1. Obligations générales des déployeurs.
L’article 4 du Réglement sur l’intelligence artificielle (Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle) pose dès l’article 4 une obligation générale de formation. Ainsi, les déployeurs de systèmes d’IA (comme les fournisseurs de SIA) doivent prendre des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA pour leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des SIA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d’IA sont destinés à être utilisés, et en tenant compte des personnes ou des groupes de personnes à l’égard desquels les systèmes d’IA sont destinés à être utilisés.
Il en résulte une obligation pour les entreprises de former les utilisateurs aux outils d’IA proposés en leur sein.
2. Obligations spécifiques pour les déployeurs de systèmes d’IA à haut risque (SIAHR) (Pour en savoir plus sur la classification des SIA : IA Act et systèmes d’IA à haut risque).
Conformité et mesures techniques : utiliser les SIAHR conformément aux instructions fournies par les fournisseurs et mettre en place des mesures techniques et organisationnelles appropriées pour ce faire (art. 26.1).
Compétence et autorité du contrôle humain : confier le contrôle humain à des personnes physiques qui disposent des compétences, de la formation et de l’autorité nécessaires ainsi que du soutien nécessaire (art. 26.2).
Surveillance : assurer une surveillance humaine continue du fonctionnement du SIAHR, notamment sur la base de la notice d’utilisation (art. 26.3).
Signalement : informer immédiatement le fournisseur et les autorités compétentes en cas de détection d’un risque (art. 26.5) et collaborer avec le fournisseur du système d’IA à haut risque pour l’aider à rechercher les causes de la survenance d’un risque [1] (art. 20).
Vérification des données : veiller à la pertinence et à la qualité des données d’entrée utilisées (art. 26.4).
Conservation des journaux : conserver les journaux générés par le système pendant « une période adaptée à la destination du système d’IA à haut risque » (au moins six mois) (art. 26.6).
Communication préalable : informer les représentants des travailleurs et les travailleurs concernés avant l’utilisation d’un système à haut risque (art. 26.7).
Interdiction d’utilisation des SIAHR non enregistrés : s’abstenir d’utiliser un SIAHR non enregistré dans la base de données de l’Union européenne [2] (art. 26.8).
Coopération avec les autorités : coopérer avec les autorités compétentes concernées en fournissant des informations [3] et en respectant toute mesure prise par ces autorités à l’égard du système d’IA à haut risque (art. 26.12).
Focus sur les analyses d’impact.
L’article 26.9 du Règlement oblige les déployeurs à mener une analyse d’impact sur la protection des données à caractère personnel, comme l’exige l’article 35 du RGPD en se basant sur les informations fournies par le fournisseur du SIAHR.
L’article 27 leur impose également, avant le déploiement, une analyse d’impact spécifique pour les systèmes d’IA à haut risque visés à l’annexe III [4], points 5), b) et c), à savoir :
- systèmes d’IA destinés à être utilisés pour évaluer la solvabilité des personnes physiques ou pour établir leur note de crédit, à l’exception des systèmes d’IA utilisés à des fins de détection de fraudes financières ;
- systèmes d’IA destinés à être utilisés pour l’évaluation des risques et la tarification en ce qui concerne les personnes physiques en matière d’assurance-vie et d’assurance maladie.
Cette analyse comprend :
a) une description des processus du déployeur dans lesquels le système d’IA à haut risque sera utilisé conformément à sa destination ;
b) une description de la période pendant laquelle et de la fréquence à laquelle chaque système d’IA à haut risque est destiné à être utilisé ;
c) les catégories de personnes physiques et les groupes susceptibles d’être concernés par son utilisation ;
d) les risques spécifiques de préjudice susceptibles d’avoir une incidence sur les catégories de personnes physiques ou groupes de personnes identifiés en vertu du point c) du présent paragraphe, compte tenu des informations fournies par le fournisseur ;
e) une description de la mise en œuvre des mesures de contrôle humain, conformément à la notice d’utilisation ;
f) les mesures à prendre en cas de matérialisation de ces risques, y compris les dispositifs relatifs à la gouvernance interne et aux mécanismes de plainte internes.
