Systèmes d'IA à haut risque en vertu de la loi européenne sur l'IA : guide complet des définitions et des exigences

La loi sur l'IA de l'UE est la loi historique de l'UE réglementant l'intelligence artificielle. Il utilise une approche basée sur les risques pour régir l'IA : certains systèmes sont interdits (risque inacceptable), d'autres sont strictement réglementés (risque élevé) et la plupart sont soumis à des règles minimales ou inexistantes. Pour les entreprises qui développent ou déploient l'IA, il est essentiel de comprendre en quoi un système d'IA présente un risque élevé, car les systèmes entraînent des exigences de conformité étendues et de lourdes sanctions en cas de non-conformité. Dans ce guide, nous expliquons en détail la classification des risques élevés par la loi européenne sur l'IA, ce que cela signifie, des exemples de systèmes d'IA à haut risque, les obligations des fournisseurs et des déployeurs, les étapes d'évaluation de la conformité, les exemptions et la manière dont DPO Consulting peut vous aider à vous mettre en conformité.

Que signifie « IA à haut risque » au sens de la loi de l'UE sur l'IA ?

Le Loi sur l'IA de l'UE définit les systèmes d'IA « à haut risque » de deux manières complémentaires : définition de l'article 6 et critères de l'annexe III. Comprenons-les :

Définition légale (article 6 de référence)

L'article 6 de la Loi sur l'IA précise quand un système d'IA présente un risque élevé. Pour paraphraser l'article 6 : un système d'IA présente un risque élevé s'il s'agit d'un composant de sécurité d'un produit qui relève déjà des règles sectorielles de l'UE (comme la directive sur les machines, le règlement sur les dispositifs médicaux, etc.) et qui doit donc être soumis évaluation de la conformité par un tiers. De même, si le système d'IA lui-même est un produit soumis à l'harmonisation de l'UE (par exemple, un dispositif médical alimenté par l'IA) et ce produit nécessite des contrôles par des tiers, alors le système d'IA présente un risque élevé.

Surtout, l'article 6 stipule également que tout système figurant à l'annexe III est considéré comme présentant un risque élevé.

La loi dit tous Les systèmes d'IA de l'annexe III « doivent être considérés comme présentant un risque élevé » à moins qu'ils ne répondent à des critères d'exemption stricts (article 6.3). Si un fournisseur pense qu'un système relevant de l'annexe III ne présente pas vraiment de risques, il doit le documenter et devra peut-être en informer les régulateurs (et éventuellement enregistrer le système).

Critères de classification à haut risque (catégories de l'annexe III)

L'annexe III est essentiellement une liste des risques à haut risque par catégorie de la Loi sur l'IA. Dans la pratique, un système d'IA sera classé comme présentant un risque élevé si son utilisation prévue relève de l'un des secteurs de l'annexe III et cela représente un risque important. Les secteurs (contextes) énumérés à l'annexe III sont les suivants :

Biométrie : IA pour l'identification biométrique à distance ou la reconnaissance des émotions dans des contextes publics ou sensibles. (Par exemple, reconnaissance faciale par la police.)
Infrastructures critiques : L'IA gère l'énergie, les transports et les services publics là où une panne pourrait mettre des vies en danger.
Enseignement/formation professionnelle : L'IA décide des admissions à l'école, de la notation des examens ou des résultats de la formation professionnelle.
Gestion de l'emploi/des travailleurs : IA utilisée pour le recrutement, la sélection des CV, l'évaluation des performances, etc.
Accès aux services essentiels : L'IA pour les avantages sociaux, la notation de solvabilité, les assurances, le triage des soins de santé, etc.
Application de la loi : IA pour la prédiction de la criminalité, l'évaluation des preuves, le polygraphe, la détection des mensonges, etc.
Migration et contrôle des frontières : L'IA pour l'asile, l'évaluation des visas et la prévision des risques migratoires.
Justice et démocratie : L'IA pour les décisions juridiques, la désignation des jurés ou les outils affectant les élections.

