Les règles applicables en fonction du niveau de risque en matière d'IA |
|---|
Niveau de risque | Règles de classification | Exigences applicables et/ou obligations incombant aux fournisseurs et déployeurs |
Pratiques inacceptables / interdites en matière d’IA (règlt 2024/1689, chapitre II, art. 5) | Mise sur le marché, mise en service ou utilisation d’un système d’IA qui : -a recours à des techniques subliminales ou délibérément manipulatrices ou trompeuses, portant considérablement atteinte à la capacité de la personne à prendre une décision éclairée ; -exploite les éventuelles vulnérabilités dues à l’âge, au handicap ou à la situation sociale ou économique spécifique d’une personne avec pour objectif ou effet d’altérer substantiellement le comportement de cette personne ; -évalue ou classifie des personnes en fonction de leur comportement social ou de caractéristiques personnelles ; -vise à évaluer ou à prédire le risque qu’une personne commette une infraction pénale, uniquement sur la base de son profilage ou de l’évaluation de ses traits de personnalité ou caractéristiques (1) ; -crée ou développe des bases de données de reconnaissance faciale ; -infère les émotions d’une personne sur le lieu de travail et dans les établissements d’enseignement, sauf pour des raisons médicales ou de sécurité ; -catégorise individuellement les personnes sur la base de leurs données biométriques (2) ; -est destiné à l'identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives, sauf si et dans la mesure où cette utilisation est strictement nécessaire pour la recherche ciblée de victimes d’enlèvement, de traite ou d'exploitation sexuelle, ainsi que de personnes disparues, pour la prévention d’une menace imminente pour la vie ou la sécurité physique des personnes ou d’une menace d’attaque terroriste ou pour la localisation ou l’identification d’une personne soupçonnée d’avoir commis une infraction pénale (3). | N/A |
Systèmes d’IA à haut risque (règlt 2024/1689, chapitre III, art. 6 à 49) | 1. Systèmes d'IA mis sur le marché ou mis en service qui remplissent les deux conditions suivantes (règlt 2024/1689, art. 6, 1.) : -le système d’IA est destiné à être utilisé comme composant de sécurité d’un produit couvert par la législation d’harmonisation de l’UE (qui font déjà l’objet d’une surveillance de marché) dont la liste figure à l’annexe I (dispositifs médicaux, jouets, véhicules, etc.), ou le système d’IA constitue lui-même un tel produit ; -le produit dont le composant de sécurité est le système d’IA, ou le système d’IA lui-même en tant que produit, est soumis à une évaluation de conformité par un tiers en vue de sa mise sur le marché ou de sa mise en service conformément à cette même législation. 2. Systèmes d’IA visés à l’annexe III, sauf s'ils ne présentent pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux des personnes physiques, sous conditions et à documenter, mais toujours s'ils effectuent un profilage de personnes (règlt 2024/1689, art. 6, 2., 3. et 4.) (4). | Exigences applicables à ces systèmes (règlt 2024/1689, art. 9 à 15) 1. Un système de gestion des risques doit être établi, mis en œuvre, documenté et tenu à jour. 2. Les jeux de données d’entraînement, de validation et de test utilisés doivent satisfaire à certains critères de qualité (pertinence, disponibilité, adéquation, représentativité, exactitude, complétude, sécurisation et protection...). 3. La documentation technique relative à ces systèmes est établie avant qu'ils ne soient mis sur le marché ou mis en service et est tenue à jour. 4. Ces systèmes permettent, techniquement, l’enregistrement automatique des événements (journaux) tout au long de leur durée de vie pour une meilleure traçabilité. 5. Un type et un niveau adéquats de transparence sont garantis afin de veiller au respect des obligations pertinentes incombant au fournisseur et au déployeur (voir ci-après). Ces systèmes sont accompagnés d’une notice d’utilisation. 6. Un contrôle humain est effectué (proportionné aux risques, au niveau d’autonomie et au contexte d’utilisation du système) pendant leur période d’utilisation. 7. Ces systèmes doivent atteindre un niveau approprié d’exactitude, de robustesse et de cybersécurité, être résilients en cas de survenance d’erreurs, de défaillances ou d’incohérences et résister aux tentatives de tiers non autorisés visant à modifier leur utilisation, leurs sorties ou leur performance en exploitant leurs vulnérabilités. |
