L’utilisateur veut comprendre l’AI Act de l’UE dans le contexte du règlement européen sur l’IA et l’appliquer à des travaux concrets de gouvernance ou de conformité de l’IA.
L’AI Act de l’UE est un règlement de l’Union européenne qui établit un cadre fondé sur les risques pour les systèmes d’IA et, dans certains cas, les modèles d’IA à usage général. Il définit des catégories d’usage de l’IA et attribue des obligations de sécurité, de transparence, de gouvernance et de conformité selon le niveau de risque.
L’AI Act de l’UE est le cadre juridique horizontal de l’Union européenne pour l’intelligence artificielle. Il réglemente les systèmes d’IA au moyen d’une structure fondée sur les risques : certains usages sont interdits, les systèmes d’IA à haut risque sont soumis à des obligations strictes tout au long du cycle de vie, certaines interactions avec l’IA exigent de la transparence, et les usages à risque minimal restent largement en dehors des obligations réglementaires détaillées. L’Acte n’est pas seulement une loi de sécurité des produits ni seulement une loi de protection de la vie privée ; c’est un cadre de gouvernance pour la manière dont un système d’IA est conçu, mis sur le marché, mis en service, surveillé et utilisé. Pour Caesar AI Atlas, les concepts liés essentiels sont eu-ai-act, ai-system, provider et deployer. En pratique, l’Acte demande aux équipes d’identifier l’IA qu’elles utilisent, de classer le niveau de risque, de déterminer le rôle juridique de l’acteur et de conserver les preuves que le système respecte les obligations applicables. Il couvre aussi les modèles d’IA à usage général dans des circonstances précises, notamment lorsque les fournisseurs de modèles créent des risques en aval dans de nombreuses applications. Cela fait de l’Acte un pont pratique entre classification juridique, gouvernance produit, contrôles techniques et responsabilité opérationnelle tout au long du cycle de vie de l’IA.
Pensez à l’AI Act de l’UE comme à un code de la route pour l’IA. Un vélo, une voiture familiale, un poids lourd et un véhicule transportant des matières dangereuses ne sont pas réglementés de la même façon, même s’ils circulent tous sur la route. L’Acte applique la même logique à l’IA : un filtre anti-spam n’est pas traité comme un système de classement de candidats au recrutement ou un système d’identification biométrique. La première tâche n’est pas de rédiger une longue politique ; elle consiste à déterminer quel type d’IA vous avez, qui la contrôle, à quoi elle sert et si cet usage peut affecter les droits, la sécurité, les opportunités ou l’accès aux services des personnes.
Analogie
Un code de la route : différents véhicules et usages créent différentes obligations, même s’ils appartiennent au même système de transport.
L’Acte est important parce qu’il transforme la gouvernance de l’IA, qui relevait souvent de bonnes pratiques volontaires, en exigence juridique opérationnelle pour de nombreuses organisations liées au marché de l’UE. Le calendrier applicable est déjà actif : l’Acte est entré en vigueur le 1 août 2024, les obligations relatives aux pratiques interdites et à la maîtrise de l’IA ont commencé le 2 février 2025, les obligations GPAI ont commencé le 2 août 2025, et les règles de transparence sont prévues à partir du 2 août 2026. Les équipes qui attendent le lancement d’un produit, le renouvellement d’un achat ou une demande d’audit peuvent découvrir trop tard qu’elles ne peuvent pas prouver la classification, la propriété, la gouvernance des données, la journalisation ou la supervision humaine. Une préparation précoce aide aussi les équipes à budgéter l’examen juridique, les preuves fournisseurs, les tests de sécurité et la formation interne avant que les obligations ne deviennent des blocages opérationnels.
Urgence
Retarder la classification peut laisser les équipes sans les preuves nécessaires avant les échéances de passation de marché, de déploiement ou d’accès au marché.
Les obligations exactes dépendent de la catégorie de risque et du rôle de l’acteur, mais tout flux de conformité sérieux devrait commencer par la classification et les preuves. Pour les systèmes à haut risque, les fournisseurs doivent généralement assurer la gestion des risques, la gouvernance des données, la documentation technique, la journalisation, la transparence envers les déployeurs, la supervision humaine, l’exactitude, la robustesse, la cybersécurité, l’évaluation de la conformité lorsque nécessaire et la surveillance après mise sur le marché. Les déployeurs doivent comprendre s’ils utilisent des systèmes sous leur autorité, suivre les instructions, surveiller l’usage et préserver la supervision. La séquence pratique de conformité doit être assez simple pour être exécutée avant le déploiement et assez détaillée pour satisfaire ensuite un audit ou un examen par une autorité. Le dossier doit être versionné, vérifiable et compréhensible pour les responsables juridiques, sécurité, produit et métier, et pas seulement pour les spécialistes du machine learning.
Les équipes traitent souvent l’AI Act de l’UE comme un document à lire plus tard plutôt que comme un exercice de classification à réaliser maintenant. Les erreurs les plus dommageables se produisent généralement avant l’examen juridique, lorsque les équipes produit, achats ou ingénierie ne documentent pas la finalité, le rôle et les hypothèses de risque d’un système d’IA.
Erreur 1 : supposer que l’Acte ne s’applique qu’aux vendeurs d’IA conduit les déployeurs à manquer leurs obligations de surveillance, de supervision humaine et de contrôle de l’usage.
Erreur 2 : traiter tous les outils d’IA comme présentant un faible risque fait manquer des contextes à haut risque comme l’emploi, l’éducation, les services essentiels, la biométrie ou les composants de sécurité.
Cette page devrait renvoyer aux concepts clés de rôles et de processus de l’AI Act de l’UE : provider, deployer, ai-system, conformity-assessment, ce-marking et notified-body. Le lien de comparaison le plus important est provider-vs-deployer, car la classification du rôle détermine quelles obligations s’attachent à quel acteur. Ces liens créent un parcours de lecture allant du règlement général aux obligations concrètes des acteurs, aux processus de conformité et aux preuves de mise en œuvre nécessaires pour de vrais projets.