Ces exemples de l'annexe III ont été décrits par les régulateurs dans divers résumés. Bref, si votre IA est utilisée dans l'un de ces domaines sensibles (par exemple, un logiciel de recrutement basé sur l'IA, un moteur de gestion du risque de crédit, une caméra de sécurité Face-ID, une chirurgie assistée par robot), elle est présumée présenter un risque élevé.

Étant donné que les catégories de la loi sur l'IA recoupent de nombreux secteurs, les entreprises doivent soigneusement comparer leurs cas d'utilisation de l'IA aux catégories de risque de la loi sur l'IA de l'UE. (La loi elle-même définit quatre niveaux de risque de la loi sur l'IA de l'UE (inacceptable, élevé, limité, minimal) qui se traduisent par des obligations. Le risque élevé est le deuxième niveau le plus élevé.)

Même si une IA n'est pas explicitement répertoriée, si elle correspond à l'esprit de ces secteurs de l'annexe III et présente un risque important, les régulateurs la traiteront comme présentant un risque élevé selon la loi de l'UE sur l'IA. À l'inverse, si une utilisation de l'IA ne se situe pas dans ces catégories (par exemple, un chatbot sur votre site Web), elle présentera probablement un risque limité ou minimal.

Exemples de systèmes d'IA à haut risque

Pour concrétiser cette idée, voici divers exemples de systèmes d'IA à haut risque dans différents secteurs :

Automobile (transport) : Un module d'IA pour la conduite autonome ou la sécurité des véhicules (par exemple, la prévention des collisions) présente un risque élevé. Il s'agit d'un composant de sécurité en vertu de la réglementation des véhicules.
Soins de santé : L'IA qui diagnostique des maladies à partir d'images médicales, recommande des traitements ou contrôle des dispositifs médicaux (par exemple, des ventilateurs ou des robots chirurgicaux) présente un risque élevé. Une telle IA peut être considérée comme un dispositif médical ou comme un composant de sécurité d'un tel dispositif.
Finances/Crédit : IA de notation de crédit et les outils algorithmiques de décision en matière de prêt présentent un risque élevé car ils déterminent l'accès aux prêts et aux services essentiels. De même, la souscription d'une assurance basée sur l'IA qui influe sur les prix pourrait présenter un risque élevé en termes d' « accès aux services essentiels ».
Ressources humaines : Logiciel de recrutement qui filtre les candidats, note les CV ou automatise le recrutement présente un risque élevé en vertu de la loi européenne sur l'IA. Cela peut entraîner de la discrimination ou des préjugés injustes dans les décisions en matière d'emploi.
Éducation : Les outils d'IA qui évaluent les examens ou décident de l'admission des étudiants présentent un risque élevé, car ils ont une incidence directe sur les opportunités de formation et les cheminements de carrière.
Services publics : L'IA qui décide de l'éligibilité aux prestations sociales, aux permis d'immigration ou aux programmes de protection sociale présente un risque élevé. Par exemple, une IA qui refuse des allocations de chômage à une personne serait visée à l'annexe III.
Sécurité et application de la loi : Reconnaissance faciale les systèmes utilisés pour identifier des personnes dans des algorithmes de police publics ou prédictifs présentent un risque élevé. Même l'IA de reconnaissance des émotions dans les aéroports ou les lieux de travail est limitée.
Infrastructures : L'IA contrôlant les réseaux électriques, les systèmes d'alimentation en eau ou les réseaux de circulation présente un risque élevé (infra critique), car des dysfonctionnements peuvent menacer la sécurité publique.
Justice/Démocratie : L'IA qui aide les juges, prévoit les condamnations pénales ou cible les publicités politiques peut présenter un risque élevé, car elle affecte les droits fondamentaux et les processus démocratiques.

Ce ne sont que des échantillons. Toute IA ayant un impact significatif sur le public ou jouant un rôle en matière de sécurité doit être évaluée. En cas de doute, consultez Annexe III Liste des personnes à haut risque et considérez l'impact réel de votre IA.