| | Obligations incombant aux fournisseurs de ces systèmes (règlt 2024/1689, art. 16 à 21) (5) 1. Veiller à ce que leurs systèmes soient conformes aux exigences précitées. 2. Indiquer sur le système ou, lorsque cela n’est pas possible, sur son emballage ou dans la documentation l’accompagnant, selon le cas, leur nom, leur raison sociale ou la marque déposée, et l’adresse à laquelle ils peuvent être contactés, ainsi que le marquage CE afin d’indiquer la conformité avec l'IA Act (règlt 2024/1689, art. 48). 3. Mettre en place un système de gestion de la qualité. 4. Conserver la documentation pendant 10 ans. 5. Assurer la tenue des journaux générés automatiquement par leurs systèmes, lorsque ces journaux se trouvent sous leur contrôle. 6. Veiller à ce que leur système soit soumis à la procédure d’évaluation de la conformité applicable (règlt 2024/1689, art. 43), avant sa mise sur le marché ou sa mise en service. 7. Élaborer une déclaration UE de conformité aux exigences précitées (règlt 2024/1689, art. 47). 8. Respecter les obligations en matière d’enregistrement dans la base de données de l'UE (règlt 2024/1689, art. 49, §§ 1 et 71). 9. Prendre les mesures correctives nécessaires pour mettre le système en conformité, le retirer, le désactiver ou le rappeler, selon le cas, et fournir les informations aux personnes concernées. 10. À la demande motivée d’une autorité nationale compétente, prouver la conformité du système avec les exigences précitées. 11. Veiller à ce que le système soit conforme aux exigences en matière d’accessibilité conformément aux directives (UE) 2016/2102 et (UE) 2019/882. |
| | Obligations incombant aux déployeurs de ces systèmes (règlt 2024/1689, art. 26 et 27) (6) 1. Prendre des mesures techniques et organisationnelles appropriées afin de garantir qu’ils utilisent ces systèmes conformément aux notices d’utilisation qui les accompagnent, sans préjudice de leurs autres obligations prévues par le droit de l’UE ou le droit national et de leur faculté d’organiser la mise en œuvre des mesures de contrôle humain indiquées par le fournisseur et en assurant la tenue des journaux générés automatiquement par ces systèmes. 2. Confier le contrôle humain à des personnes physiques disposant des compétences, de la formation, de l’autorité et du soutien nécessaires. 3. Pour autant qu'ils exercent un contrôle sur les données d’entrée, veiller à ce que ces dernières soient pertinentes et suffisamment représentatives au regard de la destination du système. 4. Surveiller le fonctionnement du système sur la base de la notice d’utilisation et, le cas échéant, informer les fournisseurs (règlt 2024/1689, art. 72). 5. S'ils sont employeurs, avant de mettre en service ou d’utiliser un système d’IA à haut risque sur le lieu de travail, informer les représentants des travailleurs et les travailleurs concernés qu’ils seront soumis à l’utilisation de ce système. 6. S'ils sont des autorités publiques ou des institutions, organes ou organismes de l’UE, respecter les obligations en matière d’enregistrement (règlt 2024/1689, art. 49). 7. Le cas échéant, utiliser les informations fournies en application de l’article 13 (notice d'utilisation) pour se conformer à leur obligation de procéder à une analyse d’impact relative à la protection des données (AIPD) (RGPD, art. 35). 8. S'ils sont visés à l’annexe III et prennent des décisions ou facilitent les prises de décision concernant des personnes physiques, informer lesdites personnes qu’elles sont soumises à l’utilisation du système d’IA à haut risque. 9. Coopérer avec les autorités compétentes concernées. Avant le déploiement d’un système d’IA à haut risque visé à l'annexe III, à l’exception de ceux destinés à être utilisés dans des infrastructures critiques (annexe III, point 2), certains déployeurs (organismes de droit public, déployeurs de systèmes d’IA destinés à être utilisés pour évaluer la solvabilité des personnes, pour évaluer les risques et la tarification en matière d'assurance-vie et d'assurance maladie... [annexe III, points 5), b) et c)]) effectuent une analyse de l’impact sur les droits fondamentaux que l’utilisation de ce système peut produire. |
