Gouvernance de l’IA à l’ère de la réglementation : se préparer à la loi sur l’IA

Quelles sont les principales obligations et exigences pour les entités en vertu de la loi sur l’IA ?

La loi européenne sur l’IA introduit une approche à plusieurs niveaux pour réglementer l’IA, en classant les systèmes en fonction des niveaux de risque : inacceptable, élevé, limité et minimal. Les obligations des organisations varient considérablement en fonction de cette classification et de leur rôle dans la chaîne de valeur de l’IA en tant que fournisseurs (ceux qui développent et mettent des systèmes d’IA sur le marché), déployeurs (ceux qui utilisent les systèmes d’IA) ou d’autres rôles tels que les importateurs et les distributeurs.

Principales obligations basées sur le risque

• Systèmes d’IA à risque inacceptable : Ils sont totalement interdits. Les exemples incluent les systèmes d’IA qui manipulent le comportement humain pour causer des dommages, ou ceux impliqués dans le scoring social ou l’identification biométrique dans les espaces publics.
• Systèmes d’IA à haut risque : Ils sont soumis aux exigences les plus strictes. Cette catégorie comprend l’IA utilisée dans les infrastructures critiques, l’éducation, l’emploi, l’application de la loi et les services essentiels comme l’assurance et la notation de crédit. Les principales obligations comprennent :
  • Établir et maintenir un système de gestion des risques tout au long du cycle de vie du système d’IA.
  • Adhérer à des normes strictes de gouvernance des données, en assurant la qualité et en minimisant les biais dans les ensembles de données d’entraînement, de validation et de test.
  • Élaborer une documentation technique complète avant le déploiement.
  • Tenir des registres détaillés (journaux) pour la traçabilité.
  • Fournir aux déployeurs des informations transparentes pour comprendre et utiliser correctement le résultat de l’IA.
  • Mettre en œuvre des mécanismes de supervision humaine.
  • Assurer la précision, la robustesse et la cybersécurité.
  • Établir un système de gestion de la qualité pour assurer la conformité continue.
  • Coopérer avec les autorités et démontrer la conformité sur demande.
  • Effectuer une évaluation de la conformité et établir une déclaration UE de conformité.
  • Apposer le marquage CE pour démontrer la conformité, qui doit être enregistré dans la base de données de l’UE avant la mise sur le marché.
  • Réaliser une évaluation d’impact sur les droits fondamentaux.
  • Désigner des personnes responsables et formées pour assurer une utilisation appropriée de la supervision, de la compétence et de l’autorité.
  • Effectuer une surveillance post-marché à l’aide d’un plan documenté.
  • Signaler les incidents graves aux autorités de surveillance.
• Systèmes d’IA à risque limité : Ils sont soumis à des exigences de transparence. Les utilisateurs doivent être informés qu’ils interagissent avec un système d’IA, en particulier pour le contenu généré par l’IA. Ceci s’applique aux systèmes d’IA générant du contenu audio, image, vidéo ou textuel synthétique.
• Systèmes d’IA à risque minimal : Aucune exigence spécifique n’est définie pour les systèmes d’IA qui présentent un risque minimal.

Modèles d’IA à usage général (GPAI)

La loi sur l’IA aborde également les modèles d’IA à usage général (GPAI), qui sont entraînés sur de vastes ensembles de données et peuvent effectuer un large éventail de tâches. Les fournisseurs de GPAI doivent se conformer aux obligations de transparence et respecter les lois sur le droit d’auteur. Les modèles GPAI sont classés après calcul et respect des exigences énoncées à l’article 42 bis de la loi sur l’IA.

Obligations par rôle

Les fournisseurs (qu’ils soient situés à l’intérieur ou à l’extérieur de l’UE) supportent le plus gros du fardeau de la conformité. Ils sont responsables de s’assurer que leurs systèmes d’IA répondent à toutes les exigences pertinentes avant d’être placés sur le marché de l’UE. Ceux qui ne sont pas établis dans l’UE doivent désigner un représentant autorisé au sein de l’UE.

Les déployeurs doivent utiliser les systèmes d’IA de manière responsable et conformément aux instructions du fournisseur. Cela comprend l’attribution d’une supervision humaine, la garantie de la compétence du personnel et la surveillance du fonctionnement du système d’IA.