L’évaluation doit systématiquement examiner les algorithmes et évaluer la manière dont les données personnelles sont traitées et protégées.
A noter : le Bureau de l’IA élaborera un modèle de questionnaire afin d’aider les déployeurs à se conformer de manière simplifiée à cette obligation.
Une fois l’analyse effectuée, le déployeur doit notifier les résultats de l’analyse à l’autorité de surveillance du marché. Dans le cas visé à l’article 46, paragraphe 1 [5], les déployeurs peuvent être exemptés de cette obligation de notification.
3. Obligations propres à certains systèmes d’IA.
Autorisation pour l’identification biométrique à distance : les déployeurs de systèmes d’IA à haut risque pour l’identification biométrique à distance doivent obtenir une autorisation (ex-ante ou sans retard injustifié et au plus tard dans les 48 heures) auprès d’une autorité judiciaire ou administrative. Cette autorisation est nécessaire pour enquêter sur des infractions pénales spécifiques. En cas de refus, l’utilisation du système doit cesser et les déployeurs doivent supprimer toutes les données personnelles collectées (art. 26.10).
Vérification et confirmation humaine : interdiction de prendre une mesure ou décision sur la base de l’identification résultant du SIAHR sans vérification et confirmation distinctes de cette identification par au moins deux personnes physiques disposant des compétences, de la formation et de l’autorité nécessaires (art. 14).
Transparence :
- Les déployeurs d’un système de reconnaissance des émotions ou d’un système de catégorisation biométrique doivent informer les personnes physiques qui y sont exposées du fonctionnement du système et doivent naturellement traiter les données à caractère personnel conformément au RGPD (art.50.3).
- Les déployeurs d’un système d’IA qui génère ou manipule des images ou des contenus audio ou vidéo constituant un hypertrucage, ou des textes publiés dans le but d’informer le public sur des questions d’intérêt public, doivent indiquer que les contenus ou textes ont été générés ou manipulés par une IA (art.50.4).
Explication des décisions individuelles : toute personne concernée faisant l’objet d’une décision prise par un déployeur sur la base des sorties d’un système d’IAHR mentionné à l’annexe III, à l’exception des systèmes énumérés au point 2 de ladite annexe (SIA liés aux infrastructures critiques), et qui produit des effets juridiques ou affecte significativement cette personne de façon similaire d’une manière qu’elle considère comme ayant des conséquences négatives sur sa santé, sa sécurité ou ses droits fondamentaux a le droit d’obtenir du déployeur des explications claires et pertinentes sur le rôle du système d’IA dans la procédure décisionnelle et sur les principaux éléments de la décision prise (art.86).
A noter :
- Il existe des règles spécifiques pour les déployeurs de systèmes d’IA qui sont des autorités publiques ou des institutions, organes ou organismes de l’Union, ou des établissements financiers.
- Si le déployeur commercialise sous son propre nom ou sa propre marque un système d’IA à haut risque déjà mis sur le marché, porte une modification substantielle à un système d’IA à haut risque ou modifie la destination d’un système d’IA, y compris un système d’IA à usage général, qui n’a pas été classé à haut risque, il sera considéré comme un fournisseur d’un système à haut risque et sera soumis aux obligations incombant au fournisseur de SIA (art. 25).
En conclusion, le règlement européen sur l’IA impose peu d’obligations aux utilisateurs de systèmes d’IA, sauf s’ils sont classifiés à haut risque. Les exigences imposées aux utilisateurs de systèmes à haut risque sont en revanche très nombreuses. En comprenant ces exigences et en se conformant aux normes établies, les déployeurs peuvent non seulement assurer la conformité légale mais aussi contribuer à une utilisation plus responsable et bénéfique de l’IA.
Pour en savoir plus sur le calendrier d’entrée en application et l’articulation avec le RGPD [6].
