Règlement sur l’IA : le risque de requalification en fournisseur d’un système d’IA à haut risque
Le Règlement sur l’IA opère une distinction entre les différents acteurs intervenant dans la chaîne d’approvisionnement de l’IA, notamment entre les fournisseurs et les déployeurs de systèmes d’IA. En principe, une organisation qui utilise un système d’IA dans le cadre de ses activités professionnelles est qualifiée de déployeur et est soumise à un nombre d’obligations plus limité que celles applicables aux fournisseurs.
Cette qualification n’est toutefois ni automatique ni définitive. Le Règlement sur l’IA prévoit expressément plusieurs hypothèses dans lesquelles un déployeur peut être requalifié en fournisseur d’un système d’IA à haut risque, avec, à la clé, l’application de l’ensemble des obligations prévues pour les fournisseurs.
Déployeur ou fournisseur : une frontière qui dépend de l’usage
La détermination du rôle exact de votre organisation est essentielle, puisqu’elle conditionne les obligations applicables et votre niveau de conformité au Règlement sur l’IA. Une attention particulière doit être portée à l’usage concret qui est fait du système d’IA, indépendamment de la qualification initiale de déployeur attribuée à votre organisation.
L’article 25 du Règlement sur l’IA prévoit ainsi que tout déployeur (ou autre tiers) est considéré comme fournisseur d’un système d’IA à haut risque lorsqu’il se trouve dans l’une des situations suivantes :
- il commercialise sous son propre nom ou sa propre marque un système d’IA à haut risque déjà mis sur le marché/en service ;
- il apporte une modification substantielle à un système d’IA à haut risque déjà mis sur le marché/en service ;
- il modifie la destination d’un système d’IA qui n’est pas à haut risque et qui le devient à la suite de cette modification.
Chatbots et ressources humaines : un cas de requalification fréquent
De nombreuses organisations utilisent aujourd’hui des chatbots considérés comme des systèmes d’IA à risque limité sur la base de l’article 50 du Règlement sur l’IA. Pour cette utilisation, elles sont en principe qualifiées de déployeurs.
Toutefois, leur rôle peut évoluer en fonction de l’usage concret du chatbot. Tel est notamment le cas lorsque celui-ci est utilisé pour présélectionner des candidats sur la base de leur CV ou encore pour assister à la prise de décision en matière de promotion des employés.
Ces cas d’usage sont en effet considérés comme étant à haut risque au sens du Règlement sur l’IA (sauf exceptions). En modifiant ainsi la destination initiale du système d’IA, l’organisation qui l’utilise peut être requalifiée en fournisseur d’un système d’IA à haut risque, même si elle n’a pas développé/fait développer le système elle-même.
Des conséquences juridiques lourdes pour l’organisation
La requalification en fournisseur d’un système d’IA à haut risque n’est pas anodine. Elle entraîne l’application d’un grand nombre d’obligations (mise en place de systèmes de gestion des risques et de gestion de la qualité, établissement d’une documentation technique complète, exigences en termes de qualité des données, évaluation de la conformité…).
Le respect de ces obligations peut s’avérer particulièrement complexe lorsque le fournisseur initial a expressément exclu toute transformation du système en système d’IA à haut risque. Dans un tel cas, il n’est en effet pas légalement tenu de coopérer avec le fournisseur en aval.
Notre conseil :
Dans le cadre de votre mise en conformité au Règlement sur l’IA, il est essentiel d’anticiper les risques de requalification liés à l’usage des outils d’IA, en particulier lorsque ceux-ci sont utilisés dans des domaines sensibles tels que les ressources humaines.
Cela implique notamment :
- une analyse juridique approfondie des cas d’usage envisagés ;
- des politiques internes strictes encadrant l’utilisation des chatbots et autres outils d’IA (politique et gouvernance IA et formations) ;
- des contrats adaptés avec les fournisseurs d’outils d’IA et avec les prestataires de services externes utilisant l’IA pour le compte de votre organisation.
Notre équipe d’experts vous accompagne à chacune de ces étapes, notamment au travers de packs de services avantageux tels que notre Pack Règlement IA (AI Act) et notre Pack Atelier Politique IA (AI Policy).