Calendrier de mise en œuvre

La loi sur l’IA sera déployée par étapes. Les étapes suivantes sont les plus importantes :

• 2 février 2025 : Les réglementations sur les systèmes d’IA interdits s’appliquent.
• 2 août 2025 : Les réglementations qui s’appliquent aux modèles GPAI et aux organismes publics qui appliquent la loi sur l’IA devraient entrer en vigueur.
• 2 août 2026 : La plupart des dispositions de la loi sur l’IA s’appliquent, à l’exception de l’article 6, paragraphe 1.
• 2 août 2027 : L’article 6, paragraphe 1, s’applique, régissant la classification des produits avec des composants de sécurité de l’IA comme étant à haut risque.

Les organisations doivent également tenir compte de la manière dont la loi sur l’IA interagit avec la législation européenne existante et à venir, telle que DORA et CSRD/CSDDD, en particulier en ce qui concerne les risques liés aux tiers, les impacts environnementaux et les préoccupations de cybersécurité.

french

Comment les obligations et les exigences évoluent-elles en fonction de la catégorie de risque d’un système d’IA ?

En tant que journaliste spécialisé dans la gouvernance de l’IA, je suis plongé dans l’AI Act de l’UE. Voici la ventilation de la manière dont les obligations évoluent en fonction du niveau de risque d’un système d’IA, selon l’AI Act :

Niveaux de risque

L’AI Act emploie une approche basée sur le risque, ce qui signifie que la charge réglementaire est proportionnelle au préjudice potentiel qu’un système d’IA pourrait causer. Voici comment cela fonctionne :

• Risque inacceptable : Ces systèmes d’IA sont tout simplement interdits. Pensez à l’IA qui manipule les gens pour causer du tort, qui permet des pratiques discriminatoires ou qui crée des bases de données de reconnaissance faciale. La liste figure à l’article 5, alors vérifiez-la !
• Risque élevé : Cette catégorie est soumise aux exigences les plus strictes. Ces systèmes ont le potentiel de causer des dommages importants, dans des domaines tels que les infrastructures critiques, l’éducation, l’emploi, l’application de la loi, les décisions liées à l’assurance, etc.

  Les systèmes à haut risque nécessitent :

  • Un système de gestion des risques.
  • La gouvernance des données et des contrôles de qualité.
  • Une documentation technique.
  • La conservation des enregistrements (journaux).
  • La transparence et des informations claires pour les déployeurs.
  • Des mécanismes de contrôle humain.
  • Des normes de précision, de robustesse et de cybersécurité.
  • Un système de gestion de la qualité.
  • La conservation de la documentation pendant au moins 10 ans.
  • La coopération avec les autorités compétentes.
  • Une déclaration de conformité UE.
  • Le marquage CE.
  • Une évaluation de la conformité avant la mise sur le marché.
  • L’enregistrement dans la base de données de l’UE.
  • La surveillance post-commercialisation.
  • Le signalement des incidents graves.
  • Une évaluation de l’impact sur les droits fondamentaux.
• Risque limité : Pour les systèmes d’IA comme les chatbots, l’accent est mis principalement sur la transparence. Les utilisateurs doivent savoir qu’ils interagissent avec une IA. Pour les contenus tels que l’audio, les images, la vidéo ou le texte synthétiques, les fournisseurs doivent également fournir un marquage lisible par machine indiquant qu’ils ont été générés artificiellement.
• Risque minimal : Cela inclut des éléments tels que les jeux vidéo basés sur l’IA ou les filtres anti-spam. Il n’y a pas d’exigences spécifiques en vertu de l’AI Act.

IA à usage général (GPAI)

L’AI Act aborde également les modèles GPAI. Des exigences de transparence sont définies pour les fournisseurs et les déployeurs, et les modèles GPAI présentant un risque systémique sont soumis à un examen encore plus rigoureux.
Un modèle GPAI est considéré comme un risque systémique lorsque la quantité de calcul utilisée pour son entraînement est supérieure à 10^25 FLOPs.

Principaux points à retenir pour la conformité

Pour les professionnels de la legal-tech qui conseillent des clients, ou pour les responsables de la conformité au sein des organisations :

• La classification est essentielle : Comprendre comment l’AI Act classe les systèmes et effectuer des évaluations approfondies des risques. La méthode de classification des risques est prescrite dans l’AI Act.
• La documentation est cruciale : Conserver des enregistrements détaillés de vos systèmes d’IA, de leurs évaluations des risques et des mesures que vous prenez pour vous conformer.
• La transparence renforce la confiance : Soyez honnête avec les utilisateurs sur le moment où ils interagissent avec l’IA.
• Restez informé : L’AI Act est complexe, et les interprétations évolueront. Surveillez en permanence les orientations de la Commission européenne et des autres organismes de réglementation.

french

Que doit prendre en compte l’audit interne lors de l’évaluation du processus d’IA ?

