Spécialiste de la conformité à la loi européenne sur l’IA

Compétences opérationnelles mentionnées dans le règlement (UE) 2024/1689. Trois décisions, aucune stratégie exécutive en matière d’IA :

1. À quel niveau se situe ce système d’IA ? — interdit (article 5) / à haut risque (article 6 + annexe III) / à risque limité avec obligation de transparence (article 50) / à risque minimal
2. Pour les systèmes à haut risque, quelle est la voie d’évaluation de la conformité et quel est le dossier de documentation requis ? — Article 43, module A ou module H + documentation technique de l’annexe IV
3. Quelles sont les obligations par rôle organisationnel ? — matrice des prestataires / déployeurs / importateurs / distributeurs / mandataires conformément aux articles 16, 22, 25 et 26

Cette compétence n’est PAS celle d’un conseiller du directeur de l’IA (CAIO ). Le CAIO décide de la mise sur le marché ou non de la fonctionnalité d’IA et en assume le risque commercial. Cette compétence concerne le travail de conformité qui transforme la décision « nous allons la commercialiser » en produits conformes aux dispositions de la loi.

Cette compétence ne remplace PAS un conseiller juridique. La loi est une réglementation contraignante. Pour les cas inédits (s’agit-il d’un modèle d’IA générale ? L’exception prévue à l’article 6, paragraphe 2, s’applique-t-elle ? Le réglage fin d’un modèle de base constitue-t-il une « modification substantielle » ?), faites appel à un conseiller juridique externe qualifié. Cette compétence cite les articles et les annexes et utilise les interprétations publiées par la Commission et le CEPD, mais ne fournit pas d’avis juridique contraignant.

Cette compétence ne concerne PAS le RGPD. De nombreux systèmes d’IA relèvent également du RGPD (données d’entraînement, traitement des résultats). Voir ra-qm-team/skills/gdpr-dsgvo-expert/ pour les travaux relatifs à l’AIPD et à la base légale. Les lois interagissent (considérant 10, article 10 pour les données d’entraînement à haut risque).

Mots-clés

Loi européenne sur l’IA, Règlement européen sur l’IA, Règlement 2024/1689, Loi sur l’IA, Règlement européen sur l’IA, IA à haut risque, IA interdite, article 5 de la loi sur l’IA, article 6 de la loi sur l’IA, article 9 de la loi sur l’IA, article 50 de la loi sur l’IA, annexe III, annexe IV, évaluation de la conformité, marquage CE pour l’IA, organisme notifié pour l’IA, module A, module H, documentation technique relative à l’IA, surveillance post-commercialisation de l’IA, évaluation d’impact sur les droits fondamentaux, FRIA, GPAI, modèle d’IA à usage général, risque systémique lié aux GPAI, Bureau de l’IA, ENISA IA, CEPD IA, calendrier de la loi sur l’IA, sanctions prévues par la loi sur l’IA, fournisseur au sens de la loi européenne sur l’IA, déployeur au sens de la loi européenne sur l’IA, importateur au sens de la loi européenne sur l’IA, distributeur au sens de la loi européenne sur l’IA, amendes au titre de la loi européenne sur l’IA, culture de l’IA

Démarrage rapide

# Décision A : Classer un système d’IA conformément à la loi
python scripts/ai_system_risk_classifier.py                       # exemple intégré de 5 systèmes
python scripts/ai_system_risk_classifier.py chemin/vers/systems.json

# Décision B : Plan d’évaluation de la conformité pour un système à haut risque
python scripts/conformity_assessment_planner.py                   # exemple de système à haut risque intégré
python scripts/conformity_assessment_planner.py chemin/vers/system.json

# Décision C : Suivi des obligations par rôle organisationnel
python scripts/ai_act_obligation_tracker.py                       # exemple intégré (fournisseur + déployeur)
python scripts/ai_act_obligation_tracker.py chemin/vers/roles.json

Questions clés (à poser en premier lieu)

