Article 5 AI Act : auditer les pratiques interdites sans angle mort.
L’article 5 ne se vérifie pas avec une question générique. Il faut examiner la finalité, le mécanisme d’influence, les personnes exposées, le contexte d’usage et les exceptions précises prévues par le texte.
La revue de l’article 5 doit analyser la finalité, les mécanismes, les données, les populations et les effets réels, puis bloquer ou encadrer les configurations qui pourraient relever d’une interdiction.
Cluster éditorial : Qualification et risques · Intention : Identifier et prévenir les pratiques interdites par l’article 5
En bref
L’essentiel à retenir
01
Examiner les pratiques et leurs effets, pas seulement le nom de l’outil.
02
Associer juridique, métier, données, sécurité et technique.
03
Installer des garde-fous avant l’achat, l’activation et le changement.
04
Documenter les décisions, les exceptions strictes et les contrôles.
01
Tester huit familles de pratiques, usage par usage
L’audit couvre notamment certaines techniques subliminales, manipulatrices ou trompeuses, l’exploitation de vulnérabilités, la notation sociale, certaines prédictions individuelles d’infraction, le moissonnage non ciblé d’images faciales, certains usages de reconnaissance des émotions, certaines catégorisations biométriques et l’identification biométrique à distance en temps réel à des fins répressives.
Ne jamais résumer une exception en un simple “oui”
Plusieurs interdictions comportent des conditions ou exceptions étroites. La décision doit reprendre le cas exact du texte, les faits qui le rendent applicable, les garanties associées et le droit national pertinent lorsqu’il est requis. Une fonctionnalité commercialement disponible n’est pas, à elle seule, une preuve de licéité.
Points de contrôle
Texte exact de l’exception
Nécessité et proportionnalité
Autorisation préalable si requise
Limites temporelles, géographiques et personnelles
Installer un contrôle avant achat et avant changement
Intégrez la revue article 5 aux achats, aux expérimentations, aux modifications de finalité et aux mises à jour. Une alerte doit suspendre la mise en service jusqu’à ce qu’une décision sourcée soit rendue par les fonctions compétentes.
Les pratiques interdites ne se repèrent pas avec une liste de produits. Un même système peut être acceptable dans une configuration et problématique dans une autre. Décrivez ce que le système cherche à obtenir, comment il influence ou classe, quelles données il utilise, qui est exposé et quelles conséquences suivent la sortie. Examinez les options activables, les intégrations et les usages détournés raisonnablement prévisibles.
Interrogez les équipes avec des scénarios concrets : personnalisation qui exploite une vulnérabilité, notation fondée sur un comportement sans rapport avec le contexte, inférence d’attributs sensibles, constitution de bases d’images, reconnaissance des émotions ou identification biométrique. La formulation des questions doit reprendre les conditions et limites du texte applicable.
Intégrez un contrôle article 5 à la demande d’achat, au lancement d’un projet, à l’activation d’une nouvelle fonction et à la revue d’un changement. Les achats demandent la description des fonctions, exclusions et sous-traitants. Le métier décrit la finalité et les conséquences. Le juridique analyse les critères. La technique vérifie la configuration et bloque les fonctions non autorisées.
Prévoyez un canal d’escalade rapide. Lorsqu’un doute sérieux subsiste, limitez le pilote, interdisez l’usage concerné ou demandez une expertise complémentaire avant mise en production. Une validation orale ne suffit pas. Conservez la question, les faits, la décision, le décideur et les mesures retenues.
En RH, une analyse de voix ou de visage destinée à déduire l’état émotionnel appelle une revue spécifique. Dans le commerce, une personnalisation qui exploite la vulnérabilité d’un public ne se traite pas comme une recommandation ordinaire. Dans la sécurité, une fonction biométrique doit être examinée à partir de sa finalité, de son contexte et des exceptions très encadrées. Dans l’éducation ou les services, une notation sociale ne se réduit pas à un score technique.
Ces situations imposent de comprendre les données inférées et la chaîne de décision. Un fournisseur peut décrire une fonction comme une aide. Si les utilisateurs s’y conforment systématiquement ou si aucune alternative n’existe, l’effet réel doit être analysé.
Ajoutez des tests de configuration, une revue des journaux et des entretiens avec les utilisateurs. Cherchez les usages non prévus, les extensions locales et les contournements. Les indicateurs portent sur les fonctions bloquées, les alertes traitées, les délais de décision et les changements revus.
La formation présente les catégories avec des cas liés aux métiers, explique le canal de signalement et clarifie le pouvoir d’arrêt. Elle ne doit pas donner l’impression qu’une liste apprise une fois suffit. Les pratiques, les produits et les interprétations évoluent. Une veille reliée au registre permet de réexaminer les usages concernés.
