L'AI Act : que signifie la nouvelle législation européenne sur l'intelligence artificielle pour votre PME ?

Qu'est-ce que l'AI Act ?

L'AI Act est un règlement européen visant à garantir que l'intelligence artificielle soit développée et utilisée de manière sûre, transparente et fiable. Cette législation protège les citoyens contre les applications potentiellement nuisibles tout en favorisant l'innovation et en renforçant la sécurité juridique.

L'AI Act est entré en vigueur le 2 août 2024, mais ses obligations sont introduites progressivement.

Les principales échéances

• 2 février 2025 : interdiction de certaines applications d'IA et obligation de fournir aux collaborateurs concernés un niveau suffisant de connaissances et de formation en matière d'IA.

• 2 août 2025 : nouvelles obligations pour les fournisseurs de modèles d'IA à usage général (General Purpose AI models).

• 2 août 2026 : entrée en vigueur de la plupart des obligations, notamment celles relatives aux systèmes d'IA à haut risque.

D'autres obligations suivront par la suite, notamment pour certains produits intégrant de l'IA ainsi que pour certains systèmes existants. La conformité à l'AI Act deviendra donc un enjeu de plus en plus important au cours des prochaines années.

Quand parle-t-on d'« intelligence artificielle » ?

Selon le règlement, il s'agit de systèmes capables de fonctionner avec un certain degré d'autonomie, de s'adapter à leur environnement et de produire eux-mêmes des conclusions, des prédictions ou des décisions sur la base de données.

Toutes les applications logicielles ne relèvent donc pas de l'AI Act. Les logiciels qui se contentent d'exécuter des règles prédéfinies, sans capacité d'apprentissage ni de raisonnement, n'entrent pas dans son champ d'application.

L'AI Act s'applique-t-il à votre entreprise ?

Dans la plupart des cas, oui.

L'AI Act distingue deux catégories d'acteurs :

• Les fournisseurs (providers) : les organisations qui développent des systèmes d'IA ou les commercialisent sous leur propre nom.

• Les utilisateurs (deployers) : les organisations qui utilisent des systèmes d'IA dans le cadre de leurs activités.

La majorité des PME appartiennent à cette seconde catégorie. Même si vous achetez une solution d'IA auprès d'un fournisseur externe, vous restez responsable des obligations qui vous incombent en tant qu'utilisateur. Les obligations applicables dépendent du type de système d'IA concerné et de la manière dont vous l'utilisez.

Attention toutefois : votre rôle peut évoluer. Si vous modifiez une solution d'IA, la commercialisez sous votre propre marque ou l'utilisez à une autre fin que celle prévue initialement, vous pourriez être considéré comme un fournisseur au sens de l'AI Act. Cette qualification entraîne des obligations supplémentaires.

Toutes les applications d'IA ne présentent pas le même niveau de risque

L'AI Act adopte une approche fondée sur les risques : plus l'impact potentiel sur les personnes est important, plus les exigences sont strictes.

La première question à se poser est donc la suivante : quel est le niveau de risque de votre application d'IA ?

Risque inacceptable

Certaines applications d'IA sont totalement interdites, notamment les systèmes qui manipulent le comportement des personnes ou mettent en œuvre des mécanismes de notation sociale (social scoring).

Haut risque

Les systèmes d'IA à haut risque sont susceptibles d'avoir un impact significatif sur les personnes, par exemple dans les domaines, des ressources humaines, de l'octroi de crédits, de l'enseignement, des soins de santé.

Il est important de souligner que :

• toutes les applications utilisées dans ces domaines ne sont pas automatiquement considérées comme présentant un haut risque.

• les systèmes ayant uniquement une fonction d'assistance ou de préparation sont souvent exclus de cette catégorie.

Dans la pratique, nous constatons néanmoins que de nombreuses organisations sous-estiment la rapidité avec laquelle une application peut être qualifiée de système à haut risque dès lors qu'elle influence les décisions.

Risque limité

Certaines applications d'IA sont principalement soumises à des obligations de transparence, notamment :

• les chatbots ;

• les assistants IA ;

• les outils d'IA générative.

Les utilisateurs doivent pouvoir identifier clairement lorsqu'ils interagissent avec une IA ou lorsqu'un contenu a été généré par celle-ci. Il peut s'agir, par exemple, d'un chatbot qui s'identifie comme assistant IA ou d'une mention indiquant qu'un contenu a été créé par intelligence artificielle.

Risque minimal

De nombreuses applications courantes, telles que les filtres anti-spam ou les correcteurs orthographiques, appartiennent à cette catégorie. Elles ne sont soumises à aucune obligation spécifique.

À retenir : une même technologie peut relever d'une catégorie de risque différente selon l'usage qui en est fait. Un chatbot destiné au service clientèle présente généralement un risque limité, tandis que ce même chatbot utilisé dans le recrutement ou l'octroi de crédits peut être considéré comme un système à haut risque.

Qu'attend l'AI Act des PME ?

L'AI Act n'impose pas à chaque entreprise de disposer d'experts en intelligence artificielle en interne. En revanche, il exige que l'IA soit utilisée de manière responsable et réfléchie.

Pour de nombreuses organisations, cela signifie qu'il est déjà temps de mettre en place une véritable gouvernance de l'IA, même si elles ne développent pas elles-mêmes de systèmes d'IA.

Concrètement, cela implique notamment de :

• informer et former les collaborateurs en fonction de leur rôle ;

• utiliser les systèmes d'IA conformément à leur finalité prévue ;

• assurer une supervision humaine lors des décisions importantes ;

• évaluer de manière critique les résultats produits par l'IA ;

• conserver une documentation pour les applications présentant davantage de risques ;

• collaborer avec les fournisseurs afin de comprendre le niveau de conformité des solutions d'IA utilisées.

L'un des principaux défis réside dans le fait que l'IA est de plus en plus intégrée aux logiciels existants, souvent sans que les utilisateurs en aient pleinement conscience.

Conclusion

L'AI Act n'est plus une perspective lointaine. Les premières obligations sont déjà en vigueur et le cadre réglementaire continuera à se déployer au cours des prochaines années.

Les PME qui utilisent des solutions d'IA existantes devront elles aussi démontrer de plus en plus qu'elles recourent à l'intelligence artificielle de manière transparente et responsable.

Les organisations qui commencent dès aujourd'hui ne se contentent pas de réduire leurs risques de non-conformité : elles se créent également un avantage concurrentiel en renforçant la confiance de leurs clients, partenaires et collaborateurs dans leur utilisation de l'IA.

Vous souhaitez savoir dans quelle mesure votre entreprise est prête à répondre aux exigences de l'AI Act ? Nos experts vous accompagnent dans l'inventaire de vos usages de l'IA, la réalisation d'une analyse des risques et la mise en place d'un cadre de gouvernance de l'IA adapté à votre organisation.