• Ce système d’IA relève-t-il de l’article 5 (pratiques interdites) ? Notation sociale, reconnaissance des émotions sur le lieu de travail ou dans l’enseignement, techniques subliminales manipulatrices, identification biométrique à distance en temps réel dans les lieux publics — toutes ces pratiques sont formellement interdites.
• Relève-t-il de l’annexe III (catégories à haut risque) ? 8 catégories : biométrie, infrastructures critiques, éducation, emploi, services essentiels, forces de l’ordre, migration, justice.Le fait de relever de l’annexe III déclenche l’application de l’article 6, paragraphe 2 — sauf si les exceptions prévues à l’article 6, paragraphe 3, s’appliquent.
• Quel rôle organisationnel l’entreprise joue-t-elle ? Fournisseur (mise sur le marché), déployeur (utilisation sous sa propre autorité), importateur (mise sur le marché de l’UE d’un système provenant d’un pays tiers), distributeur (mise à disposition dans la chaîne d’approvisionnement). De nombreuses entreprises sont à la fois fournisseur ET déployeur.
• S’agit-il d’un modèle d’IA à usage général ? L’IA à usage général (GPAI) fait l’objet d’un régime spécifique (articles 51 à 55) avec des règles plus strictes au-delà d’une puissance de calcul d’entraînement de 10²⁵ FLOPs (risque systémique visé à l’article 51).
• Pour les systèmes à haut risque : avons-nous appliqué la gestion des risques prévue à l’article 9 ET l’évaluation d’impact sur les droits fondamentaux (FRIA) prévue à l’article 27 ? L’article 9 concerne la gestion des risques tout au long du cycle de vie ; l’article 27 porte sur l’évaluation d’impact sur les droits fondamentaux pour les exploitants du secteur public et les services essentiels.
• Quel est le module d’évaluation de la conformité prévu à l’article 43 ? Module A (contrôle interne, possible pour la plupart des systèmes de l’annexe III) ou module H (système de gestion de la qualité complet + organisme notifié, requis pour la biométrie et parfois d’autres cas).

Responsabilités fondamentales

1. Classification des risques des systèmes d’IA

Le cadre : la loi adopte une approche fondée sur les risques (considérant 26). Chaque système d’IA se classe dans exactement l’un des quatre niveaux suivants :

Exceptions essentielles (article 6, paragraphe 3) : un système visé à l’annexe III n’est PAS considéré comme présentant un risque élevé s’il (a) effectue une tâche procédurale restreinte, (b) améliore le résultat d’une activité humaine préalablement effectuée, (c) détecte des schémas décisionnels sans se substituer à l’évaluation humaine, (d) effectue une tâche préparatoire. Avertissement : le profilage de personnes physiques est toujours considéré comme présentant un risque élevé au titre de l’annexe III, quelles que soient les exceptions.

Exécutez le script ` ai_system_risk_classifier.py ` en indiquant les caractéristiques du système. L’outil vérifie d’abord les interdictions de l’article 5, puis les catégories de l’annexe III, ensuite les exceptions de l’article 6, paragraphe 3, puis la transparence prévue à l’article 50, et enfin la classification par défaut « risque minimal ».

Consultez le fichier references/eu_ai_act_titles.md pour un guide complet article par article.

2. Évaluation de la conformité + documentation technique de l’annexe IV

Le cadre (article 43 + annexes VI/VII) : pour les systèmes d’IA à haut risque, le fournisseur doit démontrer la conformité avant la mise sur le marché. Deux voies sont possibles :

• Module A — Contrôle interne (annexe VI) : le fournisseur procède à une auto-évaluation au regard des exigences. S’applique à la plupart des systèmes visés à l’annexe III pour lesquels le fournisseur a mis en œuvre des normes harmonisées.
• Module H — Système complet de gestion de la qualité + documentation technique (annexe VII) : intervention d’un organisme notifié. Obligatoire pour les systèmes biométriques (article 43, paragraphe 1).

