![ai-act-conformite-intelligence-artificielle-gestion-risques](https://www.archimag.com/sites/archimag.com/files/styles/article/public/web_articles/image/ai-act-conformite-intelligence-artificielle-gestion-risques.jpg?itok=3gtRcgjt "L’AI Act vise à créer une IA "digne de confiance" au sein de l’Union européenne. (Commission Européenne)")
Au sommaire :
- Documents, données, IA : bâtir une chaîne de preuve conforme
- La capture, premier maillon de la preuve
- Ged, ECM, BPM : passer du stockage au pilotage du risque
- La conformité à l’épreuve de l’AI Act
- De la donnée capturée à la preuve opposable
- La fonction archive sous l’angle de la conformité
- La checklist de la conformité
Le 1er août 2024 restera dans la mémoire des partisans d’une intelligence artificielle régulée. Ce jour-là marque en effet l’entrée en vigueur de l’AI Act, qui constitue le premier règlement au monde sur l’intelligence artificielle. À rebours du courant libertarien qui prévaut aux États-Unis et en Chine, ce texte affiche l’ambition d’aboutir à une IA "digne de confiance". Son domaine d’application, quant à lui, est large, puisqu’il concerne toutes les organisations qui fournissent, distribuent ou déploient des systèmes ou modèles d’intelligence artificielle.
Son impact pour les entreprises est réel : celles-ci doivent désormais tenir un registre afin de garantir la protection des données et d’évaluer le niveau de conformité réglementaire sur l’intelligence artificielle. Elles sont aussi tenues de mettre en place un système adapté aux risques de cybersécurité.
Démarche proactive
Alors que l’usage de l’IA se développe souvent de façon spontanée et non régulée dans l’administration comme dans les entreprises (le fameux shadow AI), elle devient source de nombreuses préoccupations en matière de conformité et de sécurité. En particulier dans le domaine des données à caractère personnel.
L’AI Act est certes contraignant pour les organisations, mais il les pousse également à adopter une hygiène numérique appliquée à l’intelligence artificielle. Elles sont notamment appelées à adopter une démarche proactive qui passe, entre autres, par l’instauration de politiques strictes de protection des données et la formation continue des collaborateurs aux bonnes pratiques en matière de sécurité. Le recours à des experts en conformité et en cybersécurité peut également être envisagé, tant les questions technojuridiques sont complexes. Leur intervention permet d’évaluer et de renforcer les dispositifs existants, tout en garantissant l’alignement des applications d’IA avec les exigences réglementaires en vigueur.
Catégorie à "haut risque"
L’AI Act classe les systèmes d’IA en cinq catégories en fonction des risques qu’ils présentent. Ainsi, la catégorie dite à "haut risque" concerne les systèmes susceptibles de porter atteinte à la santé, à la sécurité ou aux droits fondamentaux des personnes. Dans ce cas, "le règlement impose un socle de conformité vérifiable, centré sur la gestion des risques, la qualité des données, la traçabilité, et la capacité de démontrer la conformité via une documentation maintenue à jour", explique Christophe Saint-Pierre, expert en conformité réglementaire et dirigeant de la société MDP Data Protection. "Plus l’impact est élevé, plus les exigences (et preuves) montent. Ce n’est pas une simple auto-déclaration : pour le haut risque, la conformité passe par la documentation, la gestion des risques, les exigences sur les données, la traçabilité, et l’évaluation de conformité."
Les fournisseurs qui développent un modèle d’IA à usage général et le mettent sur le marché ou en services doivent conserver leurs documents techniques et les preuves de conformité pendant dix ans. Pour se mettre en conformité, les entreprises peuvent procéder à un audit initial "AI Act readiness", avec collecte de documentation et preuves.
En cas de non-conformité, des sanctions administratives sont prévues par l’AI Act et le montant des amendes varie selon certains critères, comme la catégorie du risque concerné ou la taille de l’entreprise. Sont notamment prévues des amendes maximales pouvant aller jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel (selon la violation), avec d’autres niveaux (par exemple, 15 millions d’euros ou 3 %, et des montants spécifiques pour informations incorrectes/trompeuses).
