1. Formez-vous à l’ai act
La Formation : JuristIA
Droit – IA – Conformité
- Comprendre les fondamentaux de l’intelligence artificielle
- Se familiariser avec le cadre juridique
- Évaluer et gérer les risques associés à l’IA
- Élaborer un plan d’actions de mise en conformité
2. Cartographiez vos systèmes d’IA
Dresser un inventaire complet des systèmes d’IA déployés dans votre organisation, en les classifiant selon leur usage, leur niveau de risque (tel que défini par l’AI Act), et leur finalité.
Cette démarche permet de comprendre où se situent les systèmes d’IA critiques et d’identifier les obligations réglementaires spécifiques.
3. Evaluez le niveau de risque de vos systèmes d’IA
Analyser les risques associés à chaque système d’IA, notamment en termes de sécurité, d’impact sur les droits fondamentaux, et de conformité aux exigences de transparence et d’explicabilité.
Cette évaluation est essentielle pour prioriser les actions de mise en conformité et pour mettre en place des mesures de gestion des risques adaptées.
4. MetTez-vous en conformité avec l’AI Act
S’assurer que chaque système d’IA respecte les obligations de l’AI Act, telles que la documentation technique, la gestion des données, et les exigences de gouvernance.
Cette étape est importante pour établir des bases solides pour le respect de la législation et pour faciliter les audits et contrôles éventuels.
L’AI Act ou RIA (Règlement européen sur l’intelligence artificielle) est la première législation globale au monde dédiée à encadrer le développement, la commercialisation et l’utilisation des systèmes d’intelligence artificielle. Son objectif principal est de protéger la santé, la sécurité, et les droits fondamentaux des personnes tout en favorisant un environnement de développement d’IA sûr et responsable.
Approche fondée sur les risques
L’AI Act adopte une approche basée sur le niveau de risque que les systèmes d’IA peuvent présenter. Ces risques sont répartis en quatre catégories :
- Risque inacceptable : Cette catégorie couvre les systèmes d’IA interdits, car ils sont jugés contraires aux valeurs de l’Union européenne et aux droits fondamentaux. Cela inclut, par exemple, la notation sociale (système de points évaluant les comportements des citoyens), l’exploitation des vulnérabilités de personnes, ou l’identification biométrique en temps réel par les forces de l’ordre dans des espaces publics.
- Haut risque : Les systèmes d’IA qui peuvent compromettre la sécurité ou les droits fondamentaux sont classés dans cette catégorie. Ils sont soumis à des exigences strictes, telles que des évaluations de conformité, des documentations techniques, et des mécanismes de gestion des risques. Des exemples incluent les systèmes d’IA utilisés dans le domaine biométrique, le recrutement, ou les applications répressives.
- Risque spécifique en matière de transparence : Certains systèmes d’IA doivent respecter des obligations de transparence, notamment lorsqu’ils présentent des risques de manipulation. Par exemple, les chatbots ou la génération de contenu artificiel doivent informer clairement les utilisateurs de leur nature non humaine.
- Risque minimal : La majorité des systèmes d’IA, qui n’entraînent pas de risques significatifs, ne sont soumis à aucune obligation spécifique. Cette catégorie englobe la plupart des systèmes actuellement déployés ou envisagés dans l’UE.
L’AI Act a été publié au Journal officiel de l’Union européenne le 12 juillet 2024 et est entré en vigueur le 1er août 2024. Cependant, son application sera progressive pour permettre aux entreprises et aux autorités de se préparer et de s’adapter aux nouvelles exigences réglementaires. Voici un calendrier détaillé de la mise en application :
Calendrier de l’application échelonnée
- 2 février 2025 (6 mois après l’entrée en vigueur)
Mise en place des interdictions concernant les systèmes d’IA présentant des risques jugés inacceptables. Cela inclut les pratiques qui vont à l’encontre des valeurs de l’Union européenne et des droits fondamentaux.
- 2 août 2025 (12 mois après l’entrée en vigueur)
Application des règles pour les modèles d’IA à usage général.
Désignation des autorités compétentes dans chaque État membre pour assurer le respect du règlement.
