécurité répondent aux normes requises pour garantir des sorties d’IA cohérentes.
Les organisations doivent désigner des représentants autorisés en dehors de l’UE pour les systèmes d’IA à haut risque. Une évaluation de la conformité et un marquage CE de conformité doivent également être effectués.
Les systèmes d’IA à risque limité entraînent des obligations de transparence, informant les utilisateurs qu’ils interagissent avec une IA. Les sorties générées (contenu audio, image, vidéo ou texte synthétique) doivent être lisibles par machine et indiquer que le contenu a été généré artificiellement.
Similaire au risque limité, les modèles d’IA à usage général nécessitent également des obligations de transparence pour que les fournisseurs informent les personnes physiques concernées qu’elles interagissent avec un système d’IA. Ils doivent également classer les modèles GPAI présentant un risque systémique.
Le Rôle de l’Audit Interne
Les services d’audit interne devraient développer des cadres pour évaluer l’utilisation de l’IA au sein de l’organisation, proposer des recommandations pour offrir des avantages et atténuer les risques, et montrer l’exemple en évaluant leur propre utilisation de l’IA. Les compétences en matière d’audit sont généralement assurées par des formations internes et externes, et par le partage des connaissances. Il est important que les services d’audit planifient et déploient des activités de formation dédiées afin de s’assurer qu’ils sont suffisamment qualifiés pour fournir une assurance sur l’IA.
Considérer la législation européenne plus large
Les systèmes d’IA peuvent également relever d’autres législations européennes telles que DORA et CSRD/CSDDD, en particulier en ce qui concerne les fournisseurs tiers, l’impact environnemental et la résilience en matière de cybersécurité. Considérez comment les systèmes d’IA pourraient obliger l’entreprise à se conformer à un ensemble plus large de réglementations.
Quelles sont les principales exigences associées à l’utilisation et à l’audit des systèmes d’IA au sein des organisations ?
La loi européenne sur l’IA introduit un cadre hiérarchisé d’exigences pour les organisations utilisant des systèmes d’IA, dont la rigueur dépend du niveau de risque associé à l’IA en question. Les auditeurs internes joueront donc un rôle essentiel pour garantir la conformité de leurs entreprises aux nouvelles réglementations.
Obligations basées sur le risque :
Voici ce qu’impliquent les différents niveaux de risque :
- Risque inacceptable : les systèmes d’IA considérés comme violant les droits et valeurs fondamentaux de l’UE sont interdits. Cela comprend l’IA utilisée pour manipuler des individus, causer des préjudices importants ou créer des résultats discriminatoires.
- Risque élevé : les systèmes d’IA ayant un impact sur la santé, la sécurité ou les droits fondamentaux sont soumis à des exigences strictes. Les fournisseurs doivent établir des systèmes de gestion des risques, assurer la qualité et la gouvernance des données, maintenir une documentation technique et assurer la transparence envers les personnes qui déploient ces systèmes. La surveillance humaine et la résilience en matière de cybersécurité sont également essentielles.
- Risque limité : les chatbots ou les générateurs de contenu d’IA (texte ou images) entrent dans cette catégorie. Les exigences de transparence sont essentielles ici, informant les utilisateurs qu’ils interagissent avec un système d’IA.
- Risque minimal : jeux vidéo compatibles avec l’IA ou filtres anti-spam : aucune exigence spécifique ne s’applique.
Au-delà de ces catégories, les modèles d’IA à usage général (GPAI) qui servent de base à d’autres systèmes sont soumis à des exigences de transparence distinctes. S’ils sont considérés comme présentant un « risque systémique » (sur la base de la puissance de calcul ou de l’impact), les modèles GPAI sont soumis à un examen supplémentaire, comprenant des évaluations de modèles et des mesures de cybersécurité.
Obligations basées sur les rôles dans la chaîne de valeur de l’IA :
Les obligations varient également en fonction du rôle d’une organisation :
- Fournisseurs : ceux qui développent et mettent des systèmes d’IA sur le marché de l’UE assument la plus grande responsabilité. Ils garantissent la conformité aux exigences strictes de la loi sur l’IA.
- Déployeurs : Les organisations utilisant des systèmes d’IA sont responsables d’une utilisation appropriée et du respect des directives du fournisseur, notamment en assurant la surveillance humaine et en maintenant la qualité des données.
Points d’action clés pour les auditeurs internes :
Pour garantir une conformité complète à la loi sur l’IA, les organisations d’audit interne doivent prendre note des éléments essentiels suivants :
- Culture de l’IA : s’assurer que le personnel possède une culture de l’IA suffisante pour comprendre le fonctionnement et l’utilisation des systèmes d’IA de manière appropriée.
- Inventaire de l’IA : établir et tenir à jour un registre complet des systèmes d’IA utilisés dans l’ensemble de l’organisation, y compris les filiales.
- Classification des risques : classer tous les systèmes d’IA en fonction des catégories de risque définies dans la loi sur l’IA.
- Évaluations d’impact : effectuer des évaluations d’impact sur les droits fondamentaux pour des systèmes d’IA spécifiques, qui mettent en évidence les préjudices potentiels et les stratégies d’atténuation.
- Surveillance post-commercialisation : mettre en œuvre un plan de collecte continue de données, de documentation et d’analyse des performances du système d’IA.
En fin de compte, l’intégration des procédures appropriées est essentielle pour gérer les risques et garantir la conformité de votre organisation.