Obligations pour les fournisseurs et les déployeurs d'IA à haut risque

Si un système d'IA est classé comme présentant un risque élevé selon la loi de l'UE sur l'IA, une série de règles strictes entrent en jeu. Les fournisseurs (développeurs ou propriétaires de marques d'IA), les déployeurs (organisations utilisant l'IA dans leurs opérations), les importateurs et les distributeurs ont chacun des devoirs. Ci-dessous, nous détaillons les principales exigences.

Exigences préalables à la mise en marché

Avant qu'un système d'IA à haut risque puisse être lancé dans l'UE, les fournisseurs doivent satisfaire à des obligations strictes avant la mise en marché. Cela signifie que :

Gestion des risques : Mettre en place un système complet de gestion des risques (article 9). Identifiez, évaluez et atténuez en permanence les risques liés à l'IA (discrimination, sécurité, biais, etc.). Suivez les normes ou les meilleures pratiques en matière de gestion des risques liés à l'IA.
Qualité et gouvernance des données : Assurez-vous que les données de formation sont pertinentes, représentatives, exemptes d'erreurs et de biais (article 10). Conservez des enregistrements des sources de données et du prétraitement. DPO Consulting conseille de postuler Principes de confidentialité dès la conception ici.
Documentation technique : Créez et conservez une documentation technique détaillée (annexe IV/article 11). Cela inclut l'architecture du système, les algorithmes utilisés, les évaluations des risques, les résultats des tests, l'objectif recherché et les mesures de performance. Essentiellement, toutes les informations sont nécessaires pour démontrer la conformité. Le fournisseur doit être prêt à le remettre aux autorités sur demande.
Divulgation aux autorités : Compilez le Déclaration de conformité de l'UE et apposez le Marquage CE au système/produit d'IA. Cela confirme que vous avez satisfait à toutes les exigences de la Loi. (En particulier, si vous commercialisez vous-même l'IA ou si vous y apposez votre marque, vous devenez le « fournisseur » et vous assumez toutes les obligations.)
Tenue de registres et DPIA : Réaliser une Analyse d'impact sur la protection des données (DPIA) si votre IA traite des données personnelles (c'est généralement le cas). Conservez des journaux du fonctionnement de l'IA (article 19) et tenez des registres des tests et des incidents. Les prestataires devraient maintenir un système de gestion de la qualité et maintenir un point de contact disponible. Avec l'implication croissante de l'IA, il devient également important de suivre Meilleures pratiques en matière de RGPD et d'IA.
Évaluation de conformité indépendante : Suivez les instructions évaluation de la conformité procédure (article 43, annexes VI/VII ; voir section suivante). Cela peut prendre la forme d'une auto-évaluation ou d'un examen par un organisme notifié, selon le système. Passez cette étape avant l'entrée sur le marché.

En termes simples, les exigences relatives aux systèmes d'IA à haut risque exigent des étapes de conception, de documentation et de vérification rigoureuses. Les prestataires doivent prouver avant la commercialisation qu'ils ont créé une IA sûre, équitable et transparente. Par exemple, ils doivent fournir des instructions claires à l'utilisateur et garantir des mesures de supervision humaine. Si vous ne complétez pas ces étapes préalables à la mise en marché, vous ne pourrez pas vendre légalement l'IA dans l'UE.

Besoins permanents

Les obligations à haut risque de la loi de l'UE sur l'IA sont maintenues après son lancement. Les fournisseurs et les déployeurs doivent surveiller et entretenir activement le système d'IA :

