Gouvernance de l'IA
EU AI Act
L'EU AI Act
L'EU AI Act est le règlement de l'Union européenne sur l'intelligence artificielle, qui applique des obligations selon le risque que présente un système d'IA. Nous vous aidons à classer vos systèmes, à respecter les obligations applicables et à démontrer votre conformité.
Ce qu'est EU AI Act
L'EU AI Act est une loi de l'Union européenne qui encadre l'intelligence artificielle selon une approche fondée sur le risque. Il interdit purement certains usages, impose des obligations substantielles aux systèmes d'IA à haut risque, fixe des obligations de transparence pour d'autres et comprend des règles spécifiques pour les modèles d'IA à usage général. Les obligations s'appliquent différemment aux fournisseurs et aux déployeurs de systèmes d'IA.
L'AI Act est un règlement dont vous démontrez la conformité, non une norme pour laquelle un organisme accrédité vous certifie, même si certains systèmes à haut risque exigent une évaluation de la conformité avant leur mise sur le marché. Ses obligations s'appliquent par phases dans le temps et peuvent atteindre des organisations hors de l'UE lorsque leurs systèmes d'IA sont utilisés ou que leur résultat est utilisé au sein de l'UE.
Les quatre niveaux de risque et ce que chacun exige
Niveau 1 · Risque inacceptable
Une courte liste de pratiques d'IA, telles que la notation sociale par les autorités publiques et certains usages biométriques manipulateurs ou non ciblés, est purement interdite et ne peut être ni mise sur le marché ni utilisée.
Niveau 2 · Haut risque
Les systèmes utilisés dans des domaines tels que les infrastructures critiques, l'emploi, les services essentiels, l'application de la loi et les dispositifs médicaux portent les obligations les plus lourdes, dont la gestion des risques, la gouvernance des données, la journalisation, la supervision humaine, l'exactitude et une évaluation de la conformité avant l'entrée sur le marché.
Niveau 3 · Risque limité
Les systèmes qui interagissent avec les personnes ou génèrent du contenu, tels que les agents conversationnels et les médias synthétiques, portent principalement des obligations de transparence, afin que les utilisateurs sachent qu'ils ont affaire à de l'IA ou à un résultat artificiellement généré ou manipulé.
Niveau 4 · Risque minimal
La grande majorité des systèmes d'IA, tels que les filtres anti-spam et les fonctions de recommandation, échappent aux obligations spécifiques, bien que des codes de conduite volontaires soient encouragés.
Transversal · Modèles d'IA à usage général
Les fournisseurs de modèles d'IA à usage général ont leurs propres devoirs de documentation, de droit d'auteur et de transparence, avec des obligations plus strictes lorsqu'un modèle est jugé porteur d'un risque systémique.
Transversal · Rôles et gouvernance
Les obligations sont réparties entre fournisseurs et déployeurs, la supervision étant partagée entre les autorités nationales, la Commission européenne et le Bureau de l'IA qui supervise les modèles à usage général.
Qui en a besoin
- Les fournisseurs qui développent ou mettent des systèmes d'IA sur le marché de l'UE, où qu'ils soient établis
- Les déployeurs qui utilisent des systèmes d'IA dans l'UE, en particulier dans des contextes à risque plus élevé
- Les entreprises disposant de modèles d'IA à usage général, ou de produits qui en dépendent, servant des utilisateurs de l'UE
Ce que vous obtenez
- Un inventaire des systèmes d'IA avec les rôles de fournisseur ou de déployeur et la classification de risque
- Gestion des risques, gouvernance des données et documentation technique alignées sur le niveau applicable
- Mesures de transparence et de supervision humaine avec les preuves à l'appui
- Préparation à l'évaluation de la conformité et un dossier de documentation de conformité
Les délais dépendent du nombre de systèmes d'IA que vous exploitez, de leur classification de risque et des dates d'entrée en application progressive qui s'y appliquent. Nous en définissons honnêtement le périmètre en amont plutôt que de promettre un nombre fixe de semaines.
Version actuelle
L'EU AI Act est entré en vigueur le 1er août 2024 et s'applique par phases plutôt que d'un seul coup. Les interdictions des pratiques à risque inacceptable et le devoir de maîtrise de l'IA s'appliquent depuis février 2025, les obligations pour les modèles d'IA à usage général depuis août 2025, et l'essentiel des obligations à haut risque et de gouvernance deviennent exigibles tout au long de 2026, certains systèmes à haut risque intégrés dans des produits réglementés disposant d'un délai jusqu'en 2027. La Commission continue de publier des orientations, des actes délégués et des normes harmonisées qui précisent le détail, et le Code de bonnes pratiques volontaire pour l'IA à usage général accompagne le texte juridique, de sorte que le tableau pratique de la conformité se stabilise encore. L'approche de transition raisonnable consiste à classer vos systèmes dès maintenant, à suivre la date d'entrée en application progressive applicable à chacun et à construire des preuves face aux obligations déjà en vigueur tout en surveillant celles à venir.