Éléments requis conformément à l’annexe IV — Documentation technique :

1. Description générale du système d’IA (usage prévu, identification, version)
2. Description détaillée des éléments du système (architecture, données d’entraînement, procédures de validation)
3. Informations relatives à la surveillance, au fonctionnement et au contrôle
4. Description du système de gestion des risques (article 9)
5. Description des modifications apportées après la mise sur le marché
6. Liste des normes harmonisées appliquées (ou alternatives)
7. Déclaration de conformité de l’UE (article 47)
8. Description du système de surveillance post-commercialisation (article 72)

Exécutez le script « conformity_assessment_planner.py » pour sélectionner le module et générer la liste de contrôle de l’annexe IV pour un système à haut risque donné.

Consultez le fichier references/high_risk_systems_annex_iii.md pour savoir quels systèmes nécessitent quelle voie de conformité.

3. Suivi des obligations par rôle

Le cadre (articles 16, 22, 23, 24, 25, 26) : la loi distingue les obligations des fournisseurs (la plupart) de celles des acteurs en aval (déployeur, importateur, distributeur, mandataire). Une même entreprise peut jouer plusieurs rôles simultanément.

Important : en vertu de l’article 25, un déployeur qui modifie de manière substantielle un système d’IA à haut risque, ou qui le met sur le marché sous son propre nom, devient un fournisseur et hérite des obligations qui incombent à ce dernier.

Exécutez le script ai_act_obligation_tracker.py avec le fichier JSON des rôles pour générer une matrice des obligations classées par date limite.

Consultez le fichier references/gpai_obligations.md pour le suivi séparé des articles 51 à 55 de la GPAI.

Workflows

Workflow 1 : Examen initial du système d’IA (par système, environ 2 heures)

Objectif : classer, identifier les obligations, définir la portée des travaux de mise en conformité.

# 1. Documenter les caractéristiques du système : objectif, utilisateurs, données, autonomie, contexte de déploiement
# 2. Exécuter le classificateur
python scripts/ai_system_risk_classifier.py systems.json
# 3. En cas de risque élevé : exécuter le planificateur
python scripts/conformity_assessment_planner.py system.json
# 4. Identifier les rôles joués par l’organisation (fournisseur / déployeur / les deux)
python scripts/ai_act_obligation_tracker.py roles.json
# 5. Recoupement avec l’AIPD du RGPD (gdpr-dsgvo-expert) en cas de données à caractère personnel
# 6. Recoupement avec les preuves AIMS de la norme ISO 42001 (compliance-team-iso42001)
# 7. Résultat : note de classification + plan de conformité + liste des obligations

Workflow 2 : Élaboration de la documentation technique de l’annexe IV (par système à haut risque, 2 à 4 semaines)

Objectif : constituer le dossier de l’annexe IV avant l’évaluation de conformité.

# 1. Exécuter le planificateur d’évaluation de conformité pour obtenir la liste de contrôle
scripts Python/conformity_assessment_planner.py system.json
# 2. Rassembler : description du système, architecture, données d’entraînement, validation, gestion des risques
# 3. Référencer les éléments de preuve ISO 42001 lorsqu’ils répondent aux critères de l’annexe IV
# 4. Référencer les éléments de preuve ISO 27001 pour les contrôles de sécurité
# 5. Exécuter le cycle de vie de la gestion des risques prévu à l’article 9
# 6. Signer la déclaration de conformité de l’UE (article 47) APRÈS la réussite de l’évaluation
# 7. Apposer le marquage CE (article 48)
# 8. Enregistrer dans la base de données de l’UE (article 71) — systèmes à haut risque de l’annexe III

Processus 3 : Audit des obligations préalables au déploiement (par système, avant le lancement)

Objectif : confirmer que toutes les obligations en vigueur sont respectées avant la mise sur le marché de l’UE.

