La Loi sur l’IA de l’UE s’applique-t-elle aux systèmes d’IA « anciens » ?
Que se passe-t-il pour les systèmes d’IA qui ont été construits et déployés avant l’entrée en vigueur de la loi ? Les nouvelles règles s’appliquent-elles rétroactivement ?
La réponse courte est : Généralement non, mais avec des exceptions importantes et des obligations de transition.
Le Principe de Non-Rétroactivité
La Loi sur l’IA n’est pas rétroactive. Cela signifie :
- Les systèmes d’IA mis sur le marché ou mis en service avant le 2 août 2025 sont largement exempts des nouvelles obligations de la loi.
- Cependant, cette exemption ne s’applique pas à certaines pratiques d’IA interdites en vertu de l’Article 5 de la loi.
Pratiques Interdites Clés Affectant Tous les Systèmes d’IA
Indépendamment de la date de déploiement du système d’IA, les utilisations suivantes sont interdites et doivent être éliminées :
- Évaluation sociale par les gouvernements
- Identification biométrique en temps réel dans des espaces publics (avec exceptions limitées)
- Manipulation exploitante de groupes vulnérables
- IA à motifs sombres conçue pour déformer matériellement le comportement des utilisateurs
Toute IA héritée tombant sous ces catégories doit être immédiatement remédiée ou interrompue.
Dates de Transition Importantes et Déclencheurs de Conformité
Quand les Systèmes d’IA Hérités doivent-ils se Conformer ?
1. Modification Substantielle
Si un système d’IA mis sur le marché avant le 2 août 2025 est substantiellement modifié après le 2 août 2026, il est considéré comme un nouveau système et doit se conformer pleinement à la Loi sur l’IA.
La modification substantielle fait référence à des changements significatifs dans la conception, la fonctionnalité ou le but prévu (voir Article 3(23), Récital 177).
2. Règles Spéciales pour les Modèles d’IA à Usage Général (GPAI)
Pour les modèles de base comme GPT, LLaMA, et des systèmes similaires :
- Les modèles déjà sur le marché avant le 2 août 2025 doivent se conformer à certaines obligations de transparence, de gestion des risques et de droits d’auteur à partir du 2 août 2027.
- Cette période de transition permet l’audit, la mise à jour des politiques et la mise en œuvre de mesures de protection contre les risques systémiques.
3. Systèmes d’IA à Haut Risque du Secteur Public
Les autorités publiques utilisant des systèmes d’IA à haut risque déployés avant le 2 août 2025 ont jusqu’au 2 août 2030 pour garantir leur pleine conformité.
La Loi sur l’IA reconnaît la complexité et les cycles budgétaires des administrations publiques. Les fournisseurs et déployeurs dans cet espace doivent adapter, remplacer ou décommissionner les anciennes IA pour répondre aux exigences d’ici cette date limite.
4. Considération Spéciale : Systèmes d’Information Européens à Grande Échelle
Les systèmes d’IA hérités utilisés dans des infrastructures publiques critiques de l’UE (sous l’Annexe X, par exemple, Système d’information Schengen, Eurodac) :
- Sont exemptés temporairement s’ils ont été déployés avant le 2 août 2027.
- Toute modification substantielle déclenche la conformité immédiatement.
- Les nouveaux déploiements après cette date doivent se conformer pleinement dès le départ.
Résumé : Applicabilité de la Loi sur l’IA aux Systèmes Hérités
Intégration de l’IA Héritée dans le Cadre de Gestion des Risques
Effectuer des Évaluations d’Impact sur les Droits Fondamentaux (FRIA) et des Évaluations d’Impact sur la Protection des Données (DPIA)
Même si l’IA héritée est exonérée, la réalisation de ces évaluations aide à identifier les risques et à s’aligner sur les obligations du RGPD et des droits fondamentaux.
- La Loi sur l’IA (Article 27) nécessite une FRIA pour certains systèmes d’IA à haut risque.
- Le RGPD (Article 35) exige une DPIA si le traitement est susceptible d’entraîner un haut risque pour les droits et libertés.
- Les déployeurs publics d’IA héritée à haut risque doivent soumettre des résumés de ces évaluations lors de l’enregistrement.
Enregistrer les Systèmes d’IA à Haut Risque
Les autorités publiques et les organismes de l’UE doivent enregistrer les systèmes d’IA à haut risque, y compris les systèmes hérités, dans la base de données de l’UE avant leur déploiement ou leur utilisation.
L’enregistrement comprend la fourniture d’informations de contact, de détails sur le système et de résumés des évaluations d’impact.
S’Aligner sur les Normes et Cadres de Gouvernance
Suivez les normes émergentes telles que le ISO/IEC 42001 Système de Gestion de l’IA (AIMS) et les normes harmonisées à venir en vertu de la Loi sur l’IA.
Le ISO/IEC DIS 42005 (Évaluation d’Impact de l’IA — en développement) pousse à une gestion des risques holistique et basée sur les droits.
Intégrez la conformité à l’IA dans les systèmes de gouvernance, de gestion des risques et de conformité (GRC) existants.
Conclusion
Bien que la Loi sur l’IA exonère généralement les systèmes d’IA hérités de la plupart des nouvelles obligations, la non-conformité, en particulier en ce qui concerne les pratiques interdites ou l’IA à haut risque, peut entraîner des amendes substantielles en vertu de l’Article 99. Ces pénalités peuvent atteindre jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial.
Il est important de noter que la Loi sur l’IA n’est pas destinée à freiner le progrès technologique. Au contraire, elle reflète l’engagement de l’UE à trouver un équilibre entre l’innovation et la protection des droits fondamentaux et des infrastructures critiques.
Une gouvernance efficace de l’IA commence par une préparation proactive. Les organisations doivent d’abord identifier leurs systèmes d’IA les plus opaques ou à fort impact, ceux où les risques et les incertitudes convergent, et les prioriser. À partir de là, construire une approche de gestion de l’IA structurée et basée sur les risques devient non seulement une nécessité réglementaire mais un avantage stratégique.
