Systèmes d’IA à haut risque : qualifier, sécuriser, démontrer.
La qualification « haut risque » déclenche un système de conformité complet. Elle doit être démontrée cas par cas, à partir de la finalité prévue et du contexte réel.
Un système relève du haut risque lorsqu’il entre dans l’une des voies de l’article 6 : produit ou composant de sécurité couvert par l’annexe I, ou cas d’usage listé à l’annexe III. La décision doit partir des faits, être sourcée et rester révisable.
Cluster éditorial : Qualification des risques AI Act · Intention : Comprendre les systèmes à haut risque et l’annexe III AI Act
En bref
L’essentiel à retenir
01
Deux voies distinctes : annexe I et annexe III
02
Finalité et contexte avant l’étiquette commerciale
03
Contrôles du cycle de vie reliés au rôle
04
Qualification datée, approuvée et révisable
01
Deux portes d’entrée principales
L’article 6 vise d’une part certains systèmes constituant un composant de sécurité d’un produit — ou étant eux-mêmes un produit — couvert par la législation d’harmonisation de l’annexe I et soumis à une évaluation de conformité par un tiers. Il vise d’autre part les cas d’utilisation listés à l’annexe III.
L’annexe III couvre notamment certaines utilisations en biométrie, infrastructures critiques, éducation, emploi, services essentiels, répression, migration et justice. Les conditions de l’article 6, y compris le régime de dérogation du paragraphe 3, doivent être examinées avec précision.
Le chapitre III impose notamment un système de gestion des risques continu, une gouvernance des données adaptée, une documentation technique, des journaux, des instructions d’utilisation, une supervision humaine et des niveaux appropriés d’exactitude, de robustesse et de cybersécurité.
Ces exigences doivent être conçues comme un ensemble cohérent. Une documentation abondante ne compense pas des données non maîtrisées, une supervision fictive ou l’absence de suivi en production.
Fournisseur et déployeur : deux dispositifs complémentaires
Le fournisseur porte notamment le système de gestion de la qualité, l’évaluation de conformité, la déclaration UE, le marquage CE, l’enregistrement et le suivi après commercialisation. Le déployeur doit suivre les instructions, organiser la supervision, surveiller le fonctionnement, conserver certains journaux et réaliser, lorsque les conditions sont réunies, une analyse d’impact sur les droits fondamentaux.
Pour un cas d’usage de l’annexe III, la qualification n’est que le point de départ. Reliez la catégorie retenue aux exigences réellement applicables, aux informations à obtenir du fournisseur, aux mesures côté déployeur et à la date de revue. Une décision utile indique aussi ce qui reste incertain et la condition qui déclenchera une requalification.
Travaillez d’abord sur un système représentatif. Décrivez la finalité, les personnes concernées, les décisions influencées et la supervision réelle. Cette première boucle fournit une méthode réutilisable pour les autres usages et fait ressortir les écarts contractuels ou techniques avant l’échéance.
Il faut examiner les deux portes d’entrée de l’article 6 : composant de sécurité ou produit couvert par l’annexe I, et cas d’utilisation de l’annexe III. La finalité prévue et les conditions de l’article 6 doivent être documentées.
Non. La conformité associe gestion des risques, données, documentation, supervision, exactitude, robustesse, cybersécurité et suivi en production. Une pièce isolée ne compense pas un contrôle absent.
Oui. Il doit notamment suivre les instructions, organiser la supervision, surveiller le fonctionnement, conserver certains journaux et réaliser les analyses requises lorsque les conditions sont réunies.
