Glossaire
Mis à jour
Que recouvre la conformité de l’IA ?
La conformité de l’IA est le volet de la gouvernance qui rend des comptes à des tiers extérieurs à l’organisation : régulateur, auditeur, client ou tribunal. Elle couvre les lois conçues pour l’IA, comme l’EU AI Act, et des lois plus anciennes qui s’appliquent aux usages de l’IA, comme le droit de la protection des données, de la consommation, du travail et de la non-discrimination. Elle couvre aussi les normes qu’une entreprise choisit d’appliquer, avec ou sans certification, et les clauses que les clients inscrivent dans leurs contrats.
Quelles règles s’appliquent à la plupart des entreprises ?
Cela dépend de vos pays d’activité et de ce que fait l’IA. Dans l’UE, les interdictions et l’obligation de maîtrise de l’IA prévues par l’AI Act sont applicables depuis le 2 février 2025, les obligations de transparence de l’article 50 depuis le 2 août 2026, et les obligations relatives aux usages à haut risque listés à l’annexe III s’appliquent à partir du 2 décembre 2027. Le RGPD s’applique dès que l’IA traite des données personnelles.
Aux États-Unis, aucune loi fédérale générale sur l’IA n’a supplanté les lois des États, et ceux-ci ont légiféré. La Local Law 144 de la ville de New York impose des audits de biais pour les outils d’IA de recrutement, la loi TRAIGA du Texas est en vigueur, et la loi SB 26-189 du Colorado s’applique à partir du 1er janvier 2027. Les banques sont aussi soumises à des recommandations sectorielles, comme la SR 26-2 aux États-Unis et la PRA SS1/23 au Royaume-Uni.
Des référentiels comme la norme ISO/IEC 42001 et le NIST AI RMF sont d’application volontaire, mais ils ne sont pas sans effet. La loi TRAIGA du Texas fait d’une conformité substantielle au profil IA générative du NIST l’une des conditions d’exonération de responsabilité. Notre guide des lois des États américains sur l’IA détaille les règles de chaque État.
En quoi la conformité diffère-t-elle de la gouvernance ?
La gouvernance de l’IA est la manière dont une organisation décide quelle IA utiliser et à quelles conditions. La conformité alimente ces décisions et en découle aussi. Un système peut être conforme à la loi et rester une mauvaise idée. Une gouvernance solide facilite aussi la conformité, car les preuves qu’un régulateur demande sont produites au fil des décisions, et non reconstituées après coup.
Comment démontrer la conformité ?
Les régulateurs et les auditeurs demandent des preuves. Pour chaque système d’IA, cela recouvre généralement quatre éléments : une fiche qui décrit le système et indique son responsable, une classification qui montre quelles règles s’appliquent, les contrôles exigés par chaque règle, avec un responsable et des preuves pour chacun, et une validation attestant que quelqu’un a examiné le résultat. Les mêmes preuves satisfont souvent plusieurs régimes, et la mise en correspondance des contrôles entre référentiels évite de faire le travail deux fois. Un référentiel de conformité traduit chaque loi ou norme en une liste de contrôles que vous pouvez attribuer.
Dans Enzai, vous menez sur chaque système d’IA une évaluation fondée sur un référentiel comme l’EU AI Act ou ISO 42001. La classification du système détermine les contrôles qui apparaissent, et chaque contrôle reçoit un responsable, une échéance et des preuves avant que l’évaluation ne soit terminée. Pour toute loi qui ne dispose pas d’un référentiel prêt à l’emploi, vous pouvez créer le vôtre. C’est à vos auditeurs et à vos régulateurs de juger de la conformité ; Enzai en conserve la trace. Voir Risques et conformité de l’IA.
Exemple
Un assureur qui commercialise des assurances santé en Irlande et au Colorado utilise le modèle d’un éditeur pour l’aider à fixer ses tarifs. En Irlande, il déploie un système à haut risque au sens de l’annexe III de l’EU AI Act : avant le 2 décembre 2027, il prévoit donc un contrôle humain assuré par du personnel formé, la conservation des journaux et une analyse d’impact sur les droits fondamentaux. Au Colorado, les décisions d’assurance relèvent de la loi SB 26-189 à partir du 1er janvier 2027 : ses juristes définissent donc les notifications et les registres que cette loi exige. L’assureur regroupe ces deux ensembles d’obligations dans une seule liste de contrôles, avec un responsable et des preuves pour chacun, afin qu’un examinateur puisse voir au même endroit toutes les obligations liées au modèle.