Le règlement européen sur l'intelligence artificielle (RIA), entré en vigueur cet été, définit les principes applicables aux fournisseurs de modèles d'IA à usage général (GPAI). Des interprétations précises et exploitables de ces principes pour les fournisseurs de GPAI seront disponibles en mai 2025, lorsque le Bureau européen de l'IA publiera son code de pratique pour la GPAI. L'alignement sur ce code de pratique pourrait conférer aux fournisseurs de GPAI une « présomption de conformité » avec certaines parties du RIA, jusqu'à ce que le Bureau européen de l'IA publie des normes harmonisées.

Il était donc particulièrement instructif pour les fournisseurs de GPAI de pouvoir accéder au premier projet de code de pratique pour la GPAI, publié le 14 novembre sur le site internet de la Commission européenne. Ce projet est le fruit d'un travail collaboratif mené au sein et entre quatre groupes de travail depuis le 30 septembre :

1 : Transparence et règles relatives au droit d'auteur

2 : Identification et évaluation des risques systémiques

3 : Atténuation technique des risques systémiques

4 : Atténuation des risques de gouvernance pour les risques systémiques

Avec la réserve qu'il ne s'agit que du premier de quatre projets s'inscrivant dans un processus itératif menant au texte final en mai 2025, ce projet de code de pratique de 36 pages est remarquable à au moins trois égards.

1. Détermination du statut de fournisseur

Premièrement, il reconnaît l'importance de la détermination du statut de fournisseur de GPAI. Si OpenAI, Google, Anthropic, Meta, Cohere et Mistral sont les exemples les plus évidents de fournisseurs de GPAI, le RIA décrit également des situations dans lesquelles des organisations utilisant des modèles de GPAI peuvent être considérées comme des fournisseurs (par exemple, si elles apposent leur propre nom ou marque sur un tel modèle). Une zone d'ombre du RIA réside dans la question de savoir si une organisation qui procède au « réglage fin » (fine-tuning) de tels modèles devient un fournisseur. Bien que le projet de code de pratique indique que sa version finale fournira des orientations sur ce sujet, il précise que même si une organisation est considérée comme un fournisseur en raison d'un réglage fin, ses obligations de fournisseur se limiteront aux effets de ce réglage fin.

2. Taxonomie des risques systémiques

Deuxièmement, il présente une taxonomie de haut niveau des risques systémiques liés aux systèmes de GPAI, qui comprend les types, la nature et la source de ces risques. Le RIA classe certains systèmes d'IA comme présentant des risques systémiques (par exemple, si « la quantité cumulée de calculs utilisés pour leur entraînement, mesurée en opérations en virgule flottante, est supérieure à 10(^25) »). La taxonomie esquissée par le projet de code de pratique décrit a) des types de risques allant de la « cyberinfraction » à la « discrimination à grande échelle », b) la nature des risques, incluant l'origine, l'acteur ou les acteurs à l'origine du risque et l'intention, et c) des sources de risques telles que les « capacités dangereuses du modèle ». Bien que cette taxonomie soit présentée de manière générale, elle donne un aperçu des considérations relatives aux risques systémiques qui sont susceptibles de préoccuper le Bureau européen de l'IA.

3. Transparence

Troisièmement, il apporte une certaine clarté sur la nature de la « documentation technique » et des « informations » que les fournisseurs de GPAI doivent partager avec les déployeurs et avec le Bureau européen de l'IA en vertu de l'article 53 du RIA. Celles-ci vont des « Politiques d'utilisation acceptable » à « l'architecture et au nombre de paramètres ». S'il est appréciable que ces éléments soient détaillés et mis en relation avec les annexes du RIA, le niveau de détail fourni pour chaque élément varie considérablement.

Le document approfondit également les questions de droit d'auteur ainsi que l'évaluation et l'atténuation des risques pour les systèmes de GPAI présentant des risques systémiques.

Il convient également de noter que le Bureau européen de l'IA a rendu public ce premier projet, alors même qu'il est susceptible d'évoluer de manière significative. Cette démarche vise potentiellement à aider les organisations à suivre le processus de rédaction au fur et à mesure qu'elles développent leur conformité au RIA, et à souligner le caractère public, collaboratif et itératif de la démarche. À cet effet, le document note que « bien que le premier projet soit peu détaillé, cette approche vise à donner aux parties prenantes une orientation claire sur la forme et le contenu potentiels du code final ».

Enzai est là pour vous aider

La plateforme GRC d'IA d'Enzai peut aider votre entreprise à déployer l'intelligence artificielle conformément aux meilleures pratiques et aux réglementations, normes et cadres émergents, tels que le RIA de l'UE, la loi sur l'IA du Colorado, le NIST AI RMF et l'ISO/CEI 42001. Pour en savoir plus, contactez-nous ici.

Enzai est la plateforme leader de gouvernance de l'IA d'entreprise, spécialement conçue pour aider les organisations à passer d'une politique abstraite à une supervision opérationnelle. Notre plateforme de gestion des risques d'IA fournit l'infrastructure spécialisée requise pour gérer la gouvernance de l'IA agentique, maintenir un inventaire complet de l'IA et garantir la conformité au RIA de l'UE. En automatisant les flux de travail complexes, Enzai permet aux entreprises de faire évoluer l'adoption de l'IA en toute confiance tout en maintenant l'alignement avec les normes mondiales telles que l'ISO 42001 et le NIST.