Périmètre
Un produit doté de plusieurs fonctions d’IA peut constituer un seul système ou plusieurs, et la réponse change ce que vous évaluez.
Niveau de risque
Qu’un usage soit à haut risque dépend de sa finalité et de son contexte, et la limite n’est pas toujours nette.
Rôle
Concevoir et utiliser l’IA n’entraînent pas les mêmes obligations, et affecter un outil à un nouvel usage peut modifier les vôtres.
Le socle commun
Lues côte à côte, ces règles demandent à peu près le même travail. Le cadre du NIST exige un inventaire de vos systèmes d’IA.1 L’EU AI Act impose aux déployeurs de systèmes d’IA à haut risque de confier la surveillance à des personnes formées et de conserver les journaux au moins six mois.2 Le Texas va jusqu’à prendre en compte le respect du profil IA générative du NIST pour écarter la responsabilité.3 Faites ce travail une fois, et chaque nouvelle règle ajoute des précisions, pas un nouveau programme.
Lesquelles de ces règles s’appliquent à nous ?
Cela dépend de l’endroit où votre IA est utilisée, de ce qu’elle décide et du fait que vous la développiez ou l’utilisiez. L’EU AI Act peut vous concerner où que vous soyez établi, si votre IA ou ses résultats sont utilisés dans l’UE. De nombreuses lois d’États américains visent l’IA utilisée dans des décisions concernant des personnes, comme le recrutement ou l’octroi de crédit. ISO 42001 et le NIST AI RMF sont volontaires. Commencez par un inventaire, puis classifiez chaque système.
Faut-il attendre que les règles se stabilisent ?
Attendre pour certains travaux liés au haut risque peut se justifier, car ces échéances européennes ont été repoussées à décembre 2027 et août 2028. Beaucoup d’autres règles s’appliquent déjà : les pratiques interdites et l’obligation de maîtrise de l’IA dans l’UE, ainsi que des lois au Texas, en Californie et à New York. Les clients demandent aussi des preuves selon leur propre calendrier. Les fondations sont en grande partie les mêmes d’un régime à l’autre : commencer maintenant n’est donc pas du temps perdu.
La certification ISO 42001 couvre-t-elle l’EU AI Act ?
Non. Un certificat, délivré par un organisme de certification accrédité, montre aux clients et partenaires comment vous gérez l’IA. Au titre de l’EU AI Act, la présomption de conformité découle des normes harmonisées publiées au Journal officiel de l’UE, ou des spécifications communes de l’UE. Les deux se recoupent sur l’évaluation des risques, les rôles et les registres : un même programme peut donc servir aux deux. Il faut toutefois vérifier chacun selon ses propres exigences.
Comment Enzai gère-t-il plusieurs référentiels ?
Chaque référentiel fait l’objet de sa propre évaluation d’un système d’IA de votre inventaire, et les risques du système sont réunis dans un seul registre. Partez de référentiels prêts à l’emploi comme l’EU AI Act et ISO 42001, ou créez les vôtres, pour le NIST AI RMF ou une loi d’État. Lorsque deux référentiels posent la même question, votre équipe décide si une seule réponse vaut pour les deux.