Les auditeurs internes sont désormais confrontés au défi et à l’opportunité d’évaluer les systèmes d’IA au sein de leurs organisations, en particulier à la lumière de la loi européenne sur l’IA. Il ne s’agit plus seulement des risques financiers traditionnels, mais aussi de la conformité, de l’éthique et de l’impact sociétal.

Considérations clés pour les auditeurs internes :

• Compréhension du paysage de l’IA : Les auditeurs doivent acquérir une solide compréhension des technologies d’IA. Cela inclut les différents niveaux d’autonomie des systèmes d’IA, leurs capacités à générer des résultats et leur influence sur différents environnements. Mettre l’organisation au défi sur la façon dont elle définit l’IA et assure la cohérence dans toutes les unités commerciales.
• Catégorisation des risques : Se concentrer sur la façon dont l’organisation classe les systèmes d’IA selon les catégories de risque de la loi sur l’IA (inacceptable, élevé, limité, minimal et IA à usage général). Il est essentiel de comprendre que ces catégories représentent des définitions juridiques, et pas seulement des évaluations internes des risques.
• Rôles et responsabilités : Reconnaître les différents rôles au sein de la chaîne de valeur de l’IA (fournisseur, utilisateur, distributeur, importateur, etc.) et les obligations associées en vertu de la loi sur l’IA. Déterminer comment le rôle de l’organisation pour chaque système d’IA affecte les exigences de conformité. Garder à l’esprit que ces rôles peuvent évoluer avec le temps, entraînant de nouvelles obligations.
• La conformité comme un projet : Traiter la conformité à la loi sur l’IA comme un projet avec des étapes et des jalons définis pour garantir que l’organisation se prépare de manière ordonnée. Adapter les exigences de haut niveau au contexte spécifique de l’organisation.
• Gestion des risques et responsabilité : S’assurer que des systèmes d’évaluation des risques, de gestion des risques et de responsabilité sont établis pour les modèles d’IA à haut risque. Examiner attentivement les pratiques de gouvernance des données pour les ensembles de données d’entraînement, de validation et de test, en accordant une attention particulière à la qualité des données et à la minimisation des biais.
• Transparence et surveillance : Évaluer les politiques de transparence pour les systèmes d’IA à risque limité et les garanties de contrôle humain. S’assurer que les fournisseurs de systèmes d’IA à usage général présentant un risque systémique notifient la commission et disposent de politiques de conformité appropriées. Sonder les mécanismes de transparence pour les utilisateurs et les fournisseurs.

De plus, voici un calendrier que l’audit interne doit garder à l’esprit :

• 2 février 2025 S’assurer que du matériel de formation approprié à la littératie en IA du personnel est disponible, qu’il existe un inventaire des systèmes d’IA, que ceux-ci ont été classés en fonction des risques, que les systèmes d’IA présentant un risque inacceptable ont été interdits et qu’il existe des politiques en place pour garantir que les futurs systèmes d’IA sont évalués de manière appropriée.
• 2 août 2025 Vérifier les protocoles de transparence des modèles d’IA à usage général. S’assurer que l’organisation sait avec quels organismes de réglementation et de surveillance elle interagira. Les fournisseurs de modèles d’IA générale présentant un risque systémique doivent notifier la commission.
• 2 août 2026 Auditer les politiques de gestion des risques, d’évaluation des risques et de systèmes de responsabilisation appropriés pour les modèles à haut risque, ainsi qu’évaluer les politiques de transparence.
• 2 août 2027 S’assurer que les mesures d’IA à usage général prêtes à partir de 2025 sont désormais appliquées à tous les systèmes. Les fournisseurs de produits contenant des composants d’IA doivent s’assurer que leurs produits sont conformes aux obligations relatives à l’IA à haut risque.

french

Quelles actions spécifiques les organisations doivent-elles entreprendre concernant l’IA ?

À mesure que les systèmes d’IA se généralisent, les organisations sont confrontées à un examen réglementaire de plus en plus minutieux, en particulier avec l’application de la loi européenne sur l’IA. Les actions spécifiques requises dépendront de leur rôle (fournisseur, utilisateur, etc.) et de la classification des risques de leurs systèmes d’IA.

Principaux domaines d’action :

• Établir une culture de l’IA :

  Les entreprises doivent s’assurer que le personnel traitant les systèmes d’IA possède un niveau suffisant de culture de l’IA pour comprendre et gérer les risques associés et assurer la conformité.

• Tenir un registre de l’IA :

  Les entreprises doivent créer et tenir un inventaire exhaustif de tous les systèmes d’IA utilisés au sein de l’organisation et de ses filiales, en les classant en fonction des classifications de risque de la loi sur l’IA (inacceptable, élevé, limité, minimal, GPAI).

