La Loi sur l’IA de l’UE et la Conformité des PME
La Loi sur l’IA de l’Union Européenne (UE) a été publiée au Journal Officiel de l’UE le 12 juillet 2024, marquant ainsi un tournant significatif dans la réglementation de la sécurité et de la vie privée, comparable à celle du Règlement Général sur la Protection des Données (RGPD) de 2018.
Portée de la Loi
La définition des termes est cruciale dans toute nouvelle législation. La Loi sur l’IA est large à cet égard, définissant un « système d’IA » comme un système basé sur une machine « conçu pour fonctionner avec divers niveaux d’autonomie et pouvant faire preuve d’adaptabilité après son déploiement. »
Cette définition peut englober de nombreuses applications logicielles que plusieurs PME utilisent, développent ou revendent. Bien que la loi prévoie des dispositions spécifiques pour les PME et les startups, celles-ci ne sont pas exemptées de ses exigences.
Rôles Liés aux Systèmes d’IA
La loi établit une variété de rôles concernant les systèmes d’IA :
- Fournisseur — toute personne qui développe un système d’IA ou qui engage quelqu’un d’autre pour le faire.
- Déployeur — toute personne utilisant un système d’IA (sauf pour un usage personnel).
- Importateur — toute personne dans l’UE qui met un système d’IA sur le marché sous son propre nom.
- Distributeur — toute personne dans la chaîne d’approvisionnement, autre que le fournisseur ou l’importateur, qui rend un système d’IA disponible sur le marché de l’UE.
Si votre entreprise est impliquée dans l’un de ces rôles, il est crucial de rester vigilant.
Exigences Documentaires
Une tâche clé pour toute PME traitant avec les exigences de la Loi sur l’IA de l’UE est de déterminer si un système d’IA sous sa responsabilité est classé comme « à haut risque ». Si tel est le cas, la loi exige :
- Systèmes de gestion des risques et de qualité : Identifier, analyser et évaluer les risques pour la santé et les droits fondamentaux.
- Programme de gouvernance des données : Suivre la provenance et la qualité des données d’entraînement.
- Documentation technique détaillée : Essentielle pour faciliter le fonctionnement sécurisé des systèmes d’IA.
- Transparence : Fournir des informations claires sur les capacités et les limitations des systèmes d’IA.
- Précision, robustesse et cybersécurité : Assurer une performance constante tout au long du cycle de vie.
- Surveillance post-commercialisation : Collecter des données sur la performance des systèmes d’IA.
- Surveillance humaine : Assurer que les opérateurs humains peuvent comprendre et répondre aux opérations des systèmes d’IA.
Risques de Responsabilité Accrus
Un autre défi pour les PME sous la Loi sur l’IA de l’UE sera l’augmentation du risque d’actions légales gouvernementales et privées. La loi établit une série d’amendes pour non-conformité, ce qui peut représenter un fardeau considérable.
Les modifications proposées au Directive sur la Responsabilité des Produits (PLD) créeront une présomption de défaut pour les produits d’IA qui ne respectent pas les normes de sécurité obligatoires. Cela facilitera les actions en justice par des parties privées.
ISO 42001 comme Outil de Gestion des Risques
Publié fin 2023, le standard ISO 42001 établit des meilleures pratiques pour la création d’un Système de Gestion de l’IA (SGIA). Obtenir une certification selon cette norme peut aider à réduire les risques.
En outre, la mise en œuvre de l’ISO 42001 nécessite :
- Une clarification des rôles et responsabilités organisationnels concernant l’IA.
- Une surveillance des incidents et des non-conformités.
- Des évaluations des risques et des impacts de l’IA.
Conclusion
La Loi sur l’IA est l’une des législations les plus importantes jamais adoptées en matière d’IA. Ses impacts se feront sentir pendant des décennies. Les PME ayant une exposition au marché de l’UE doivent examiner attentivement leurs activités pour déterminer si elles répondent aux définitions couvertes par la loi.
Enfin, certifier leur Système de Gestion de l’IA selon l’ISO 42001 peut fournir une défense légale dans certains scénarios, réduisant ainsi le risque de responsabilité.
