Un modèle de reconnaissance faciale déployé dans une gare, un outil de tri automatique de candidatures dans un service RH : depuis quelques années, ces systèmes sortent des laboratoires et s'installent dans des usages courants. Les entreprises qui les achètent doivent désormais vérifier si l'outil relève du champ d'application d'un règlement européen adopté en 2024, dont la mise en œuvre s'échelonne sur plusieurs années.
Une régulation fondée sur le niveau de risque
Le texte européen n'interdit pas l'intelligence artificielle en général. Il classe les systèmes selon le risque qu'ils font peser sur les droits fondamentaux et la sécurité des personnes, et fait peser les obligations les plus lourdes sur les usages jugés les plus sensibles.
Quelques pratiques sont proscrites outright, comme la notation sociale généralisée des individus ou certaines formes de manipulation exploitant la vulnérabilité des personnes. Une catégorie intermédiaire, dite à haut risque, couvre notamment les dispositifs utilisés dans le recrutement, l'éducation, l'accès au crédit ou la gestion des infrastructures critiques. Pour ceux-là, le fournisseur doit documenter la conception du système, organiser une supervision humaine et prévoir un suivi des incidents.
Les modèles dits à usage général, capables de remplir des tâches très variées, font l'objet d'obligations distinctes, centrées sur la transparence et la documentation des données d'entraînement. Les systèmes les plus simples, comme un filtre anti-spam, restent soumis à des exigences minimales.
Ce que cela change pour les entreprises
La charge ne pèse pas uniquement sur les développeurs. Les organisations qui intègrent un outil d'IA dans leur activité, même acheté sur étagère, peuvent être qualifiées d'utilisateurs et assumer une part des responsabilités, notamment en matière de surveillance et d'information des personnes concernées. À consulter également : Prodealmateriaux.
Concrètement, cela suppose souvent de recenser les systèmes déjà en production, ce que beaucoup d'organisations n'avaient pas fait jusqu'ici. Un outil intégré à un logiciel métier il y a plusieurs années peut n'avoir jamais été identifié comme relevant de l'IA. La cartographie devient donc un préalable à toute mise en conformité.
- Identifier les systèmes utilisés et leur fournisseur.
- Déterminer la catégorie de risque applicable.
- Vérifier la documentation technique disponible et les obligations de transparence.
- Désigner un responsable du suivi et prévoir un traitement des incidents.
Des limites et des incertitudes persistantes
Le calendrier d'application est progressif, et plusieurs dispositions techniques doivent encore être précisées par des normes d'application. Les entreprises ne disposent donc pas toujours de règles opérationnelles stabilisées pour leurs cas particuliers.
La frontière entre les catégories reste par ailleurs délicate à tracer. Un même système peut être considéré comme à risque limité dans un contexte et à haut risque dans un autre, selon la population visée et la décision qu'il contribue à prendre. Cette appréciation au cas par cas demande une expertise que toutes les structures ne possèdent pas en interne.
Le règlement coexiste enfin avec d'autres cadres, notamment sur la protection des données personnelles, sans que les articulations soient toujours évidentes. Pour les acteurs de petite taille, le coût d'évaluation et de documentation peut représenter un frein réel, ce qui explique les demandes d'accompagnement adressées aux autorités nationales chargées de la surveillance.
