AI Act : quelles obligations pour les fournisseurs de systèmes d’IA ?

Introduction

Le règlement européen sur l’intelligence artificielle, plus couramment appelé AI Act ou RIA en français, distingue plusieurs catégories d’acteurs auxquelles il attribue des responsabilités différentes. Parmi elles, deux rôles sont particulièrement importants : le fournisseur et le déployeur d’un système d’intelligence artificielle.

Cette qualification n’est pas anodine. Une entreprise qui utilise une solution d’IA dans le cadre de son activité n’est pas soumise aux mêmes exigences que celle qui développe et commercialise cette solution. Dans certaines circonstances, elle peut également changer de qualification et se voir appliquer les obligations du fournisseur prévues par l’AI Act.

Pour les organisations, l’une des premières étapes de mise en conformité avec l’AI Act consiste donc à déterminer précisément le rôle qu’elles occupent pour chaque système d’IA utilisé ou commercialisé.

Cette qualification constitue notamment une première étape essentielle pour structurer une démarche de conformité et de gouvernance de l’intelligence artificielle.

AI Act : quelles différences entre fournisseur et déployeur d’un système d’IA ?

Au sens de l’AI Act, le fournisseur est l’acteur qui développe ou fait développer un système ou un modèle d’IA et qui le met sur le marché ou le met en service sous son propre nom ou sa propre marque.

Le déployeur est, quant à lui, la personne physique ou morale, l’autorité publique ou tout autre organisme qui utilise un système d’IA sous sa propre autorité, à l’exception des utilisations réalisées dans le cadre d’une activité personnelle non professionnelle.

Ainsi, une entreprise qui acquiert une solution d’IA auprès d’un prestataire afin de l’utiliser dans ses propres processus sera, en principe, déployeur. L’entreprise qui développe et commercialise cette solution sous son nom sera généralement fournisseur.

AI Act : quand un déployeur peut-il devenir fournisseur ?

La qualification n’est toutefois pas figée. Une organisation initialement déployeur, distributeur, importateur ou autre tiers peut se voir appliquer les obligations du fournisseur lorsqu’elle :

• appose son nom ou sa marque sur un système d’IA à haut risque déjà mis sur le marché ou en service ;
• apporte une modification substantielle à un système d’IA à haut risque de telle sorte qu’il demeure à haut risque ;
• modifie la destination d’un système d’IA qui n’était pas considéré comme étant à haut risque, de telle sorte qu’il le devient.

La qualification doit donc être réévaluée lorsque le système, son utilisation ou les conditions de sa commercialisation évoluent.

AI Act et systèmes d’IA à haut risque : le fournisseur au cœur de la conformité

Pour les systèmes d’IA à haut risque, l’AI Act fait peser une part importante des obligations de conformité sur le fournisseur.

Celui-ci doit non seulement s’assurer de la conformité du système avant sa mise sur le marché ou sa mise en service, mais également organiser et documenter son suivi tout au long de son cycle de vie.

Une cartographie des systèmes d’IA et de leurs usages permet notamment d’identifier le rôle de l’organisation, le niveau de risque du système et les obligations qui en découlent.

Informer le déployeur du système d’IA

Le système d’IA à haut risque doit être accompagné d’une notice d’utilisation contenant les informations nécessaires pour permettre au déployeur de comprendre ses caractéristiques, ses capacités et ses limites et de l’utiliser de manière appropriée.

Cette notice doit notamment apporter des informations sur :

• la destination du système ;
• ses caractéristiques, capacités et limites de performance ;
• son niveau d’exactitude ainsi que les éléments pertinents en matière de robustesse et de cybersécurité ;
• les risques connus ou raisonnablement prévisibles liés à son utilisation ;
• les informations nécessaires à l’interprétation de ses résultats ;
• les mesures de contrôle humain ;
• les données d’entrée attendues, lorsque cela est pertinent ;
• les conditions techniques nécessaires à son utilisation et à sa maintenance.

Cette documentation joue un rôle central : elle permet au fournisseur d’encadrer les conditions d’utilisation de son système et au déployeur de disposer des informations nécessaires pour exercer ses propres responsabilités au titre de l’AI Act.

Démontrer la conformité du système aux exigences de l’AI Act

Avant la mise sur le marché ou la mise en service d’un système d’IA à haut risque, le fournisseur doit satisfaire aux exigences de conformité qui lui sont applicables.

Selon le système concerné, cela implique notamment :

• de soumettre le système à la procédure d’évaluation de la conformité appropriée ;
• d’établir la déclaration UE de conformité ;
• d’apposer le marquage CE ;
• de respecter les obligations d’enregistrement applicables.

La responsabilité du fournisseur ne s’arrête toutefois pas à cette étape. Lorsqu’il considère qu’un système qu’il a mis sur le marché ou en service n’est pas conforme à l’AI Act, il doit également prendre les mesures correctives nécessaires et, lorsque cela est requis, informer les acteurs et autorités concernés.

Il doit également être en mesure de coopérer avec les autorités compétentes et de démontrer la conformité de son système.

Organiser la conformité AI Act tout au long du cycle de vie

La conformité d’un système d’IA à haut risque ne doit pas se limiter à une vérification ponctuelle avant sa commercialisation.

Le fournisseur doit notamment mettre en place un système de gestion de la qualité documenté, couvrant différents aspects du cycle de vie du système : conception et développement, tests et validation, gestion des risques, gestion des modifications, surveillance après commercialisation ou encore gestion des incidents.

Il doit également assurer la documentation et la traçabilité du système, notamment au moyen de la documentation technique et des mécanismes de journalisation prévus par l’AI Act.