Certains systèmes d’IA nécessitant une transparence accrue (règlt 2024/1689, chapitre IV, art. 50) | Sont concernés : -les systèmes d’IA destinés à interagir directement avec des personnes physiques ; -les systèmes d’IA, y compris à usage général, qui génèrent des contenus de synthèse de type audio, image, vidéo ou texte ; -les systèmes de reconnaissance des émotions ou de catégorisation biométrique ; -les systèmes d’IA qui génèrent ou manipulent des images ou des contenus audio ou vidéo constituant un hypertrucage (deepfake en anglais) ou des textes publiés dans le but d’informer le public sur des questions d’intérêt public. | 1. Les fournisseurs veillent à ce que les systèmes d’IA destinés à interagir directement avec des personnes physiques soient conçus et développés de manière à ce que ces personnes physiques soient informées qu’elles interagissent avec un système d’IA, sauf si cela ressort clairement du point de vue d’une personne physique normalement informée et raisonnablement attentive et avisée (7). 2. Les fournisseurs de systèmes d’IA, y compris à usage général, qui génèrent des contenus de synthèse de type audio, image, vidéo ou texte, veillent à ce que les sorties des systèmes d’IA soient marquées dans un format lisible par machine et identifiables comme ayant été générées ou manipulées par une IA. Les fournisseurs veillent à ce que leurs solutions techniques soient aussi efficaces, interopérables, solides et fiables que la technologie le permet (7) (8). 3. Les déployeurs d’un système de reconnaissance des émotions ou de catégorisation biométrique informent les personnes physiques qui y sont exposées du fonctionnement du système et traitent les données à caractère personnel conformément au RGPD, au règlement (UE) 2018/1725 et à la directive (UE) 2016/680, selon le cas (7). 4. Les déployeurs d’un système d’IA qui génère ou manipule des images ou des contenus audio ou vidéo constituant un hypertrucage ou des textes publiés dans le but d’informer le public sur des questions d’intérêt public indiquent que les contenus/textes ont été générés ou manipulés par une IA (7) (9). Lorsque le contenu fait partie d’une œuvre d'art, cette obligation se limite à la divulgation de l’existence de tels contenus générés ou manipulés d’une manière appropriée qui n’entrave pas l’affichage ou la jouissance de l’œuvre. |
Modèles d'IA à usage général (règlt 2024/1689, chapitre V, art. 51 à 56) | Un modèle d’IA à usage général est classé comme modèle d’IA à usage général présentant un risque systémique s’il remplit l’une des conditions suivantes (règlt 2024/1689, art. 51) : -il dispose de capacités à fort impact (quantité cumulée de calculs utilisée pour son entraînement mesurée en opérations en virgule flottante supérieure à 1025) évaluées sur la base de méthodologies et d’outils techniques appropriés, y compris des indicateurs et des critères de référence ; -sur la base d’une décision de la Commission, d’office ou à la suite d’une alerte qualifiée du groupe scientifique (voir ci-après), il possède des capacités ou un impact équivalents à ceux énoncés ci-dessus, compte tenu des critères définis à l’annexe XIII. | Obligations incombant aux fournisseurs de modèles d’IA à usage général (règlt 2024/1689, art. 53) (10) 1. Élaborer et tenir à jour la documentation technique du modèle (annexe XI) aux fins de la fournir, sur demande, au Bureau de l’IA (voir ci-après) et aux autorités nationales compétentes (11). 2. Élaborer, tenir à jour et mettre à disposition des informations et de la documentation à l’intention des fournisseurs de systèmes d’IA qui envisagent d’intégrer le modèle d’IA à usage général dans leurs systèmes d’IA (11). 3. Mettre en place une politique visant à se conformer au droit de l’UE en matière de droits d’auteur et droits voisins. 4. Élaborer et mettre à la disposition du public un résumé suffisamment détaillé du contenu utilisé pour entraîner le modèle d’IA à usage général, conformément à un modèle fourni par le Bureau de l’IA. 5. Coopérer, en tant que de besoin, avec la Commission et les autorités nationales compétentes. 