Ce qui ne s’applique pas à vous

Je n’ai trouvé cette fiche dans aucune présentation du sujet, et c’est pourtant celle qui fait gagner le plus de temps.

Une conformité efficace consiste d’abord à écarter ce qui ne vous concerne pas. Sinon on traite tout avec la même intensité, on s’épuise sur des sujets sans enjeu, et on passe à côté des deux usages qui comptaient.

Ce que le texte exclut

Certains domaines sortent du champ, en tout ou partie. Les principaux, pour une organisation ordinaire.

Les activités purement personnelles. Un salarié qui utilise un assistant chez lui, pour lui, n’entre pas dans le champ. Attention toutefois : dès qu’il l’utilise pour son travail, on n’est plus dans le personnel, et c’est le sujet de vos règles internes.

La recherche et le développement avant mise sur le marché ou mise en service. Les activités de test et d’expérimentation bénéficient d’un régime particulier, tant qu’il ne s’agit pas d’une utilisation réelle.

Les systèmes publiés sous licence libre, sauf lorsqu’ils sont mis sur le marché ou en service en tant que systèmes à haut risque, ou qu’ils relèvent des pratiques interdites ou des obligations de transparence. Ne surinterprète pas cette exclusion : elle est plus étroite qu’elle n’en a l’air.

Le domaine militaire, de défense et de sécurité nationale, qui ne concerne aucune des organisations qui suivent cette journée.

Ces exclusions se lisent avec prudence. Ce ne sont pas des portes de sortie générales, ce sont des délimitations de champ.

Ce qui ne pèse pas sur vous, en tant que déployeur

Point plus utile que les exclusions elles-mêmes, parce qu’il concerne tout le monde dans la salle.

Si vous achetez vos outils et les utilisez pour leur usage prévu, voici ce que vous n’avez pas à faire.

Vous n’avez pas à	C’est la charge de
Constituer une documentation technique du système	Le fournisseur
Mettre en place un système de gestion des risques du produit	Le fournisseur
Documenter la gouvernance des données d’entraînement	Le fournisseur
Faire évaluer la conformité et apposer un marquage	Le fournisseur
Publier un résumé des données d’entraînement d’un modèle	Le fournisseur du modèle
Enregistrer le système dans la base de données européenne	Le fournisseur, et certains déployeurs publics

Cette liste vaut d’être présentée telle quelle à une direction inquiète. Elle représente l’essentiel du volume documentaire dont on parle dans la presse spécialisée, et elle ne vous concerne pas.

Ce qu’il reste, en une phrase

Pour un déployeur ordinaire : suivre la notice, faire superviser par quelqu’un de compétent, informer les personnes concernées, garder une trace, et signaler les problèmes.

Tout tient là. Le reste de la journée sert à savoir sur quels systèmes ça s’applique, et à quoi ressemble « superviser » et « informer » concrètement.

Les usages qui ne relèvent d’aucune catégorie encadrée

Dans une organisation ordinaire, la très grande majorité des usages relève du niveau le plus léger, où il n’y a pratiquement rien à faire.

Reformuler un courrier. Traduire un document. Résumer une note. Préparer une trame de réunion. Écrire un compte rendu à partir de ses propres notes. Faire expliquer un texte réglementaire. Produire un support de formation interne. Corriger l’orthographe.

Ces usages ne décident rien sur personne. Ils relèvent de vos règles internes, de la protection des données et du bon sens professionnel, pas d’un dispositif de conformité dédié.

C’est là que se trouve l’essentiel du temps gagné par vos équipes, et il serait absurde de le freiner au nom d’un texte qui ne le vise pas.

L’angle mort, quand même

Puisque cette fiche rassure, elle doit aussi dire ce qui, dans une organisation ordinaire, échappe rarement au texte. Il y en a peu, et ils reviennent toujours.

Le tri ou l’évaluation de candidatures. L’évaluation des salariés et les décisions qui en découlent. La diffusion ciblée d’offres d’emploi. L’accès à un service essentiel, une prestation sociale, un crédit ou une assurance, quand une décision est assistée. Et, dans l’enseignement, l’accès aux formations ou l’évaluation des apprenants.

Si un de ces usages existe chez vous, il concentre à lui seul l’essentiel de votre exposition. Le reste du parc peut attendre.

L’erreur symétrique

Il existe une manière de mal utiliser cette fiche, et je préfère la nommer.

Conclure que « rien ne nous concerne » parce que vous ne trouvez aucun système dans les catégories encadrées, sans avoir fait l’inventaire.

Deux obligations s’appliquent en effet quel que soit le niveau de risque, y compris à ceux qui n’utilisent que des usages courants : les pratiques interdites, et l’obligation de maîtrise de l’IA pour le personnel concerné. Le module 3 revient sur la seconde, qui est celle qu’on oublie le plus.

Une organisation qui n’a aucun système à haut risque a donc quand même deux choses à faire. Elles sont légères, et elles ne sont pas facultatives.

Vérifie ta compréhension

Question : ton directeur général, rassuré par cette fiche, conclut qu’il n’y a rien à faire puisque vous n’utilisez aucun système à haut risque. Que réponds-tu ?

Réponse : deux choses restent, indépendamment du niveau de risque. D’abord, vérifier qu’aucune pratique interdite n’est en place, ce qui suppose de savoir ce qui tourne : c’est l’objet de l’inventaire de l’atelier 1. Ensuite, l’obligation de maîtrise de l’IA pour les personnes qui utilisent ces outils pour le compte de l’organisation, qui s’applique déjà et qui n’est pas conditionnée au niveau de risque. Ces deux points sont peu coûteux, et sa conclusion sera juste une fois l’inventaire fait, pas avant.

Fiche suivante : le calendrier, et pourquoi je le donne avec réserve.