Obligations des fournisseurs selon les art. 16–25 de la Loi sur l'IA de l'UE

Aperçu

Toute personne qui développe un système d'IA et le met sur le marché sous son propre nom est considérée comme fournisseur (provider) au sens de la Loi sur l'IA de l'UE. Pour les systèmes à haut risque, les fournisseurs sont soumis à des obligations étendues couvrant des exigences organisationnelles, techniques et documentaires.

De nombreuses entreprises sous-estiment le fait qu'elles sont juridiquement considérées comme fournisseurs -- même lorsqu'elles s'appuient sur des modèles ou des API existants.

Cet article explique :

• Qui est juridiquement considéré comme fournisseur
• Quelles obligations fondamentales les art. 16--25 prévoient
• Quelles exigences documentaires existent
• Comment fonctionne le marquage CE
• Comment les obligations des fournisseurs diffèrent de celles des déployeurs

Qui est « fournisseur » au sens de la Loi sur l'IA ?

Un fournisseur est toute personne physique ou morale qui :

• Développe un système d'IA ou
• Fait développer un système d'IA
• Le met sur le marché sous son propre nom ou sa propre marque
• Ou le met en service pour la première fois dans l'UE

Également pertinent :

• Changement de marque d'un système d'IA tiers
• Modification substantielle de la fonctionnalité
• Intégration propre avec modification significative du système

Aperçu des obligations des fournisseurs (systèmes à haut risque)

Système de gestion des risques (Art. 9)

Les fournisseurs doivent établir une gestion systématique des risques.

Celle-ci comprend :

1. Identification des risques potentiels
2. Évaluation de la probabilité de survenance
3. Évaluation de la gravité des dommages potentiels
4. Mise en œuvre de contre-mesures
5. Mise à jour continue

Les risques peuvent concerner :

• Les droits fondamentaux
• La discrimination
• Les décisions erronées
• La manipulation
• Les failles de sécurité

Gouvernance des données (Art. 10)

Les données d'entraînement, de validation et de test doivent être :

• Pertinentes
• Représentatives
• Pauvres en erreurs
• Exemptes de biais systématiques (dans la mesure du possible)

Les éléments suivants doivent être documentés :

• Sources de données
• Critères de sélection
• Étapes de nettoyage
• Tests de biais

Documentation technique (Art. 11)

La documentation technique doit permettre aux autorités d'évaluer la conformité.

Elle doit contenir, entre autres :

• Architecture du système
• Finalité prévue
• Description du modèle
• Description des données d'entraînement
• Indicateurs de performance
• Méthodes de test
• Concept de supervision humaine
• Mesures de sécurité

Cette documentation doit être établie avant la mise sur le marché.

Journalisation (Art. 12)

Les systèmes d'IA à haut risque doivent automatiquement :

• Journaliser les événements système pertinents
• Rendre les processus de décision traçables
• Documenter les interventions

Objectif : Traçabilité et vérification ultérieure.

Obligations de transparence (Art. 13)

Les fournisseurs doivent s'assurer que les déployeurs :

• Reçoivent des instructions claires
• Comprennent la finalité et les limites du système
• Connaissent les risques identifiés
• Peuvent mettre en œuvre les mesures de surveillance nécessaires

Supervision humaine (Art. 14)

Le système doit être conçu de sorte que :

• L'intervention humaine soit possible
• L'arrêt soit possible
• Les dysfonctionnements puissent être détectés
• L'automatisation ne se poursuive pas sans contrôle

Exactitude, robustesse et cybersécurité (Art. 15)

Exigences :

• Minimisation des erreurs systématiques
• Protection contre la manipulation
• Résilience face aux attaques
• Surveillance des écarts de performance

Système de gestion de la qualité (Art. 17)

Les fournisseurs doivent introduire un système de gestion formel comprenant :

• Processus de conformité
• Standards de documentation
• Responsabilités
• Gestion des changements
• Contrôle des fournisseurs

Cela s'apparente aux normes existantes telles que ISO/IEC 42001.

Évaluation de la conformité et marquage CE

Une évaluation de la conformité doit être réalisée avant la mise sur le marché :

Deux voies :

1. Auto-évaluation interne (sous certaines conditions)
2. Évaluation par un organisme notifié

Après une évaluation réussie :

• Déclaration de conformité UE
• Marquage CE
• Enregistrement dans la base de données de l'UE

Surveillance post-commercialisation (Art. 61)

Les fournisseurs doivent :

• Surveiller les performances du système
• Signaler les incidents
• Documenter les mises à jour
• Mettre en œuvre des mesures correctives

La conformité ne s'arrête pas au lancement sur le marché.

Distinction fournisseur vs. déployeur

Une entreprise peut assumer les deux rôles.

Lien avec les GPAI

Les fournisseurs d'IA à usage général sont soumis à des obligations supplémentaires (art. 51 et suivants), notamment en cas de risque systémique.

Mise en œuvre pratique

Étape 1 -- Clarification des rôles

• Sommes-nous fournisseur ?
• Ou déployeur ?
• Ou les deux ?

Étape 2 -- Identifier les lacunes documentaires

• La documentation technique est-elle disponible ?
• La gestion des risques est-elle établie ?
• La gouvernance des données est-elle documentée ?

Étape 3 -- Implémenter le SMQ

• Nommer des responsables conformité
• Définir les processus
• Établir la gestion des changements

Étape 4 -- Planifier la stratégie de conformité

• L'auto-évaluation est-elle possible ?
• Un organisme notifié est-il nécessaire ?

Prochaines étapes

1. Clarifiez votre rôle au sens de la Loi sur l'IA.
2. Vérifiez si votre système est à haut risque.
3. Commencez par la documentation technique.
4. Établissez un système formel de gestion de la qualité.
5. Planifiez l'évaluation de la conformité suffisamment tôt.