Ce que cela coûte
L'EU AI Act est une loi, non un dispositif pour lequel vous êtes certifié, il n'y a donc aucun certificat à acheter et aucun label accrédité à la fin. Les coûts qui l'accompagnent sont nos honoraires cadrés de conseil et de mise en œuvre, chiffrés en amont une fois que nous comprenons combien de systèmes d'IA vous exploitez et d'où vous partez, ainsi que toute contribution indépendante que vous choisissez d'ajouter, telle qu'un organisme d'évaluation de la conformité pour certains systèmes à haut risque, des tests externes, ou des conseils juridiques et de protection des données sur la façon dont la loi s'applique à vous. tr3labs n'est jamais le certificateur, l'auditeur ou le régulateur ; ce sont des parties distinctes avec leurs propres calendriers. Nous préférons en définir le périmètre avec vous plutôt que de chiffrer à l'aveugle.
Comment tr3labs vous y amène
Champ d'application et classification
Nous dressons l'inventaire de vos systèmes d'IA, établissons si vous êtes fournisseur ou déployeur pour chacun et les classons selon les catégories de risque de la loi, afin que vous sachiez quelles obligations s'appliquent.
Construire les contrôles et la documentation
Nous vous aidons à mettre en œuvre les mesures de gestion des risques, de gouvernance des données, de documentation technique, de transparence et de supervision humaine qu'exige le niveau de risque applicable.
Tester et prouver
Nous apportons des tests de sécurité et des revues aux systèmes qui servent votre IA et aidons à attester la robustesse, l'exactitude et la supervision que la loi attend.
Accompagnement à la conformité et à la préparation
Nous vous préparons à toute évaluation de la conformité applicable aux systèmes à haut risque et rassemblons la documentation qui démontre la conformité aux clients et aux régulateurs.
L'EU AI Act et ISO 42001 côte à côte
Les deux sont confondus parce qu'ils encadrent tous deux l'IA, mais l'un est une loi européenne contraignante que vous devez respecter et l'autre une norme de système de management volontaire pour laquelle vous pouvez être certifié.
| EU AI Act | ISO 42001 | |
|---|---|---|
| Couvre | Les systèmes d'IA et les modèles d'IA à usage général sur le marché de l'UE | Un système de management de l'IA à l'échelle de l'organisation |
| Qui l'exige | Les régulateurs de l'UE, par la force de la loi | Les clients, les conseils d'administration et les partenaires, de façon volontaire |
| Idée centrale | Des obligations proportionnées au risque que pose un système | Un programme géré qui maintient l'IA gouvernée dans la durée |
| Modèle d'audit | Aucun certificat ; évaluation de la conformité uniquement pour certains systèmes à haut risque | Certifié par un organisme accrédité au regard de la norme |
| Portée | Contraignant dans toute l'UE, y compris certaines organisations hors de l'UE | International, adoptable partout par choix |
| Souvent détenu avec | ISO 42001, GDPR, ISO 27001 | EU AI Act, ISO 27001, SOC 2 |
FAQ EU AI Act
- L'EU AI Act s'applique-t-il à nous si nous sommes hors de l'UE ?
- C'est possible. La loi atteint les organisations hors de l'UE lorsque leurs systèmes d'IA sont mis sur le marché de l'UE, utilisés au sein de l'UE, ou lorsque le résultat produit est utilisé dans l'UE. Nous vous aidons à déterminer si et comment elle s'applique lors du cadrage.
- Quelles sont les catégories de risque de l'EU AI Act ?
- La loi adopte une approche fondée sur le risque : certains usages sont interdits, les systèmes à haut risque portent des obligations substantielles, certains systèmes ont des obligations de transparence, et il existe des règles spécifiques pour les modèles d'IA à usage général. Classer correctement vos systèmes est le fondement de la conformité.
- L'EU AI Act est-il une certification ?
- Non. C'est un règlement dont vous démontrez la conformité, non une norme certifiable, même si certains systèmes à haut risque doivent faire l'objet d'une évaluation de la conformité avant leur mise sur le marché. Nous vous préparons à ce processus et constituons les preuves qui soutiennent la conformité.
Les services qui vous y amènent
Normes associées
À lire aussi
Le OWASP LLM Top 10, expliqué : un guide en langage clair pour les équipes qui déploient des fonctionnalités d'IA
Un parcours clair et pratique des dix principaux risques du OWASP pour les applications fondées sur de grands modèles de langage, avec une description en langage simple et une mesure d'atténuation concrète pour chacun, destiné aux équipes qui ajoutent des fonctionnalités d'IA pour la première fois.
9 min de lecture
Comment lire un rapport de test d'intrusion (VAPT) : un guide en langage clair pour les équipes
Une présentation pratique du contenu d'un rapport de test d'intrusion, section par section, afin que les fondateurs et les équipes d'ingénierie puissent le lire en confiance et agir sur ce qu'il indique.
8 min de lecture
SOC 2 ou ISO 27001 : une comparaison honnête pour vous aider à choisir
Un guide en langage clair sur les véritables différences entre SOC 2 et ISO 27001 : ce qu'est chacun, qui réclame lequel, comment se déroulent les audits, ce que vous détenez au bout du compte, et s'il vous faut les deux.
8 min de lecture