Surveillance après la mise en marché : Les fournisseurs doivent mettre en place un système de surveillance après la mise sur le marché (article 61). Ils collectent et analysent les données de performance du système, les journaux et tout incident ou dysfonctionnement. Si de nouveaux risques apparaissent ou si les performances se dégradent, les fournisseurs doivent prendre des mesures correctives. Par exemple, si un problème de biais est découvert dans les résultats de l'IA, vous devez mettre à jour le modèle ou le processus d'entraînement.
Mises à jour et modifications : Les mises à jour ou modifications importantes apportées à une IA à haut risque nécessitent nouvelle évaluation de conformité. La Loi donne une définition large de la « modification substantielle » (modification de la fonctionnalité ou de l'objectif recherché). Même un apprentissage prédéterminé qui modifie le comportement (en dehors de ce qui a été déclaré) peut déclencher une réévaluation.
Signalement des incidents : Les prestataires et les déployeurs doivent signaler les incidents graves ou les dysfonctionnements aux autorités (articles 60 à 62). Par exemple, si un système d'IA à haut risque entraîne un problème de sécurité ou une violation des droits, les autorités doivent en être informées afin qu'elles puissent coordonner une solution.
Transparence continue : Les prestataires doivent tenir toute la documentation à jour et disponible. Si un déployeur soulève des problèmes de sécurité ou de non-conformité, le fournisseur doit y répondre. Il est important que les fournisseurs « informent immédiatement les autorités compétentes de tout nouveau risque ou violation ».

Les déployeurs (organisations utilisant une IA à haut risque) ont également pour mission de :

À utiliser comme prévu : Les déployeurs doivent utiliser l'IA conformément aux instructions du fournisseur et s'assurer qu'elle est utilisée en toute sécurité. Cela implique de suivre les manuels d'utilisation, de ne pas modifier le système de manière non autorisée et d'assurer une supervision humaine adéquate. Par exemple, si l'IA est un évaluateur d'examens, l'école doit faire appel à des humains qualifiés pour évaluer les résultats.
Notifier les sujets : Lorsqu'un système d'IA (répertorié à l'annexe III) prend des décisions concernant des personnes (par exemple, un refus de crédit), les déployeurs doivent informer ces personnes qu'une IA est impliquée. Les obligations de transparence incluent la divulgation du fonctionnement de l'IA en termes compréhensibles.
Enregistrement et révision : Les déployeurs doivent suivre les résultats de l'IA et leurs propres actions (par exemple, les journaux des décisions prises et des annulations). Ils devraient effectuer des audits réguliers pour vérifier les performances et l'équité de l'IA au fil du temps.
Coopérer avec les autorités : Les fournisseurs et les déployeurs doivent coopérer avec les régulateurs et fournir des informations sur demande. Si un distributeur ou un importateur a des inquiétudes, les déployeurs doivent s'assurer que les systèmes qu'ils utilisent sont bien conformes.

Dans l'ensemble, exigences continues mettre l'accent sur la vigilance. La loi sur l'IA de l'UE prévoit une approche axée sur le cycle de vie : gérer les risques avant, pendant et après le déploiement. Si un déployeur introduit une nouvelle utilisation à haut risque ou modifie la fonction de l'IA, il devient un « fournisseur » et assume toutes les obligations (de sorte que les changements d'utilisation peuvent également « déplacer » un système vers un statut à haut risque).

Rôle des importateurs, des distributeurs et des utilisateurs

Les importateurs et les distributeurs d'IA à haut risque jouent également un rôle en matière de conformité :

Importateurs (introduisant des produits IA dans l'UE) doit vérifier que l'IA a fait l'objet de l'évaluation de conformité requise et porte le marquage CE. Ils doivent conserver la documentation (déclaration de conformité, dossier technique) pendant 10 ans et s'assurer que les conditions de stockage/transport maintiennent la conformité. S'ils soupçonnent une non-conformité, ils ne peuvent pas mettre l'IA sur le marché de l'UE tant que les problèmes ne sont pas résolus.
Distributeurs (revendeurs) ont des obligations similaires : avant de vendre, ils doivent vérifier que l'AI possède un marquage CE et une déclaration UE. Si un distributeur découvre un système d'IA susceptible de ne pas répondre aux normes de la Loi sur l'IA, il doit arrêter la vente et en informer le fournisseur/importateur. Ils doivent également veiller à ce que le stockage et le transport ne portent pas atteinte à la sécurité. Si un problème est détecté après la vente, les distributeurs doivent aider à retirer ou à rappeler le système et en informer les autorités si nécessaire.

Les utilisateurs (utilisateurs finaux sous la rubrique déployeurs) devraient être formés au bon fonctionnement de l'IA et être conscients de son statut de zone à haut risque. Bien que la loi se concentre sur les fournisseurs/déployeurs, dans la pratique, il est sage que tous les utilisateurs comprennent les principaux indices de conformité (par exemple, le marquage CE, les instructions de sécurité).