6. Lorsqu'elles seront publiées, respecter les normes européennes harmonisées pour démontrer le respect des obligations précitées (points 1 à 4). Dans l'attente, s’appuyer sur des codes de bonnes pratiques (règlt 2024/1689, art. 56). Obligations incombant aux fournisseurs de modèles d’IA à usage général présentant un risque systémique (règlt 2024/1689, art. 55) 1. Outre les obligations précitées, effectuer une évaluation des modèles sur la base de protocoles et d’outils normalisés reflétant l’état de la technique, en vue d’identifier et d’atténuer les risques systémiques. 2. Évaluer et atténuer les risques systémiques éventuels au niveau de l’UE, y compris leurs origines, qui peuvent découler du développement, de la mise sur le marché ou de l’utilisation de ces modèles d’IA. 3. Suivre, documenter et communiquer sans retard injustifié au Bureau de l’IA et, le cas échéant, aux autorités nationales compétentes les informations pertinentes concernant les incidents graves ainsi que les éventuelles mesures correctives pour y remédier. 4. Garantir un niveau approprié de protection en matière de cybersécurité pour ces modèles d’IA et leur infrastructure physique. |
(1) Cette interdiction ne s’applique pas aux systèmes d’IA utilisés pour étayer l’évaluation humaine de l’implication d’une personne dans une activité criminelle, qui est déjà fondée sur des faits objectifs et vérifiables, directement liés à une activité criminelle. (2) Cette interdiction ne couvre pas l’étiquetage ou le filtrage d’ensembles de données biométriques acquis légalement, tels que des images, fondés sur des données biométriques ou la catégorisation de données biométriques dans le domaine répressif. (3) Cette utilisation strictement nécessaire n’est autorisée que pour confirmer l’identité de la personne spécifiquement ciblée et si l’autorité répressive a réalisé une analyse d’impact sur les droits fondamentaux (règlt 2024/1689, art. 27) et a enregistré le système dans la base de données de l’UE (règlt 2024/1689, art. 49). Elle doit également respecter les garanties et conditions nécessaires et proportionnées en ce qui la concerne, conformément au droit national qui l’autorise. (4) L'annexe III pourra être modifiée, sous conditions (règlt 2024/1689, art. 7). (5) Les fournisseurs établis dans des pays tiers désignent, par mandat écrit, un mandataire établi dans l’UE (règlt 2024/1689, art. 22). Par ailleurs, s'appliquent des obligations spécifiques aux importateurs (règlt 2024/1689, art. 23) et aux distributeurs (règlt 2024/1689, art. 24) de systèmes d'IA, ainsi que des responsabilités tout au long de la chaîne de valeur de l’IA (règlt 2024/1689, art. 25). (6) Des obligations spécifiques s'appliquent aux déployeurs d’un système d’IA à haut risque pour l’identification biométrique à distance a posteriori, dans le cadre d’une enquête en vue de la recherche d’une personne soupçonnée d’avoir commis une infraction pénale ou condamnée pour avoir commis une telle infraction. (7) Cette obligation ne s’applique pas aux systèmes d’IA dont la loi autorise l’utilisation à des fins de prévention ou de détection des infractions pénales, d’enquêtes ou de poursuites en la matière, sous réserve de garanties appropriées pour les droits et libertés des tiers. (8) Cette obligation ne s’applique pas dans la mesure où les systèmes d’IA remplissent une fonction d’assistance pour la mise en forme standard ou ne modifient pas de manière substantielle les données d’entrée fournies par le déployeur ou leur sémantique. (9) Pour les textes, cette obligation ne s’applique pas lorsque le contenu généré par l’IA a fait l’objet d’un processus d’examen humain ou de contrôle éditorial et lorsqu’une personne physique ou morale assume la responsabilité éditoriale de la publication du contenu. (10) Avant de mettre un modèle d’IA à usage général sur le marché de l’UE, les fournisseurs établis dans des pays tiers désignent, par mandat écrit, un mandataire établi dans l’UE (règlt 2024/1689, art. 54). (11) Ces obligations ne s’appliquent pas aux fournisseurs de modèles d’IA qui sont publiés dans le cadre d’une licence libre et ouverte permettant de consulter, d’utiliser, de modifier et de distribuer le modèle, et dont les paramètres sont rendus publics. Cette exception ne s’applique pas aux modèles d’IA à usage général présentant un risque systémique. |