• Effectuer des évaluations des risques liés à l’IA :

  Effectuer des évaluations approfondies des risques sur tous les systèmes d’IA, en respectant la méthode de classification des risques prescrite par la loi sur l’IA, et pas seulement une analyse des risques traditionnelle.

• Mettre en œuvre des systèmes de gestion des risques (IA à haut risque) :

  Pour les systèmes d’IA à haut risque, établir, documenter, maintenir et mettre en œuvre un système de gestion des risques pour gérer les risques raisonnablement prévisibles tout au long du cycle de vie du système.

• Assurer la gouvernance des données et des données (IA à haut risque) :

  Mettre en œuvre des pratiques robustes de gouvernance des données pour les ensembles de données de formation, de validation et de test, en se concentrant sur la qualité des données et l’atténuation des biais.

• Préparer la documentation technique (IA à haut risque) :

  Établir une documentation technique complète avant la mise en service du système, comme indiqué dans l’annexe de la loi sur l’IA.

• Mettre en œuvre la tenue de registres (IA à haut risque) :

  Tenir des registres détaillés des événements (journaux) pour assurer la traçabilité du fonctionnement du système d’IA.

• Assurer la transparence et la fourniture d’informations (IA à haut risque) :

  Fournir aux utilisateurs des informations transparentes et compréhensibles sur l’utilisation des sorties de l’IA.

• Mettre en œuvre la surveillance après la mise sur le marché (IA à haut risque) :

  Mettre en œuvre un plan qui collectera des données pertinentes sur les performances du système d’IA pendant toute sa durée de vie.

• Mettre en place une supervision humaine (IA à haut risque) :

  Concevoir des systèmes d’IA avec des dispositions pour une supervision humaine efficace par des personnes physiques.

• Respecter les lois sur le droit d’auteur :

  Les lois sur le droit d’auteur doivent être respectées conformément aux exigences du RGPD.

• Garantir la précision, la robustesse et la cybersécurité (IA à haut risque) :

  Garantir des normes élevées de précision, de robustesse et de cybersécurité pour des performances homogènes du système d’IA.

• Mettre en œuvre un système de gestion de la qualité (IA à haut risque) :

  Mettre en œuvre un SMQ pour assurer la conformité à la loi sur l’IA.

• Transparence pour l’IA à risque limité :

  Informer les utilisateurs finaux qu’ils interagissent avec un système d’IA.

• Marquer le contenu généré par l’IA :

  Les fournisseurs et les utilisateurs doivent marquer le contenu de l’IA, par exemple les images et les vidéos.

Les entreprises doivent assurer la conformité à la loi sur l’IA par le biais de contrôles internes ou d’évaluations du système de gestion de la qualité, impliquant potentiellement des organismes notifiés. Les fournisseurs doivent créer une déclaration de conformité de l’UE et apposer le marquage CE. Les utilisateurs ont également des responsabilités, notamment celle de garantir une utilisation responsable de l’IA avec la formation, les compétences et l’autorité nécessaires.

De plus, si les fournisseurs ont des raisons de soupçonner une non-conformité à la loi sur l’IA, ils doivent prendre des mesures correctives.

french

Quel est l’objectif principal du questionnaire et de l’enquête ?

Le questionnaire et l’enquête décrits dans ce document servent un objectif spécifique et essentiel : évaluer l’état actuel de l’adoption de l’IA et des pratiques d’audit au sein des entreprises, en particulier dans le contexte de la loi européenne sur l’IA (EU AI Act). Ces informations cruciales permettent de comprendre dans quelle mesure les organisations sont préparées aux exigences de la loi sur l’IA et de recenser les lacunes potentielles dans leurs cadres de gouvernance de l’IA.

L’enquête vise à :

• Comprendre l’application de la loi sur l’IA au sein des organisations.
• Évaluer l’utilisation actuelle de l’IA dans divers processus opérationnels.
• Évaluer les approches d’audit interne actuelles des systèmes d’IA.

Détails de l’enquête et profil des participants

L’enquête a inclus des réponses de plus de 40 entreprises, dont une part importante (39 %) opère dans le secteur financier (banque, assurance) et une large majorité (70 %) ayant des activités exclusivement ou également en Europe. Étant donné que 70 % des entreprises interrogées avaient de petites équipes d’audit interne (moins de 10 ETP), dont près de la moitié ne disposait pas d’auditeurs informatiques spécialisés, l’accent est clairement mis sur la nécessité accrue de renforcer les capacités informatiques au sein desdites fonctions d’audit interne.