Procédures d'évaluation de la conformité pour l'IA à haut risque

Le processus d'évaluation de la conformité que les fournisseurs doivent suivre constitue l'un des principaux piliers de la conformité à la législation européenne sur l'IA. En pratique, il existe deux voies principales, selon la classification de l'IA :

Contrôle interne (auto-évaluation, annexe VI) : Pour la plupart des systèmes d'IA à haut risque énumérés à l'annexe III (par exemple, un algorithme d'IA pour la notation de crédit, le recrutement ou la formation), les fournisseurs effectueront une évaluation de conformité interne. Ils suivent la procédure de l'annexe VI, qui consiste à vérifier qu'ils ont satisfait à toutes les exigences (gestion des risques, documentation, etc.) mais ne impliquer un organisme notifié. Essentiellement, le fournisseur se conforme aux règles dans le cadre d'un processus basé sur la gestion de la qualité.
Évaluation par un tiers (annexe I/législation de l'UE) : Si les lois de l'UE existantes couvrent l'IA (cas de l'annexe I), par exemple un dispositif médical contrôlé par l'IA ou un composant de sécurité IA d'une voiture, l'évaluation de conformité pour cette loi s'applique. Cela implique souvent de faire appel à un organisme notifié (un évaluateur accrédité) pour examiner le produit. Le notifiant s'assure que toutes les exigences de la Loi sur l'IA (section 2 du chapitre III) sont également respectées dans le cadre de cette évaluation. Les organismes notifiés déjà approuvés en vertu, par exemple, du règlement sur les dispositifs médicaux peuvent être utilisés pour certifier la conformité.

Après avoir terminé la procédure appropriée, les fournisseurs doivent établir la déclaration de conformité de l'UE et apposer le marquage CE avant de commercialiser le système. Ce marquage CE indique aux utilisateurs et aux autorités de l'UE que le système d'IA répond à toutes les normes à haut risque.

Exemptions et reclassifications

Toutes les utilisations de l'IA ne sont pas couvertes par le régime à haut risque. La loi prévoit certaines exemptions et règles flexibles:

R&D et tests : Systèmes d'IA uniquement utilisés pour la recherche scientifique, le développement ou dans le cadre de programmes de conformité/tests peuvent être exemptés de nombreuses obligations. Par exemple, l'IA en laboratoire (qui n'est ni mise sur le marché ni utilisée à des fins commerciales) ne relève généralement pas de la Loi. De même, l'utilisation personnelle et non professionnelle de l'IA est exemptée. Si vous envisagez de tester une IA à haut risque dans le cadre d'un projet pilote ou d'un bac à sable, vous pouvez utiliser le cadre réglementaire du bac à sable (article 57) ou les dispositions de l'article 60 pour limiter certaines obligations. Documentez toujours soigneusement toute demande d'exemption de ce type.
Article 6, paragraphe 3, Cas restreints : Comme nous l'avons indiqué, même les systèmes de l'annexe III pourraient ne pas être considérés comme présentant un risque élevé s'ils le sont très tâches limitées avec un effet minimal. Les exemples incluent une IA qui ne fait que suggérer des améliorations à une décision humaine achevée sans la modifier. Dans ces cas, les fournisseurs doit documenter et justifier que le système répond à tous les critères d'exemption.
Changements du niveau de risque : Au fil du temps, l'état de risque d'une IA peut changer. Si vous reconcevez un système de manière à ce qu'il ne réponde plus aux critères de l'annexe III ou de l'essai des composants de sécurité, vous pouvez légitimement le retirer de la catégorie à haut risque. Cependant, vous devez mettre à jour votre documentation de conformité pour refléter la nouvelle classification. À l'inverse, l'ajout d'une fonctionnalité à haut risque ou le déploiement de l'IA dans un nouveau contexte à haut risque la rendra risquée ; vous devez alors vous conformer à partir de ce moment.
Modifications substantielles : Comme indiqué précédemment, toute mise à jour importante d'une IA à haut risque (nouvelles fonctionnalités, reconversion majeure du ML, modification de l'objectif) déclenche une nouvelle évaluation de conformité, même si le fournisseur était le même. Cela garantit que le système mis à jour répond toujours à toutes les normes.

