AI Act : préparez votre conformité avec une certification ISO 42001
L’AI Act, un cadre réglementaire contraignant encadrant l’usage de l’IA
Premier cadre juridique au monde portant sur l’intelligence artificielle
Paru au JOUE (Journal officiel de l’Union européenne) le 12 juillet 2024, le règlement européen sur l’IA (RIA) est entré en vigueur le 1er août 2024. Il constitue un cadre réglementaire contraignant.
Le règlement (UE) 2024/1689 établit des règles harmonisées destinées à encadrer l'usage de l’intelligence artificielle. Il met l’accent sur la protection des droits fondamentaux, la transparence, la gouvernance et la responsabilité.
Une approche par niveaux de risque
Dans la lignée des précédents règlements européens traitant des questions de cybersécurité et de numérique, l’AI Act promeut une approche par les risques.
Le règlement classe les systèmes d'IA selon quatre niveaux de risque :
- Risque inacceptable — Interdiction : Concerne les systèmes comme la manipulation comportementale, la notation sociale ou certaines formes de reconnaissance biométrique en temps réel.
- Risque élevé — Obligations strictes : S'applique aux secteurs critiques : recrutement, santé, éducation, justice, infrastructures critiques, évaluation du crédit et contrôle aux frontières.
- Risque limité — Obligations de transparence : Regroupe les outils grand public comme les chatbots ou les systèmes de génération d'images et de vidéos (deep fakes).
- Risque minimal — Aucune obligation spécifique : Englobe la majorité des applications actuelles : filtres anti-spam, jeux vidéo ou algorithmes de recommandation de contenu classiques.
Le règlement européen sur l’IA concerne en premier lieu les développeurs et déployeurs d’IA, fournisseurs de systèmes d’IA à haut risque et fournisseurs de modèles d’IA à usage général (GPAI – Global Partnership of AI).
Les éditeurs de logiciels intégrant des briques d’IA dans leurs produits sont particulièrement concernés. L’AI Act leur impose notamment de démontrer qu’ils ont bien pris en compte les risques inhérents à l’intégration de l’IA et mis en place toutes les mesures nécessaires pour assurer une utilisation responsable de l’intelligence artificielle.
AI Act : une application dès 2027 pour les systèmes d’IA à haut risque
La pleine applicabilité du règlement européen sur l’IA devait intervenir à compter du 2 août 2026. Dans le cadre du « Digital Package on Simplification » (ou « Digital Omnibus Package »), le calendrier et les modalités d’application de l’AI Act ont été revus. L’objectif : simplifier la mise en œuvre du texte et s’assurer que les règles restent claires, simples et compatibles avec l’innovation.
L’application des obligations portant sur les systèmes d’IA à haut risque est prévue :
- À partir du 2 décembre 2027 pour les systèmes d’IA utilisés dans des contextes à haut risque comme la biométrie, les infrastructures critiques, l’éducation, etc.
- À partir du 2 août 2028 pour les systèmes intégrés en tant que composants de sécurité et couverts par la législation sectorielle de l’Union européenne en matière de sécurité et de surveillance du marché.
En cas de non-respect des obligations, l’AI Act prévoit des amendes pouvant aller jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial.
La certification ISO 42001, un cadre méthodologique efficace pour préparer sa conformité à l’AI Act
L’ISO 42001, une norme dédiée à la gouvernance de l’IA
Si l’AI Act constitue un cadre réglementaire contraignant, la norme ISO 42001 est quant à elle une norme volontaire, la première norme dédiée au management de l’IA. Elle permet aux organisations de mettre en place une gouvernance autour de l’intelligence artificielle, via un système de management de l’IA (SMIA).
Toute organisation développant, intégrant ou exploitant des systèmes d’IA et souhaitant établir, mettre en œuvre, maintenir et améliorer en continu un système de management de l’IA peut s’engager de manière volontaire dans une démarche de certification ISO 42001.
Les producteurs, fournisseurs et utilisateurs de systèmes d’IA peuvent s’en saisir pour attester qu’ils ont bien pris en compte les risques et les défis posés par l’IA, et qu’ils y répondent via des mesures concrètes. L’objectif : garantir un développement et une utilisation des systèmes d’IA de manière responsable et sécurisée.
Entre l’ISO 42001 et l’AI Act, de nombreux chevauchements
Si l’ISO 42001 et l’AI Act ne sont pas de même nature (le premier constitue un cadre volontaire, le second un cadre réglementaire contraignant), leurs exigences présentent de nombreuses correspondances, notamment en matière de :
- Gouvernance et gestion des risques,
- Gouvernance et qualité des données,
- Documentation technique et transparence,
- Traçabilité et enregistrement des journaux,
- Contrôle humain et supervision,
- Précision, robustesse et cybersécurité,
- Évaluation des impacts sur la société.
En tant que norme de système de management, la norme ISO 42001 permet de tracer et de documenter des pratiques. En fournissant un cadre documenté et une méthodologie permettant de mettre en place une gouvernance de l’IA, la certification ISO 42001 aide les organisations à préparer efficacement leur conformité à l’AI Act.
À noter
l’AI Act prévoit plusieurs exigences supplémentaires que la norme ISO 42001 ne couvre pas (classification stricte par niveaux de risque et interdictions, marquage CE et déclaration UE de conformité, enregistrement obligatoire dans une base de données publique de l’UE, etc.).
La certification ISO 42001 n’entraîne donc pas, à elle seule, une pleine conformité à l’AI Act. En revanche, elle constitue un cadre méthodologique pertinent pour préparer efficacement sa conformité au règlement européen sur l’IA.