Règlement IA 2024 : Comprendre la Nouvelle Réglementation Européenne sur l’Intelligence Artificielle

L’Union Européenne a adopté une réglementation visant à encadrer le développement et l’utilisation de l’intelligence artificielle (l’« IA »). 

Le Règlement sur l’intelligence artificielle (le « RIA ») est entré en vigueur le 1er août 2024 et vise à garantir un usage éthique et transparent de l’IA, respectueux des droits fondamentaux.

Afin de laisser du temps aux acteurs du marché de s’adapter à cette nouvelle réglementation, les exigences du RIA s’appliqueront progressivement :

• Février 2025 :  application des interdictions relatives à certains systèmes d’IA et obligation générale de formation et de sensibilisation des personnels et prestataires des acteurs de l’IA ;
• Août 2025 : application des exigences relatives aux autorités compétentes et aux modèles d’IA à usage général  ;
• Août 2026 : application complète du RIA à tous les systèmes d’IA concernés.

 
Dune vous aide à décrypter ce règlement, son champ d’application et les principales obligations pour les entreprises.

Qu’est-ce qu’un système d’IA selon le Règlement Européen ?

Le RIA s’applique aux « systèmes d’IA » qu’il définit comme : 

 « un système automatisé conçu pour fonctionner à différents niveaux d’autonomie, qui peut faire preuve d’une capacité d’adaptation après son déploiement et qui, pour des objectifs explicites ou implicites, déduit, à partir des données d’entrée qu’il reçoit, la manière de générer des résultats, tels que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuels ».

En d’autres termes, un système d’IA est un système automatisé qui fonctionne de façon autonome et capable d’apprendre, de s’adapter et d’automatiser des décisions après son déploiement. Cette notion est large et permet ainsi d’appliquer le RIA à de nombreuses applications d’IA.

Le règlement classe les IA selon leurs niveaux de risques et détermine quatre niveaux de risque : 

• Risque inacceptable : les systèmes d’IA présentant des risques inacceptables sont interdits. 
• Risque élevé: il s’agit des systèmes d’IA énumérés à l’annexe III du RIA et soumis à des exigences renforcées (ex : IA dans le diagnostic médical, systèmes de recrutement automatisés, etc.).
• Risque limité : il s’agit de systèmes d’IA définis par la Commission Européenne et soumis à des obligations de transparence spécifiques (ex : chatbots, IA créant du contenu généré automatiquement).
• Risque minime ou nul : IA librement utilisable (ex : filtres photo, assistants vocaux de base, etc.)

Qui est concerné par le Règlement IA  ?

Le RIA s’applique à tous les opérateurs intervenant dans la chaîne de valeur de l’IA, indépendamment de leur localisation, dès lors que leurs systèmes ont vocation à être  utilisés ou produisent des effets dans l’Union Européenne.

Les principaux « opérateurs » concernés sont déterminés par les catégories suivantes : 

• Fournisseur : personne qui développe ou fait développer un système d’IA ou un modèle d’IA à usage général et qui le met sur le marché ou le met en service sous son propre nom ou sa propre marque, que ce soit à titre onéreux ou gratuit.
• Déployeur : une personne qui utilise un système d’IA sous son autorité, sauf si le système d’IA est utilisé dans le cadre d’une activité personnelle non professionnelle.
• Importateur : une personne qui met sur le marché un système d’IA portant le nom ou la marque d’une personne physique ou morale établie dans un pays tiers.
• Distributeur : une personne autre que le fournisseur ou l’importateur, qui met un système d’IA à disposition sur le marché de l’UE.
• Représentant autorisé : une personne qui a reçu et accepté un mandat écrit du fournisseur d’un système d’IA ou d’un modèle d’IA à usage général pour, respectivement, remplir et exécuter en son nom les obligations et les procédures établies par la loi sur l’IA.

Quelles sont les obligations du Règlement IA pour les entreprises ?

Les principales obligations du RIA s’appliquent selon le niveau de risque du système d’IA :

• Les systèmes d’IA à risque élevé sont soumis à des exigences spécifiques, que les opérateurs de ce type de système d’IA agissent en qualité de fournisseur, déployeur, distributeur ou importateur. Dans tous les cas, les systèmes d’IA à risque élevé sont notamment soumis à un système de gestion des risques, qui doit être documenté et régulièrement mis à jour, une obligation de documentation technique, d’obligations particulières concernant l’utilisation des données, et de transparence du fonctionnement et de l’utilisation du système d’IA ainsi qu’au marquage CE.
• Les systèmes d’IA à risque limité sont assortis d’obligations de transparence spécifiques qui sont notamment établies pour les systèmes d’IA qui sont destinés à interagir directement avec une personne physique et/ou qui peuvent générer ou manipuler des images, du son ou de la vidéo : les personnes qui interagissent avec ces systèmes d’IA doivent être informées qu’elles interagissent avec une machine et les contenus produits par ces systèmes doivent être identifiés comme tel.
• Les systèmes d’IA à risque minime peuvent être librement utilisés.

• Les modèles d’IA à usage général (distinct des « systèmes d’IA ») et présentant un risque systémique sont assortis d’obligations spécifiques et doivent notamment être notifiés à la Commission Européenne. Leurs fournisseurs ont l’obligation de procéder à une évaluation régulière de leur modèle d’IA, d’en évaluer les risques et de tenir une documentation technique du modèle. 

 
A noter aussi que le RIA impose une obligation générale de formation et sensibilisation des fournisseurs et déployeurs de systèmes d’IA à destination de leurs salariés et prestataires qui s’occupent du fonctionnement de l’utilisation des systèmes d’IA.

Sanctions en cas de non-conformité au RIA

Les entreprises qui ne respectent pas le RIA s’exposent aux sanctions suivantes :

• Amendes administratives pouvant atteindre jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial ;
• Interdiction temporaire ou définitive d’exploiter l’IA concernée ;
• Mises en demeure et audits obligatoires.

Comment se mettre en conformité avec le RIA ?

1. Identifier les systèmes d’IA utilisés dans l’entreprise et évaluer leur niveau de risque.
2. Mettre en place un système de gestion des risques pour les IA à risque élevé.
3. Assurer la transparence et l’information des utilisateurs de ces systèmes d’IA.
4. Former les employés et prestataires sur les bonnes pratiques et les obligations du RIA.
5. Faire appel à un expert juridique pour la mise en conformité au RIA mais également afin de s’assurer du respect de la protection des données personnelles.

Dune vous accompagne dans votre mise en conformité IA

Les entreprises utilisant l’IA doivent anticiper ces changements pour éviter toute non-conformité. Dune accompagne les entreprises dans l’audit et la mise en conformité de leurs systèmes IA pour répondre aux exigences du RIA.

Besoin d’un accompagnement ? Contactez-nous !