Systèmes d’IA à haut risque au titre de l’AI Act : obligations et conformité

L’essentiel du poids de la conformité du règlement européen sur l’IA (AI Act) repose sur une seule catégorie : les systèmes d’IA à haut risque. Ce sont les systèmes qui peuvent affecter de manière significative la santé, la sécurité ou les droits fondamentaux des personnes, et le règlement les traite en conséquence. Si votre organisation conçoit ou déploie de l’IA dans des domaines sensibles, c’est la partie du règlement (UE) 2024/1689 que vous ne pouvez pas vous permettre de mal interpréter.

Cet article est la deuxième partie de notre série sur l’AI Act. Si vous avez d’abord besoin de la vue d’ensemble, commencez par Le règlement européen sur l’IA (AI Act) expliqué. Nous nous concentrons ici sur ce qui est considéré comme à haut risque, sur ce que doivent faire fournisseurs et déployeurs, et sur la manière d’aborder la conformité sans freiner l’innovation.

Qu’est-ce qui qualifie un système d’IA de haut risque ?

Le règlement identifie les usages à haut risque de deux grandes manières. Premièrement, l’IA qui sert de composant de sécurité d’un produit déjà couvert par la législation d’harmonisation de l’UE, et qui exige une évaluation de conformité par un tiers, est à haut risque. Deuxièmement, une liste définie de cas d’usage (annexe III) est à haut risque en raison de son impact potentiel sur les droits fondamentaux. Cette liste comprend :

• Infrastructures critiques : composants de sécurité d’IA dans les transports, l’eau, le gaz, le chauffage, l’électricité et les infrastructures numériques.
• Éducation et formation professionnelle : systèmes qui déterminent l’accès à l’éducation, notent les examens ou surveillent le comportement pendant les épreuves.
• Emploi : outils de tri de CV et de recrutement, ainsi que systèmes qui influencent les promotions, les licenciements, la répartition des tâches ou le suivi des performances.
• Services privés et publics essentiels : évaluation du crédit, évaluation du risque d’assurance, éligibilité aux prestations et hiérarchisation des interventions d’urgence.
• Biométrie : identification à distance, catégorisation biométrique selon des attributs sensibles et reconnaissance des émotions (en dehors des contextes interdits).
• Répression : évaluation du risque criminel, appréciation de la fiabilité des preuves ou profilage d’individus.
• Migration, asile et contrôle aux frontières : évaluations des risques et examen automatisé des demandes de visa.
• Administration de la justice et processus démocratiques : aide à la décision judiciaire ou systèmes susceptibles d’influencer des élections.

Si un système correspond à l’une de ces descriptions, les obligations relatives aux systèmes à haut risque s’appliquent.

Les obligations essentielles des fournisseurs

Avant qu’un système à haut risque puisse être mis sur le marché, son fournisseur doit y intégrer un ensemble de garanties. Le règlement exige :

• Gestion des risques : un système adéquat pour évaluer et atténuer les risques tout au long du cycle de vie.
• Qualité des données : des jeux de données d’entraînement, de validation et de test de haute qualité pour limiter le risque de résultats discriminatoires.
• Journalisation : l’enregistrement automatique des événements pour garantir la traçabilité des résultats.
• Documentation technique : des informations détaillées permettant aux autorités d’évaluer la conformité.
• Transparence envers les déployeurs : des instructions claires pour que les personnes qui exploitent le système le comprennent.
• Contrôle humain : des mesures effectives qui permettent aux personnes d’intervenir ou de passer outre.
• Robustesse, exactitude et cybersécurité : un niveau élevé de résilience technique.

Il ne s’agit pas d’exercices de pure forme. Ensemble, ces éléments constituent un dossier de conformité qui doit résister à l’examen des autorités de surveillance du marché.

Contrôle humain : bien plus qu’un bouton d’arrêt

Le contrôle humain est l’une des exigences les plus souvent mal comprises. Il ne signifie pas simplement qu’une personne peut éteindre le système. Il signifie concevoir le système de sorte qu’un humain puisse réellement comprendre son résultat, repérer un dysfonctionnement et décider de ne pas suivre une recommandation. Pour un outil de recrutement, cela peut vouloir dire qu’un recruteur voit pourquoi un candidat a été classé de telle manière, et dispose de l’autorité — et de la formation — nécessaires pour ne pas en tenir compte.

Ce que doivent faire les déployeurs

Le règlement ne réglemente pas seulement les fournisseurs. Les déployeurs, c’est-à-dire les organisations qui mettent en service un système à haut risque, ont eux aussi des obligations. Ils doivent assurer le contrôle humain en pratique, surveiller le fonctionnement et utiliser le système conformément aux instructions du fournisseur. Les entités qui fournissent des services publics doivent en outre réaliser une analyse d’impact sur les droits fondamentaux avant de déployer certains systèmes à haut risque. Enfin, les systèmes à haut risque, ainsi que les entités qui les utilisent, doivent être enregistrés dans une base de données de l’UE.

Après le déploiement : le cycle de vie de la conformité

La conformité ne s’arrête pas au lancement. Une fois le système en service :

• Les fournisseurs exploitent un système de surveillance après commercialisation pour détecter les problèmes qui apparaissent en conditions réelles.
• Les déployeurs maintiennent l’humain dans la boucle et suivent les performances.
• Les autorités de surveillance du marché contrôlent le marché et peuvent exiger des mesures correctives.
• Fournisseurs et déployeurs doivent tous deux signaler les incidents graves et les dysfonctionnements.

Cette boucle continue transforme une évaluation de conformité ponctuelle en confiance durable.

Un allègement pour les petits acteurs

Les régulateurs savent que ces obligations sont exigeantes. Le règlement prévoit donc une proportionnalité pour les PME et les start-up, notamment des voies de conformité simplifiées, des frais réduits et des amendes administratives proportionnées à la taille de l’entreprise. Il promeut également les bacs à sable réglementaires de l’IA, des environnements contrôlés où les systèmes à haut risque innovants peuvent être développés, testés et validés, parfois en conditions réelles, avec l’accompagnement des autorités. Les États membres sont tenus de mettre en place ces bacs à sable, ce qui offre aux petits innovateurs une voie plus sûre vers le marché.

Une voie pratique vers la conformité

Pour les organisations soumises à des obligations de haut risque, une approche structurée aide :

1. Classez avec précision. Vérifiez que votre système est réellement à haut risque ; la distinction entre les domaines de l’annexe III et les cas d’usage spécifiques est importante.
2. Mettez en place la gouvernance. De nombreuses entreprises nomment un responsable IA interne ou un comité de supervision pour coordonner la conformité.
3. Documentez au fil de la conception. La gestion des risques, la gouvernance des données et la journalisation coûtent bien moins cher à concevoir dès le départ qu’à rajouter après coup.
4. Anticipez le contrôle humain et les incidents. Définissez qui intervient, comment, et comment les incidents graves sont signalés.

Haut risque ne signifie pas interdit. Cela signifie responsable. Les organisations qui voient ces obligations comme une discipline de conception, et non comme une charge administrative, livreront une IA en laquelle clients et régulateurs peuvent avoir confiance.

Poursuivez avec la troisième partie, IA à usage général et gouvernance, ou échangez avec notre équipe à propos de votre feuille de route de conformité.