Il est important de traiter le reclassement avec prudence. Si votre système passe d'un système à haut risque à un système à faible risque, vous devez toujours être en mesure de démontrer ce changement aux autorités. Cela peut impliquer la réalisation de nouvelles évaluations des risques, la mise à jour de la documentation technique ou la suppression du marquage CE. De même, le passage d'un faible risque à un risque élevé (par exemple, un outil d'IA gratuit commercialisé dans le secteur de la santé) impose immédiatement le régime de conformité complet. Documentez toutes ces transitions avec diligence.

Comment DPO Consulting peut contribuer à la conformité à haut risque en matière d'IA

Il peut être complexe de s'y retrouver dans les exigences à haut risque de la loi européenne sur l'IA. DPO Consulting propose des services spécialisés pour aider les organisations à se conformer efficacement. Nous pouvons vous aider dans l'évaluation des risques liés à l'IA, l'élaboration de politiques et de procédures, ainsi que l'audit et la mise à jour continus sous Services de conformité à la réglementation européenne en matière d'IA.

Nous évaluons vos systèmes d'IA afin de déterminer s'ils relèvent de la « Loi européenne sur l'IA à haut risque ». Cela comprend la mise en correspondance avec les catégories de l'annexe III, l'évaluation des impacts sur la confidentialité des données et l'identification des lacunes en matière de conformité. Vous saurez plus clairement quelle IA présente un risque élevé et quelles sont celles qui doivent être corrigées. La préparation à l'évaluation de la conformité est un aspect crucial de la conformité liée à l'IA à haut risque. Nous vous aidons depuis la rédaction de la documentation technique (annexe IV) jusqu'à la liaison avec les organismes notifiés. Notre expérience des pratiques réglementaires de l'UE nous permet de vous aider à obtenir efficacement le marquage CE et à préparer la signature des déclarations de l'UE.

Nos experts proposent également des formations pratiques sur la législation européenne sur l'IA à l'intention de vos dirigeants, de vos développeurs et de vos équipes de conformité. Nous abordons des sujets tels que les « exigences relatives aux systèmes d'IA à haut risque », les DPIA pour l'IA et l'établissement de liens entre la conformité de l'IA et des cadres plus larges (par exemple, l'intégration Qu'est-ce que la gouvernance de la cybersécurité dans votre stratégie de cybersécurité). Un coaching personnalisé garantit que votre personnel est prêt à mettre en œuvre les nouvelles règles.

DPO Consulting peut transformer la conformité à haut risque en matière d'IA d'un casse-tête en un processus géré. Notre approche holistique couvre le RGPD et l'IA, la confidentialité dès la conception, les DPIA et la gouvernance de l'IA. En établissant un partenariat avec nous, les organisations peuvent non seulement respecter leurs obligations légales, mais également renforcer la confiance dans leur déploiement de l'IA.

Conclusion

La classification à haut risque prévue par la loi européenne sur l'IA constitue un tournant décisif pour les entreprises qui utilisent l'IA avancée. Tout système ayant une incidence significative sur la santé, la sécurité ou les droits fondamentaux doit répondre à des exigences rigoureuses, allant de l'évaluation des risques à la documentation, en passant par la transparence et la supervision. La première étape consiste à déterminer si votre IA est une IA à haut risque au sens de la loi de l'UE sur l'IA. Si c'est le cas, vous êtes soumis à un régime de conformité complet similaire aux réglementations de sécurité existantes. L'ignorance de ces règles peut avoir un coût élevé, c'est pourquoi une adaptation proactive est essentielle.

