Contexte réglementaire
L'EU AI Act (Règlement (UE) 2024/1689) est entré en vigueur le 1er août 2024. C'est le premier cadre réglementaire mondial dédié à l'intelligence artificielle. Il adopte une approche basée sur le risque : plus le risque potentiel d'un système IA est élevé, plus les obligations sont strictes. Les amendes peuvent atteindre 35M€ ou 7% du CA mondial pour les violations les plus graves. Les systèmes à risque élevé dans le secteur financier (scoring crédit, détection fraude, KYC) sont soumis aux obligations les plus contraignantes dès 2026.
Classification des risques — 4 niveaux
Tout système IA doit être classifié selon cette hiérarchie avant déploiement.
Systèmes interdits par l'EU AI Act. Manipulation subliminale, scoring social gouvernemental, surveillance biométrique en temps réel dans les espaces publics.
Systèmes soumis aux obligations strictes de l'EU AI Act : évaluation de conformité, enregistrement, transparence, supervision humaine, robustesse.
Obligations de transparence. L'utilisateur doit être informé qu'il interagit avec un système d'IA (chatbot, deepfake).
Aucune obligation spécifique. La grande majorité des systèmes IA actuels (filtres spam, recommandations, jeux vidéo).
AI Risk Register — Cas fictif BNP Paribas
Inventaire structuré des systèmes IA par niveau de risque EU AI Act. Template opérationnel applicable à tout établissement financier.
Obligations clés pour les systèmes à risque élevé
Enregistrement dans la base EU AI Act
2026Les systèmes IA à risque élevé doivent être enregistrés dans la base de données EU gérée par la Commission européenne avant mise sur le marché.
Évaluation de conformité
2026Réalisation d'une évaluation de conformité (auto-évaluation ou tierce partie selon le secteur) documentée selon les exigences techniques de l'annexe IV.
Documentation technique complète
En continuMaintenir une documentation couvrant : description du système, données d'entraînement, métriques de performance, mesures de robustesse, logs de tests.
Supervision humaine
2026Les systèmes à risque élevé doivent permettre une supervision humaine effective. Les décisions automatiques sur des droits significatifs doivent pouvoir être contestées.
Transparence & explainabilité
2026Les personnes concernées par une décision prise par un système IA à risque élevé ont le droit d'obtenir une explication compréhensible.
Monitoring post-déploiement
En continuSurveillance continue des performances, détection des dérives (data drift, concept drift), alertes automatiques en cas de dégradation significative.
Modèle de gouvernance IA
L'EU AI Act ne prescrit pas d'organisation type, mais la mise en conformité requiert une gouvernance claire avec des rôles définis et une chaîne de responsabilité traçable.
Piloter la stratégie IA, présider le comité de gouvernance IA, porter la conformité EU AI Act au COMEX.
Responsable d'un système IA dans son domaine. Valide les cas d'usage, les données d'entrée, les critères de performance et assume la responsabilité business.
Gère le cycle de vie du modèle : entraînement, validation, déploiement, monitoring, retraite. Maintient la documentation technique requise par l'EU AI Act.
Évalue les risques éthiques, les biais, les impacts sociaux. Valide les systèmes IA à risque élevé avant déploiement.
Vérifie l'articulation EU AI Act / RGPD, conseille sur les obligations légales, coordonne les enregistrements réglementaires.