Systèmes d’IA à haut risque : qualifier, sécuriser, démontrer.
La qualification « haut risque » déclenche un système de conformité complet. Elle doit être démontrée cas par cas, à partir de la finalité prévue et du contexte réel.
L’article 6 vise d’une part certains systèmes constituant un composant de sécurité d’un produit — ou étant eux-mêmes un produit — couvert par la législation d’harmonisation de l’annexe I et soumis à une évaluation de conformité par un tiers. Il vise d’autre part les cas d’utilisation listés à l’annexe III.
L’annexe III couvre notamment certaines utilisations en biométrie, infrastructures critiques, éducation, emploi, services essentiels, répression, migration et justice. Les conditions de l’article 6, y compris le régime de dérogation du paragraphe 3, doivent être examinées avec précision.
Le chapitre III impose notamment un système de gestion des risques continu, une gouvernance des données adaptée, une documentation technique, des journaux, des instructions d’utilisation, une supervision humaine et des niveaux appropriés d’exactitude, de robustesse et de cybersécurité.
Ces exigences doivent être conçues comme un ensemble cohérent. Une documentation abondante ne compense pas des données non maîtrisées, une supervision fictive ou l’absence de suivi en production.
Fournisseur et déployeur : deux dispositifs complémentaires
Le fournisseur porte notamment le système de gestion de la qualité, l’évaluation de conformité, la déclaration UE, le marquage CE, l’enregistrement et le suivi après commercialisation. Le déployeur doit suivre les instructions, organiser la supervision, surveiller le fonctionnement, conserver certains journaux et réaliser, lorsque les conditions sont réunies, une analyse d’impact sur les droits fondamentaux.