Principales conclusions exploitables

• L’adoption de l’IA est généralisée : Une part importante des entreprises (57 %) a déjà déployé ou est en train de mettre en œuvre des systèmes d’IA.
• Lacune en matière de culture de l’IA : Bien qu’une majorité (85 %) des répondants aient une bonne ou juste compréhension de l’IA, un pourcentage plus faible (71 %) comprend l’audit de l’IA spécifiquement, et seulement 56 % reflètent une vision claire de la loi européenne sur l’IA, ce qui implique un besoin global de formation accrue sur la loi européenne sur l’IA afin que les services d’audit puissent effectuer des processus d’assurance de l’IA efficacement.
• Efforts de conformité en cours : 60 % des entreprises concernées par la loi sur l’IA lancent des projets pour assurer la conformité aux nouvelles exigences réglementaires.
• Faible utilisation de l’IA par l’audit interne : La majorité (72 %) des services d’audit interne n’utilisent pas activement les systèmes d’IA dans leurs processus d’audit. Lorsque l’IA est utilisée, c’est principalement pour l’évaluation des risques (33 %).
• Adoption de l’IA générative : 64 % des entreprises utilisent ou mettent en œuvre des systèmes d’IA générative, et 44 % ont des réglementations internes régissant leur développement et leur utilisation.

Ces données soulignent la nécessité pour les organisations de renforcer leurs efforts de conformité, de fournir une formation adéquate sur la loi sur l’IA et d’envisager d’intégrer l’IA dans leurs processus d’audit interne. Pour les auditeurs internes, l’enquête souligne l’importance de développer des cadres pour évaluer et auditer l’utilisation de l’IA au sein de leurs organisations, apporter des avantages et réduire efficacement les risques.

french

Quelles sont les principales conclusions concernant l’adoption de l’IA par les entreprises, basées sur les résultats de l’enquête ?

Une récente enquête met en lumière l’état actuel de l’adoption de l’IA au sein des entreprises, en particulier dans le contexte de la loi européenne sur l’IA. Les résultats révèlent un usage généralisé de l’IA, mais soulignent également des points d’inquiétude concernant la préparation à la conformité et les capacités d’audit interne.

Taux d’adoption de l’IA et domaines d’intérêt

• Adoption généralisée : Environ 57 % des entreprises interrogées ont déjà déployé des systèmes d’IA (39 %) ou ont des projets de mise en œuvre en cours (18 %).
• Nécessité de mieux connaître la loi sur l’IA : Bien que la majorité soient des entreprises financières opérant en Europe et donc soumises à la loi sur l’IA (60 %), la compréhension des exigences de la loi européenne sur l’IA reste faible (56 %). Cela met en évidence la nécessité d’initiatives de formation dédiées au sein des organisations.
• Dynamique de l’IA générative : Il existe un intérêt substantiel pour l’IA générative, avec 64 % des entreprises interrogées qui utilisent ou mettent en œuvre ces systèmes. Environ 44 % de ces entreprises ont mis en place des réglementations internes concernant cette technologie.
• Support des processus : Les systèmes d’IA standard et générative sont principalement déployés pour soutenir :
  • Le service client, les ventes et le marketing.
  • L’intelligence économique et l’analyse, la finance et la comptabilité.
  • L’informatique et la cybersécurité (plus important avec l’IA générative).

Principales préoccupations en matière de conformité et de réglementation

• Lacunes en matière de normalisation : Une part importante des entreprises (72 %) n’utilisent pas l’IA pour les audits ou les activités internes.
• Préparation à l’audit interne : Seuls 28 % ont défini une architecture technologique standard pour les systèmes d’IA existants. De plus, 44 % ont mis en place une structure de réglementation interne pour superviser l’utilisation, mais 85 % ont déclaré avoir une bonne ou une assez bonne compréhension de l’IA. Mais dans l’ensemble, seuls 56 % des personnes interrogées ont déclaré avoir une bonne ou une assez bonne compréhension de la loi sur l’IA. Cela révèle des défis potentiels lors de l’audit des systèmes d’IA sans une structure solide pour se conformer.

Implications pratiques pour les responsables de la conformité

• Impératif de perfectionnement : Il semble y avoir un besoin constant de planifier et de déployer des activités de formation dédiées à l’IA pour la législation européenne sur l’IA. Ceci est nécessaire pour promouvoir une utilisation responsable et compétente.
• Renforcement des compétences en matière d’audit interne : Les compétences des auditeurs internes pour l’audit de l’IA sont améliorées par une formation interne ou externe. Cependant, il est important de renforcer ces compétences pour continuer à se conformer correctement aux réglementations.