Ce que le règlement est

Presque tous les contresens sur ce texte viennent d’une méprise sur sa nature. Autant la lever tout de suite.

Une réglementation de produit

Le règlement européen sur l’intelligence artificielle n’encadre pas « l’IA » comme on encadrerait une matière dangereuse. Il fonctionne comme les textes qui encadrent les jouets, les dispositifs médicaux ou les machines : il définit des produits, les classe selon le risque qu’ils font peser sur les personnes, et impose des obligations proportionnées à cette classe.

Trois conséquences directes, et elles règlent l’essentiel des questions posées en salle.

Le même outil peut relever de plusieurs classes selon l’usage. Un assistant conversationnel utilisé pour reformuler un courrier ne relève pas de la même catégorie que le même assistant utilisé pour trier des candidatures. Ce n’est pas le produit qui décide, c’est ce qu’on en fait.

Les obligations pèsent sur des rôles, pas sur « les entreprises » en général. Selon que vous fabriquez, importez, distribuez ou utilisez, vous n’avez pas les mêmes devoirs. C’est l’objet de la fiche suivante.

L’essentiel du texte ne s’applique qu’à une minorité de systèmes. La très grande majorité des usages relève du niveau le plus léger, celui où il n’y a presque rien à faire. On ne le dit jamais, parce que ce n’est pas ce qui se vend.

Ce qu’il n’est pas

Ce n’est pas un texte sur les données personnelles. Le règlement sur la protection des données existe déjà et continue de s’appliquer intégralement. Les deux se superposent : un traitement peut être irréprochable au regard de l’un et poser problème au regard de l’autre. Le module 3 traite l’articulation.

Ce n’est pas une autorisation préalable. Il n’y a pas de guichet où déclarer vos usages, ni de permis à demander avant d’utiliser un assistant. Les obligations sont documentaires et organisationnelles, pas administratives au sens d’une autorisation.

Ce n’est pas une interdiction générale. Une poignée de pratiques sont prohibées, elles sont énumérées, et elles sont assez éloignées de ce que fait une entreprise ordinaire. Le module 2 les détaille.

Ce n’est pas réservé aux grandes entreprises. C’est le malentendu le plus coûteux. Une PME qui utilise un outil de tri de candidatures est concernée, et une collectivité qui automatise l’accès à une prestation sociale l’est davantage encore.

Ce qu’il vise, en une phrase

Le texte cherche à ce que les systèmes qui décident ou influencent des décisions sur des personnes soient documentés, surveillés par des humains, et explicables.

Tout le reste en découle. Quand tu hésites sur une qualification, reviens à cette phrase : est-ce que ce système décide quelque chose sur quelqu’un ? Si oui, tu es probablement dans une zone encadrée. Si non, probablement pas.

Ce n’est pas un test juridique, c’est une boussole. Elle est correcte dans la grande majorité des cas et elle t’évitera beaucoup d’inquiétude inutile.

Pourquoi les entreprises paniquent, alors

Trois raisons, et aucune ne tient au texte lui-même.

Le marché de la conformité a intérêt à ce que ce soit compliqué. Une partie des contenus disponibles sont produits par des acteurs qui vendent l’accompagnement, et le ton s’en ressent.

Les obligations les plus lourdes, celles des fournisseurs de systèmes à haut risque, sont les plus commentées parce qu’elles sont les plus spectaculaires. Elles ne concernent presque personne parmi ceux qui lisent ces commentaires.

Et le vocabulaire est mauvais. « Système d’IA à haut risque » fait penser à un danger imminent, alors que ça désigne une catégorie réglementaire qui inclut un logiciel de tri de CV.

Les définitions qui comptent

Trois seulement, et il n’est pas nécessaire d’en connaître davantage aujourd’hui.

Système d’IA. La définition retenue est large : un système automatisé qui, à partir des entrées qu’il reçoit, produit des sorties comme des prédictions, des recommandations ou des décisions, avec une capacité d’inférence. Elle englobe beaucoup plus que les assistants conversationnels.

Ne cherche pas à trancher les cas limites toi-même. Si tu hésites sur un logiciel statistique ancien, la question se pose à un juriste, et elle est rarement urgente.

Modèle d’IA à usage général. Les grands modèles génériques, capables de nombreuses tâches, sur lesquels reposent la plupart des assistants du marché. Ils ont leur propre régime d’obligations, qui pèse sur ceux qui les fabriquent. Si tu utilises un assistant du commerce, ce n’est pas ton sujet.

Mise sur le marché et mise en service. Le moment où un système est fourni à un tiers, ou celui où il est utilisé pour la première fois pour sa destination. Ces notions déterminent quand les obligations se déclenchent.

L’erreur à ne pas faire aujourd’hui

Chercher à qualifier finement chaque outil de votre parc avant d’avoir fait l’inventaire.

L’ordre qui fonctionne est l’inverse : d’abord savoir ce qui tourne chez vous, ensuite classer, enfin traiter ce qui le mérite. C’est exactement le déroulé de cette journée, et l’atelier 1 fait la première étape.

Une organisation qui passe trois mois à qualifier juridiquement un outil bureautique pendant qu’un logiciel de présélection de candidatures tourne sans documentation dans un autre service a parfaitement raté l’exercice.

Vérifie ta compréhension

Question : votre comptable dit que le règlement ne vous concerne pas, parce que vous ne développez aucune intelligence artificielle. A-t-il raison ?

Réponse : non, et l’argument confond deux rôles. Le texte impose des obligations à ceux qui fabriquent des systèmes, et d’autres, plus légères, à ceux qui les utilisent. Une entreprise qui n’écrit pas une ligne de code peut être concernée dès qu’elle utilise un système classé, par exemple pour trier des candidatures. Il a raison sur un point, en revanche : l’essentiel des obligations lourdes ne vous concerne pas, et la fiche suivante explique pourquoi.

Fiche suivante : la question qui décide de presque tout, celle du rôle.