Les systèmes d’IA à risque : de quoi s’agit-il et que doivent faire les employeurs concernés ?
La réglementation sur l’IA dans l’Union Européenne, connue sous le nom de Règlement sur l’IA, est la première législation au monde à réguler les systèmes d’intelligence artificielle. Cette loi impose des obligations basées sur le niveau de risque associé à certaines utilisations des systèmes d’IA. Les dispositions relatives aux usages « les plus risqués » de l’IA sont entrées en vigueur le 2 février 2025, et l’ensemble du règlement sera appliqué d’ici le 1er août 2026. L’intention du Parlement européen est de réglementer et de classifier les systèmes d’IA de manière à accroître la sûreté, la transparence et la sustainabilité, tout en prévenant les pratiques discriminatoires liées à l’IA.
Les capacités de l’IA ont considérablement évolué ces dernières années, entraînant des défis juridiques et éthiques. Par exemple, des données d’entraînement incomplètes et biaisées ont conduit des systèmes d’IA à évaluer de manière discriminatoire des CV, à mal étiqueter des images et à identifier incorrectement des suspects criminels. De plus, l’IA soulève des préoccupations en matière de confidentialité et de transparence, notamment lorsque des informations personnelles des utilisateurs sont « collectées » à partir de sites accessibles au public sans leur consentement. L’IA générative peut également créer des images dérangeantes, offensantes et racistes. En réponse à ces problèmes, le Parlement européen a adopté ce règlement pour trouver un équilibre entre la promotion de l’innovation et la protection des utilisateurs et de leurs droits.
Cette réglementation s’applique-t-elle à votre entreprise ?
Le règlement s’applique aux fournisseurs de systèmes d’IA sur le marché de l’UE, quel que soit leur lieu d’établissement, ainsi qu’aux utilisateurs de ces systèmes situés en dehors de l’UE, si le produit de l’IA sera utilisé dans l’UE. Cela signifie que même les entreprises non situées dans l’UE doivent être conscientes des implications du règlement. Par exemple, si vous utilisez un outil de recrutement basé sur l’IA au Royaume-Uni pour le recrutement dans votre entreprise en UE, cela sera soumis au règlement.
Catégories de risque
Le règlement tente de classifier les utilisations de l’IA en différentes catégories de risque, allant de « risque minimal » et « risque limité » à « risque élevé » et « risque inacceptable ». Selon le règlement, les systèmes d’IA « à risque minimal » (qui incluent la plupart des systèmes actuellement disponibles sur le marché de l’UE) resteront non réglementés. Les systèmes à « risque limité » seront soumis à des obligations légères pour garantir que les utilisateurs savent et comprennent qu’ils interagissent avec une IA. Des réglementations beaucoup plus strictes sont imposées aux systèmes « à risque élevé » et « à risque inacceptable ». L’amende maximale pour non-conformité est de 35 millions d’euros ou jusqu’à 7% du chiffre d’affaires mondial total de l’entreprise pour l’année financière précédente, selon le montant le plus élevé.
Systèmes d’IA « à risque élevé »
Les systèmes d’IA à risque élevé comprennent ceux utilisés pour catégoriser les personnes sur la base de leurs données biométriques (par exemple, l’IA utilisée dans la vidéosurveillance) ; pour l’éducation et la formation (par exemple, l’IA utilisée pour détecter un comportement erratique des étudiants lors des examens) ; dans l’emploi (par exemple, l’IA utilisée dans la prise de décision RH, lors de l’intégration ou des processus de recrutement) ; et pour administrer la justice (par exemple, l’IA utilisée dans la résolution alternative des litiges).
Un système ne sera qualifié de haut risque que s’il pose un risque significatif de préjudice à la santé, à la sécurité ou aux droits fondamentaux. Un système qui effectue uniquement une tâche procédurale étroite ou qui vise à améliorer le résultat d’une activité humaine précédemment réalisée, par exemple, sera considéré comme ne posant pas de risque significatif et ne relèvera pas de la classification à risque élevé.
Il est clair d’après la liste prescrite ci-dessus que de nombreux outils d’IA que les entreprises pourraient utiliser dans un contexte RH tomberont dans la catégorie à risque élevé. Cela inclura les systèmes d’IA qui aident à la présélection de CV et d’applications pour des postes, ainsi que les outils de gestion de la performance.
Les développeurs d’IA à risque élevé ont jusqu’à au moins 2027 pour :
- Créer et mettre à jour un système de gestion des risques tout au long du cycle de vie du système d’IA ;
- Mettre en œuvre un système de gouvernance des données ;
- Créer un système de gestion de la qualité ainsi que la documentation technique pour démontrer et garantir la conformité avec le règlement et permettre aux autorités de tester cette conformité ;
- Concevoir l’IA de manière à ce qu’elle maintienne et mette à jour automatiquement et régulièrement des dossiers indiquant tout risque ou changement significatif de l’IA ;
- Fournir des instructions sur la façon d’utiliser l’IA à ses déployeurs ;
- Concevoir l’IA de telle sorte que des humains puissent la superviser et que l’IA soit sécurisée, fonctionne correctement et donne le bon résultat.
Systèmes d’IA « à risque inacceptable »
Le règlement interdit les systèmes d’IA à risque inacceptable depuis le 2 février 2025. Huit systèmes d’IA sont interdits en vertu du règlement car ils posent une menace significative pour leurs utilisateurs et pour la société au sens large. Cela inclut les systèmes qui impliquent une notation sociale des personnes (par exemple, le classement des utilisateurs ou de groupes d’utilisateurs en fonction de traits de personnalité, entraînant un traitement défavorable ou préjudiciable), la reconnaissance des émotions dans le milieu professionnel ou éducatif, et l’utilisation d’informations biométriques pour des systèmes de catégorisation déduisant des attributs sensibles (par exemple, le genre, la religion, l’ethnicité).
La Commission européenne a récemment approuvé des directives sur les pratiques d’IA interdites.
Que doivent faire les employeurs ?
Si votre entreprise, ou une partie de celle-ci, entre dans le champ d’application du règlement, vous devez agir dès maintenant pour vous assurer que vous respectez vos obligations :
- Audits : Envisagez de réaliser un audit des systèmes d’IA que vous utilisez actuellement, afin de vérifier s’ils relèvent des catégories « à risque inacceptable » ou « à risque élevé ». Si un système d’IA dans ces catégories est identifié, vous devez le retirer ou le modifier immédiatement pour éviter les conséquences de non-conformité.
- Politiques : Mettez en œuvre des politiques de gouvernance de l’IA pour définir clairement comment les employés doivent utiliser de manière responsable l’IA afin de respecter le règlement.
- Formation : Envisagez une formation sur l’utilisation de l’IA pour aider les employés à comprendre les défis, les risques et les opportunités que l’IA présente, ainsi que leur rôle et leurs responsabilités.
- Conformité des fournisseurs : Si vous utilisez des fournisseurs tiers pour vos systèmes d’IA (par exemple, pour l’IA dans le recrutement), assurez-vous que le fournisseur d’IA respecte le règlement et examinez vos contrats fournisseurs pour garantir que la responsabilité en cas de non-conformité repose sur eux.
En prenant des mesures proactives dès maintenant pour garantir la conformité avec le règlement, les employeurs peuvent maintenir une culture d’entreprise axée sur les personnes et éviter des amendes substantielles, ainsi que des répercussions sur leur réputation.