# 1. Vérifier que la classification est toujours correcte (relancer le classificateur si le système a changé)
# 2. Vérifier que l’évaluation de la conformité est terminée (en cas de risque élevé)
# 3. Vérifier le respect des exigences de transparence (article 50) — pour les chatbots, les deepfakes et la détection des émotions
# 4. Vérifier que le système de surveillance post-commercialisation (article 72) est opérationnel
# 5. Vérifier que la procédure de notification des incidents graves (article 73) est documentée
# 6. Pour les déployeurs : FRIA effectuée (article 27, le cas échéant) ; travailleurs informés (article 26, paragraphe 7)
# 7. Pour les GPAI : obligations des articles 51 à 55 respectées, le cas échéant

Processus 4 : Mise à jour annuelle de la conformité (par organisation, chaque année)

Objectif : revérifier les classifications et les obligations à mesure que la loi entre en vigueur.

1. Répertorier tous les systèmes d’IA présents ou prévus sur le marché de l’UE
2. Exécuter un classificateur pour chacun d’entre eux — la liste des interdictions de l’article 5 peut s’étendre par le biais d’actes délégués
3. Exécuter l’outil de suivi des obligations — les échéances évoluent au fur et à mesure de la mise en œuvre progressive du titre III (2025 → 2026 → 2027)
4. Pour chaque système à haut risque : vérifier le flux de données de surveillance post-commercialisation et la capacité de signalement des incidents graves
5. Mettre à jour la documentation technique de l’annexe IV conformément à l’exigence permanente de l’article 11
6. Associer cette démarche à la revue de direction prévue par la norme ISO 42001 (clause 9.3) si les deux s’appliquent

Normes de sortie

**Conclusion :** [une phrase — classification + obligation la plus importante]
**Référence de l’article :** [article + numéro de paragraphe ; ne pas paraphraser sans citer la source]
**La décision :** [l’une des options suivantes : classer | voie de conformité | champ d’application de l’obligation]
**Les éléments probants :** [références à l’article et à l’annexe ; niveau de confiance dans la classification]
**Comment agir :** [3 mesures concrètes à prendre avec le responsable + échéance alignée sur le calendrier de mise en œuvre]
**Votre décision :** [recours au responsable de la conformité ou à un conseiller juridique — litiges relatifs à la classe de risque, cas inédits, détermination des seuils GPAI]

Compétences connexes

• ra-qm-team/skills/gdpr-dsgvo-expert/ — AIPD RGPD + base légale (la plupart des systèmes d’IA relèvent également du RGPD)
• ra-qm-team/compliance-team-iso42001/ — ISO 42001 AIMS (système de gestion volontaire qui satisfait à certaines parties de l’article 17 du SMQ pour les prestataires)
• ra-qm-team/skills/information-security-manager-iso27001/ — Norme ISO 27001 relative aux exigences en matière de cybersécurité (article 15)
• ra-qm-team/skills/risk-management-specialist/ — ISO 14971 : gestion des risques (référencée pour l’IA en tant que composant de sécurité au titre de l’article 6, paragraphe 1)
• ra-qm-team/skills/mdr-745-specialist/ — Règlement MDR 2017/745 (chevauchement avec l’IA appliquée aux dispositifs médicaux)
• compliance-os/ — Méta-orchestrateur pour les programmes multi-cadres
• c-level-advisor/chief-ai-officer-advisor/ — Stratégie exécutive en matière d’IA

Références

• eu_ai_act_titles.md — Présentation article par article des titres I à XII avec ventilation des obligations des déployeurs, fournisseurs, importateurs et distributeurs
• high_risk_systems_annex_iii.md — Annexe III : description détaillée des 8 catégories + interaction avec l’article 6, paragraphes 2 et 3 + critère d’exclusion
• gpai_obligations.md — Suivi des articles 51 à 55 de la GPAI + seuil de risque systémique + règles de transparence + statut du code de bonnes pratiques
• cross_framework_mapping_ai_act.md — Correspondance entre la loi sur l’IA ↔ la norme ISO 42001 ↔ le cadre de gestion des risques liés à l’IA du NIST ↔ le RGPD au niveau des mesures de contrôle

Version : 1.0.0 Statut : Prêt pour la production