Les niveaux de risque
Risque inacceptable : des pratiques comme la notation sociale par les autorités publiques ou les techniques manipulatrices, interdites purement et simplement. Haut risque : les systèmes listés à l’annexe III (emploi, crédit, services essentiels, forces de l’ordre, infrastructures critiques notamment) et l’IA intégrée comme composant de sécurité dans des produits déjà réglementés à l’annexe I. Risque limité : des obligations de transparence, par exemple dire à une personne qu’elle interagit avec une IA ou marquer un contenu généré. Risque minimal : aucune obligation spécifique. Les modèles à usage général portent leurs propres devoirs de documentation et, pour les modèles systémiques, d’évaluation.
Fournisseur ou déployeur, des devoirs différents
Un fournisseur met un système sur le marché et porte les obligations de conception : système de gestion des risques, gouvernance des données, documentation technique, journalisation, conception du contrôle humain, exactitude, robustesse et cybersécurité, évaluation de la conformité et enregistrement. Un déployeur l’utilise sous son autorité et doit l’utiliser conformément aux instructions, assurer le contrôle humain, le surveiller, conserver les journaux et, pour certains usages, évaluer l’impact sur les droits fondamentaux. La plupart des entreprises sont déployeurs de plusieurs systèmes et fournisseurs d’aucun, ce qui structure leur inventaire.
Ce qu’en fait un programme de gouvernance
Le premier artefact est un inventaire des systèmes d’IA en usage avec leur classification, parce que chaque devoir en aval en dépend. Le second est le lien avec le programme de risque et de contrôles existant : les devoirs de gestion des risques, de journalisation et de contrôle humain d’un système à haut risque sont des contrôles avec preuves, comme les autres, et son risque résiduel siège dans le registre. Pour l’IA intégrée dans des produits réglementés, les obligations s’appliquent au plus tard le 2 août 2028, ce qui place l’échéance à l’intérieur de la plupart des feuilles de route produit d’aujourd’hui.