AI Act : registre des systèmes IA et FRIA

Le règlement est entré en vigueur le 1er août 2024 et s'applique par étapes prévues à son article 113 : d'abord les pratiques interdites et les obligations de maîtrise de l'IA, puis les obligations relatives aux modèles d'IA à usage général, enfin les obligations relatives aux systèmes à haut risque. Les échéances exactes applicables à votre organisation dépendent de la catégorie de vos systèmes ; référez-vous au texte publié au Journal officiel de l'Union européenne.

Le fournisseur développe un système d'IA ou le met sur le marché sous son nom ; le déployeur l'utilise sous sa propre autorité dans un cadre professionnel. Une entreprise qui achète une solution d'IA est en principe déployeur — sauf si elle la modifie substantiellement ou la commercialise sous sa marque, ce qui peut lui transférer les obligations du fournisseur.

La FRIA (Fundamental Rights Impact Assessment), prévue à l'article 27, est l'analyse d'impact sur les droits fondamentaux que certains déployeurs de systèmes à haut risque doivent réaliser avant la mise en service : description des usages, catégories de personnes affectées, risques de préjudice, mesures de gouvernance humaine et de recours.

Parce que la majorité des systèmes d'IA employés en entreprise sont achetés, pas développés. Les informations nécessaires à la conformité du déployeur — classification du système, documentation technique, instructions d'utilisation, journalisation — proviennent du fournisseur, et doivent donc être obtenues et conservées comme n'importe quelle preuve de conformité tierce.

Le module AI Act est sur notre feuille de route produit. Il s'appuiera sur le même socle de référentiels réglementaires que NIS2, DORA, ISO 27001 et RGPD, avec un registre des systèmes d'IA, la FRIA et un mapping des obligations par article.