Le règlement européen sur l'IA fait peur à des entreprises qu'il concerne à peine, et laisse tranquilles certaines qu'il vise directement. Voici comment savoir de quel côté vous êtes, sans lire deux cents pages.
La bonne question n'est pas « utilisons-nous de l'IA »
Le règlement ne s'intéresse pas à la technologie employée mais à l'usage qui en est fait. Un même modèle peut relever d'obligations lourdes dans un cas et d'aucune dans un autre. Commencez donc par lister vos usages, pas vos outils : à quoi sert l'IA, sur quoi elle porte, et quelle décision elle influence.
Les usages qui font basculer en haut risque
Ils sont énumérés à l'annexe III, et la liste est plus courte qu'on ne le craint. Pour une PME, quatre cas reviennent : le tri ou l'évaluation de candidatures, l'évaluation ou la promotion de salariés, la décision d'accès à un crédit ou à une assurance, et l'accès à un service essentiel. Si aucun de vos usages n'y figure, l'essentiel des obligations ne vous concerne pas. S'il y en a un, il faut le traiter sérieusement - documentation technique, gestion des risques, supervision humaine, évaluation de conformité.
Le piège du « presque haut risque »
C'est là que se trompent la plupart des projets. Un outil qui aide à lire des candidatures n'est pas à haut risque tant qu'il se contente d'extraire et de restituer ce que les documents contiennent. Ajoutez-lui une note, un classement par pertinence ou une suggestion de short-list, et il bascule. La frontière ne tient donc pas à la technologie mais à une décision de conception, prise le plus souvent sans y penser. Nous préférons retirer la fonction que de basculer dans un régime dont le coût de conformité dépasse largement le gain de l'automatisation.
L'obligation qui vous concerne, elle, presque à coup sûr
L'article 50 impose de dire les choses : signaler à une personne qu'elle s'adresse à une machine, et marquer les contenus générés ou manipulés artificiellement. Elle s'applique quel que soit le niveau de risque, donc à un simple assistant de service client comme aux visuels d'un site. C'est peu coûteux à respecter, très visible quand on ne le fait pas, et c'est le premier endroit où l'on juge le sérieux d'une entreprise sur le sujet.
Ce qu'il faut produire, concrètement
Une liste de vos usages d'IA, avec pour chacun une qualification écrite : entre-t-il dans l'annexe III, et pourquoi. Trois lignes par usage suffisent lorsque la réponse est non. Ce document ne coûte presque rien à établir, il vaut infiniment mieux qu'une présomption, et il constitue la seule pièce que vous pourrez présenter si la question vous est posée. C'est exactement ce que nous produisons pour chaque système que nous construisons, y compris les nôtres.
À retenir
- Les obligations dépendent de l'usage, jamais de la technologie
- Quatre cas de l'annexe III concernent vraiment les PME : recrutement, évaluation des salariés, crédit, services essentiels
- Un score ou un classement par pertinence suffit à faire basculer un outil en haut risque
- L'article 50 - dire qu'on parle à une IA, marquer les contenus générés - s'applique à tout le monde
- Une qualification écrite de trois lignes par usage vaut mieux qu'une présomption