- 2 août 2026 (24 mois après l’entrée en vigueur)
Application de l’ensemble des dispositions du règlement, notamment celles relatives aux systèmes d’IA à haut risque définis dans l’annexe III. Ces systèmes incluent des domaines comme la biométrie, les infrastructures critiques, l’éducation, l’emploi, l’accès aux services publics, l’application de la loi, l’immigration, et la justice.
Mise en œuvre par les autorités nationales d’au moins un « bac à sable réglementaire » pour tester les technologies de l’IA de manière sécurisée.
- 2 août 2027 (36 mois après l’entrée en vigueur)
Application des règles relatives aux systèmes d’IA à haut risque mentionnés dans l’annexe I. Cela couvre les systèmes intégrés dans des produits comme les jouets, les équipements radio, les dispositifs médicaux de diagnostic, la sécurité aérienne, les véhicules agricoles, etc.
Définition des normes harmonisées
L’AI Act repose également sur des normes harmonisées à l’échelle européenne. La Commission européenne a chargé le CEN/CENELEC de définir ces normes, qui sont actuellement en cours de rédaction, avec la participation active de la CNIL depuis janvier 2024. Ces normes préciseront les exigences techniques auxquelles les systèmes d’IA devront se conformer.
Cette approche graduelle offre une période d’adaptation cruciale pour les entreprises et permet aux autorités de s’organiser pour une mise en œuvre efficace et conforme des nouvelles règles.
Pour savoir si vos activités sont concernées par l’AI Act, il est essentiel de comprendre dans quel contexte s’appliquent ce règlement et le RGPD. Voici un guide clair pour vous aider à évaluer votre situation :
Quand l’AI Act s’applique-t-il seul ?
Si vous fournissez ou développez un système d’IA à haut risque qui ne traite pas de données personnelles, l’AI Act s’applique seul. Par exemple, un système de gestion automatisé pour une centrale électrique, sans recours à des données personnelles, serait soumis uniquement à l’AI Act.
Quand le RGPD s’applique-t-il seul ?
Si vous traitez des données personnelles pour développer ou utiliser un système d’IA qui ne relève pas des exigences de l’AI Act (parce qu’il n’est pas classé comme étant à haut risque ou soumis à des exigences spécifiques), seul le RGPD s’applique. Par exemple, un système d’IA attribuant des centres d’intérêt pour de la publicité ciblée, ou un projet de recherche utilisant des données personnelles, serait soumis uniquement au RGPD.
Quand les deux règlements s’appliquent-ils ?
Si vous développez ou déployez un système d’IA à haut risque qui traite des données personnelles, alors l’AI Act et le RGPD s’appliquent simultanément. Un exemple typique serait un système d’IA pour le tri automatique de CV, qui nécessite des données personnelles des candidats pour fonctionner.
Quand aucun des deux règlements ne s’applique-t-il ?
Si votre système d’IA présente un risque minimal et n’utilise pas de données personnelles, alors ni l’AI Act ni le RGPD ne s’appliquent. Par exemple, un système d’IA utilisé uniquement pour des simulations dans un jeu vidéo, sans implication de données personnelles, ne serait concerné par aucun de ces deux règlements.
Règles particulières selon le type de système d’IA
- Pratiques d’IA interdites : L’AI Act interdit certaines pratiques, et si ces pratiques impliquent le traitement de données personnelles, le RGPD s’applique systématiquement.
- Modèles d’IA à usage général : Ces modèles sont souvent basés sur des données personnelles pour leur entraînement, et le RGPD s’applique presque toujours.
- Systèmes d’IA à haut risque : Le RGPD s’applique fréquemment, sauf exceptions comme les systèmes pour infrastructures critiques, véhicules agricoles, etc.
- Systèmes d’IA soumis à des obligations de transparence : Le RGPD peut s’appliquer si ces systèmes interagissent directement avec des individus, par exemple via des chatbots.
Ainsi, pour savoir si vous êtes concernés, vous devez évaluer si votre système d’IA :
- Est classé comme présentant un risque (haut, inacceptable, ou spécifique en matière de transparence).
- Traite des données personnelles, auquel cas le RGPD pourrait aussi s’appliquer.
Cela vous aidera à déterminer les règles précises à suivre pour garantir votre conformité.