Règlement IA Act Conformité Systèmes IA

Classification des risques AI Act et obligations par niveau

Systèmes interdits (Art. 5 AI Act, applicable depuis février 2025) : Techniques de manipulation subliminale ou exploitant les vulnérabilités (enfants, personnes âgées, personnes handicapées) ; Notation sociale par autorités publiques créant un traitement discriminatoire ; Identification biométrique à distance en temps réel dans les espaces publics par les autorités répressives (avec 3 exceptions limitées : terrorisme, enlèvement d'enfant, fugitifs) ; Profilage biométrique pour déduire des caractéristiques sensibles (origines raciales, opinions politiques, croyances) ; Reconnaissance des émotions dans les lieux de travail et d'enseignement.

Systèmes à haut risque (Art. 6 + Annexe III) : Biométrie (systèmes d'identification biométrique — y compris la reconnaissance faciale non interdite), Infrastructures critiques (sécurité des réseaux, eau, énergie), Éducation (évaluation des apprenants, admission), Emploi (CV screening, gestion des performances, résiliation de contrats de travail), Accès aux services essentiels (évaluation de crédit, assurance, services publics), Application des lois, Gestion des migrations et frontières, Administration de la justice. Ces systèmes nécessitent une évaluation de conformité, une documentation technique, un système de management des risques IA, et un enregistrement dans la base de données EU-IA.

Obligations RGPD-AI Act pour les systèmes d'IA traitant des données personnelles

Les systèmes d'IA traitant des données personnelles sont doublement régulés : par le RGPD (base légale, droits des personnes, DPIA) et par l'AI Act (classification des risques IA, exigences de conformité des systèmes à haut risque). La coordination entre le DPO (responsable RGPD) et le responsable conformité IA est indispensable pour éviter les incohérences.

Pour les systèmes d'IA à haut risque, une DPIA (Data Protection Impact Assessment au sens RGPD) peut être requise si le traitement de données personnelles présente un risque élevé, en complément de l'évaluation de conformité AI Act. Les deux évaluations sont distinctes mais complémentaires et peuvent partager certaines analyses (identification des risques, mesures de mitigation). La CNIL a publié des lignes directrices sur l'IA et le RGPD précisant les interactions entre les deux réglementations.

Gouvernance de l'IA en entreprise

L'AI Act impose aux organisations utilisant des systèmes d'IA à haut risque de mettre en place une gouvernance de l'IA : politique d'utilisation de l'IA (quels systèmes sont autorisés, pour quels usages, avec quelles garanties), registre des systèmes d'IA (similaire au registre RGPD — inventaire des systèmes IA utilisés avec leur classification de risque), responsable IA (ou CIAO — Chief Artificial Intelligence Officer — dans les grandes organisations), et processus de supervision humaine (pour les systèmes d'IA à haut risque, un humain doit pouvoir comprendre, surveiller et corriger les décisions de l'IA).

L'impact de l'AI Act sur les achats IT est significatif : pour les systèmes à haut risque, les acheteurs doivent vérifier la conformité du fournisseur à l'AI Act (marquage CE IA, documentation technique disponible, déclaration de conformité). Des clauses contractuelles spécifiques à l'AI Act (conformité du fournisseur, audits, responsabilité en cas d'incident causé par l'IA) s'ajoutent aux clauses RGPD standard dans les contrats avec les fournisseurs de solutions d'IA. Le marché des solutions d'IA de conformité (AI Compliance Platforms) émerge pour aider les organisations à gérer leur portefeuille de systèmes d'IA face à l'AI Act.