Enfin, un système de surveillance après commercialisation doit permettre de collecter et d’analyser les informations pertinentes relatives aux performances du système pendant sa durée de vie.

L’enjeu est donc d’intégrer la conformité à l’AI Act dès la conception et tout au long du cycle de vie du système.

AI Act : quelles obligations pour le déployeur d’un système d’IA ?

Si le fournisseur occupe une place centrale dans la conformité des systèmes d’IA à haut risque, le déployeur conserve des responsabilités propres concernant leurs conditions concrètes d’utilisation.

Il doit notamment utiliser le système conformément à la notice d’utilisation, assurer un contrôle humain approprié, surveiller son fonctionnement et conserver les journaux générés automatiquement qui sont sous son contrôle dans les conditions prévues par l’AI Act.

Certaines obligations supplémentaires peuvent s’appliquer en fonction du contexte. Un employeur utilisant un système d’IA à haut risque sur le lieu de travail devra, par exemple, informer les représentants des travailleurs et les travailleurs concernés dans les conditions prévues par le règlement et les règles applicables.

Dans certaines situations, le déployeur peut également être tenu de réaliser une analyse d’impact sur les droits fondamentaux.

Lorsque le traitement de données personnelles est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, les exigences du RGPD relatives à l’analyse d’impact relative à la protection des données (AIPD) devront également être prises en compte.

L’articulation entre AI Act et RGPD doit donc être intégrée à la gouvernance des projets d’intelligence artificielle, en particulier lorsque les systèmes d’IA traitent des données personnelles. Découvrez nos services de conformité RGPD

Enfin, les obligations de transparence prévues par l’article 50 de l’AI Act doivent être appréciées selon le système et l’usage concernés, certaines pesant sur le fournisseur et d’autres sur le déployeur.

L’enjeu est donc de bien articuler les responsabilités du fournisseur et celles du déployeur, plutôt que de considérer que la conformité repose exclusivement sur l’un ou l’autre.

AI Act : quelles obligations pour les fournisseurs de modèles d’IA à usage général (GPAI) ?

L’AI Act prévoit par ailleurs des obligations spécifiques pour les fournisseurs de modèles d’IA à usage général (GPAI).

Ils doivent notamment :

• établir et tenir à jour la documentation technique prévue par le règlement ;
• fournir certaines informations et documentations aux fournisseurs de systèmes d’IA souhaitant intégrer leur modèle ;
• mettre en place une politique visant à respecter le droit de l’Union en matière de droit d’auteur et de droits voisins ;
• établir et mettre à disposition du public un résumé suffisamment détaillé du contenu utilisé pour entraîner le modèle.

Des exigences supplémentaires s’appliquent aux modèles d’IA à usage général présentant un risque systémique, notamment en matière d’évaluation des modèles, de suivi et de signalement des incidents graves et de cybersécurité.

Conformité AI Act : quelles informations le fournisseur doit-il mettre à disposition de ses clients ?

Les obligations du fournisseur ont également une dimension très opérationnelle : il doit permettre aux organisations qui utilisent son système de disposer des informations nécessaires pour respecter leurs propres obligations.

Pour un système d’IA à haut risque, le déployeur devra notamment pouvoir disposer des informations pertinentes concernant :

• la destination, les capacités et les limites du système ;
• son exactitude, sa robustesse et sa cybersécurité ;
• les modalités de contrôle humain ;
• l’interprétation des résultats ;
• les données d’entrée attendues ;
• les modalités de journalisation, de surveillance et de gestion des incidents.

La notice d’utilisation constitue à cet égard un document essentiel. La déclaration UE de conformité et le marquage CE permettent également de matérialiser le respect de certaines exigences réglementaires applicables au système.

Pour autant, il convient de distinguer les documents que le fournisseur doit établir ou conserver de ceux qu’il est effectivement tenu de mettre à disposition ou de communiquer au déployeur.

Cette distinction est importante dans le cadre des démarches de due diligence : un client peut légitimement rechercher des garanties sur la conformité du système à l’AI Act sans pour autant disposer d’un droit d’accès à l’intégralité de la documentation interne du fournisseur.

Mise en conformité AI Act : par où commencer ?

Pour les organisations qui développent ou commercialisent des solutions d’IA, la qualification de leur rôle doit constituer un élément central de leur cartographie des systèmes d’IA.

Pour chaque système ou modèle concerné, plusieurs questions peuvent être documentées :

1. Quel est le système ou modèle d’IA concerné ?
2. Quel est le rôle de l’organisation au regard de l’AI Act : fournisseur, déployeur, importateur ou distributeur ?
3. Le système est-il à haut risque ou soumis à un autre régime spécifique ?
4. Quelles obligations découlent de cette qualification ?
5. Quels documents et processus permettent d’en démontrer le respect ?

Cette analyse doit également être réévaluée lorsque le système ou son utilisation évolue. Une organisation qui se considère initialement comme simple utilisatrice peut, notamment en cas de rebranding, de modification substantielle ou de changement de destination, basculer vers le régime plus exigeant applicable au fournisseur.

La bonne qualification des rôles constitue ainsi l’une des premières briques d’une gouvernance efficace de l’IA : avant de déterminer comment se conformer à l’AI Act, encore faut-il savoir à quel titre l’organisation intervient.

Votre organisation développe, commercialise ou utilise des systèmes d’intelligence artificielle ? Les experts de DPO Consulting vous accompagnent dans la cartographie de vos systèmes d’IA, la qualification de votre rôle et la définition de votre feuille de route de mise en conformité avec l’AI Act : Prendre rendez-vous avec un expert