Le fait de rester en conformité avec la loi européenne sur l'IA, y compris toutes les exigences relatives aux systèmes d'IA à haut risque, vous permet de minimiser les risques juridiques et de renforcer la confiance du public. À mesure que le paysage réglementaire de l'IA évolue, les organisations doivent s'appuyer sur les meilleures pratiques (par exemple, celles du RGPD et de l'IA : meilleures pratiques) et considérer la conformité comme un programme continu et non comme un projet ponctuel. Avec la bonne approche et l'expertise appropriées, l'IA à haut risque peut être développée et utilisée de manière responsable, permettant ainsi d'innover tout en protégeant la société.

FAQs

Qu'est-ce qui qualifie un système d'IA de risque élevé au sens de la loi européenne sur l'IA ?

Un système d'IA présente un risque élevé s'il sert de composant de sécurité dans un produit réglementé nécessitant une certification par un tiers (conformément à l'article 6) ou si son utilisation prévue relève de l'une des catégories sensibles de l'annexe III (par exemple, les soins de santé, les véhicules autonomes, la notation de crédit).

Tous les outils biométriques ou de reconnaissance faciale sont-ils considérés comme présentant un risque élevé ?

Non. Seuls les systèmes qui effectuent une identification/catégorisation biométrique en temps réel ou à distance dans des contextes publics ou sensibles (par exemple, application de la loi, contrôle des frontières) présentent un risque élevé ; les utilisations privées ou limitées (comme le déverrouillage de votre téléphone) ne le sont pas.

Quelle documentation est requise pour les systèmes d'IA à haut risque ?

Les fournisseurs doivent conserver un dossier de documentation technique complet (article 11/annexe IV), comprenant la conception du système, la gouvernance des données, les évaluations des risques, les résultats des tests, les instructions d'utilisation, une déclaration de conformité de l'UE et des journaux d'exploitation (article 19).

Un système peut-il passer d'un risque élevé à un système à faible risque ?

Oui Si ses fonctionnalités ou son contexte changent de telle sorte qu'il ne répond plus aux critères de l'article 6 ou de l'annexe III, il peut être reclassé, à condition que vous documentiez le changement ; à l'inverse, l'ajout d'une utilisation à haut risque déclenche une nouvelle mise en conformité totale.

Quelles sanctions s'appliquent en cas de non-respect des obligations à haut risque en matière d'IA ?

Les infractions graves peuvent entraîner des amendes allant jusqu'à 30 millions d'euros, soit 6 % du chiffre d'affaires mondial, des ordres de retrait ou de désactivation du système, ainsi que des risques de réputation et de responsabilité dans le cadre de l'application des lois nationales.

Références

Règlement (UE) 2024/1689 — Article 6 : Règles de classification pour les systèmes d'IA à haut risque
Règlement (UE) 2024/1689 — Annexe III : Systèmes d'IA à haut risque visés à l'article 6, paragraphe 2
Commission européenne - Politique relative à la loi de l'UE sur l'IA
DPO Consulting - Services de conformité à la loi européenne sur l'IA

DPO Consulting : votre partenaire en matière d'IA et de conformité au RGPD

Investir dans les efforts de conformité au RGPD peut peser lourdement sur les grandes entreprises ainsi que sur les petites et moyennes entreprises (PME). Le recours à une ressource ou à une assistance externe peut alléger la charge d'un audit interne pour l'ensemble des entreprises et alléger la pression sur les finances, les capacités technologiques et l'expertise de l'entreprise.

Les auditeurs externes et les partenaires experts tels que DPO Consulting sont bien placés pour aider les organisations à gérer efficacement la nature complexe des audits du RGPD. Ces professionnels formés agissent comme une extension de votre équipe, aidant à rationaliser les processus d'audit, à identifier les domaines à améliorer, à mettre en œuvre les changements nécessaires et à garantir la conformité au RGPD.

Confier le bon partenaire offre l'avantage de l'impartialité et du respect des normes du secteur et permet de débloquer une multitude de ressources telles que des informations spécifiques au secteur, ce qui se traduit par des évaluations impartiales et une conformité réussie. Travailler avec DPO Consulting se traduit par un gain de temps précieux et allège la charge de travail du personnel interne, tout en réduisant considérablement les coûts de l'entreprise.