AI Act : les nouvelles obligations de transparence de l'IA entrent en vigueur le 2 août 2026

À compter du 2 août 2026, les obligations de transparence prévues par l'article 50 de l'AI Act entreront en application dans l'Union européenne. Pour accompagner cette échéance, la Commission européenne a publié des lignes directrices précisant les responsabilités des fournisseurs et des déployeurs de certains systèmes d'intelligence artificielle. Elles détaillent notamment les règles applicables aux systèmes interactifs, aux contenus générés par IA, aux agents IA et aux deepfakes.

La Commission européenne précise les obligations de transparence de l'AI Act

Les lignes directrices visent à faciliter l'application des obligations de transparence prévues par l'article 50 de l'AI Act. Elles concernent notamment les systèmes d'IA interactifs, les contenus générés ou modifiés par intelligence artificielle et les contenus synthétiques.

Les fournisseurs devront concevoir leurs systèmes de manière à informer clairement les utilisateurs lorsqu'ils interagissent avec une intelligence artificielle. Ils devront également mettre en œuvre des mécanismes permettant d'identifier les contenus générés ou manipulés par IA grâce à un marquage lisible par machine.

Les déployeurs, de leur côté, devront informer les personnes lorsqu'elles sont exposées à certains systèmes de reconnaissance des émotions ou de catégorisation biométrique, à des deepfakes, ainsi qu'à certains textes générés par IA portant sur des sujets d'intérêt public lorsqu'ils ne font pas l'objet d'une relecture humaine ou d'un contrôle éditorial, sauf dans les cas d'exemption prévus par le règlement.

Les lignes directrices apportent des précisions sur les agents IA

Les lignes directrices clarifient également la manière dont les obligations de transparence s'appliquent aux agents IA, désormais explicitement cités aux côtés des chatbots et des avatars parmi les systèmes devant informer les utilisateurs qu'ils interagissent avec une intelligence artificielle.

Des processus de contrôle appelés à prendre davantage d'importance

Au-delà des nouvelles obligations européennes, ces évolutions s'inscrivent dans un contexte de diffusion rapide de l'intelligence artificielle dans les métiers du patrimoine. Dans son dernier bulletin, Christophe Tunica estime que l'enjeu ne réside plus uniquement dans le choix de l'outil d'IA, mais dans les processus de contrôle qui encadrent son utilisation. Il recommande notamment de distinguer le travail préparatoire réalisé avec l'IA de la validation finale engageant la responsabilité du professionnel, en prévoyant une relecture humaine et une vérification systématique des sources avant toute diffusion.

Lire aussi : IA : concentrez-vous sur le « dernier kilomètre »

Les usages des agents IA progressent dans la gestion de patrimoine

Cette évolution réglementaire intervient alors que les usages des agents IA se développent dans le secteur financier. Le gestionnaire de patrimoine américain Mariner, qui conseille environ 630 milliards de dollars d'actifs, a ainsi annoncé le déploiement d'au moins 700 agents IA pour automatiser des tâches telles que l'intégration des clients, l'ouverture de comptes, les contrôles de conformité, le reporting ou encore la facturation.

L'entreprise précise que ces déploiements ont vocation à assister les conseillers, qui conservent la responsabilité de la relation client, du jugement et des décisions.

En parallèle, la FINRA définit les agents IA comme des systèmes capables de planifier, décider et agir de manière autonome, tout en soulignant plusieurs points de vigilance, notamment l'autonomie des systèmes, leur auditabilité, la sensibilité des données traitées et le risque d'hallucinations.

Une nouvelle étape dans l'encadrement de l'intelligence artificielle

Avec l'entrée en application des obligations de transparence de l'AI Act, l'Union européenne précise le cadre applicable aux systèmes d'IA interactifs, aux contenus générés par intelligence artificielle et aux agents autonomes.

Ces lignes directrices apportent des précisions opérationnelles sur les obligations qui s'imposeront aux fournisseurs et aux déployeurs à partir du 2 août 2026. Une période de grâce est toutefois prévue jusqu'au 2 décembre 2026 pour l'obligation de marquage des contenus générés (article 50§2), applicable uniquement aux systèmes déjà mis sur le marché avant le 2 août 2026.

‍

‍

Complément de lecture, nous avions suivi ce dossier et publié en avril 2024 :

La régulation de l’IA jusque dans ses racines

L’IA Act se focalise sur deux cibles. Tout d’abord, la règlementation européenne vise le système d’intelligence artificielle ("SIA"). Ce système est défini à l’art. 3, pt 1 "un système automatisé conçu pour fonctionner à différents niveaux d'autonomie, qui peut faire preuve d'une capacité d'adaptation après son déploiement et qui, pour des objectifs explicites ou implicites, déduit, à partir des données d'entrée qu'il reçoit, la manière de générer des résultats tels que des prédictions, du contenu, des recommandations ou des décisions (…)". Il existe de nombreux systèmes d’intelligence artificielle, ex. : ChatGPT, Midjourney, Copilot. Le règlement classifie ces systèmes en se fondant sur l’analyse des risques. En ce sens, un SIA peut présenter un risque : inacceptable, élevé, limité, minimal. Plus le risque associé à un SIA est élevé et plus son encadrement sera rigoureux voire interdit.

Ensuite, la règlementation européenne cible les modèles d’IA à usage général. Ce modèle est défini à l’art. 3, pt 63 comme : "un modèle d'IA, y compris lorsque ce modèle d'IA est entraîné à l'aide d'un grand nombre de données utilisant l'auto-supervision à grande échelle, qui présente une généralité significative et est capable d'exécuter de manière compétente un large éventail de tâches distinctes, indépendamment de la manière dont le modèle est mis sur le marché, et qui peut être intégré dans une variété de systèmes ou d'applications en aval, (…)". Il s’agit concrètement de modèles de fondation susceptibles d’être utilisés pour élaborer des systèmes d’IA.

Là encore, les modèles d’IA à usage général sont soumis à un encadrement fondé sur le risque. L’IA Act prévoit ainsi une catégorie particulière de modèle d’IA qui présenterait un risque systémique pour l’Union et qui font donc l’objet d’un encadrement plus soutenu.

La liste des pratiques interdites dans l'IA

Les institutions européennes ont identifié une liste de pratiques interdites dans l’IA (art. 5). Tout SIA qui a recours à ces pratiques est considéré comme présentant un risque inacceptable. En conséquence, un tel SIA ne pourra pas être mis sur le marché, mis en service dans l’Union européenne. Pour illustrer le propos, sont interdits par le règlement, les SIA qui exploitent des vulnérabilités humaines tels que l’âge, le handicap, la situation économique ou sociale, d’une personne physique (art. 5, pt 1, b). Sous ce niveau se trouve le risque élevé. L’IA Act a retenu à titre principal deux cheminements intellectuels pour caractériser un SIA à haut risque. Conformément au premier, le SIA est à haut risque s’il est le composant de sécurité d’un produit couvert par une législation d’harmonisation mentionnée à l’Annexe I (art. 6, pt 1, a). Outre le respect de ces deux critères, le produit couvert par le règlement ou le SIA constituant un tel produit devra être soumis à une évaluation de conformité effectuée par un tiers (art. 6, pt 1, b).

Le SIA à haut risque : identification, gestion des risques et contrôle humain

Le second cheminement consiste à considérer que le SIA est par principe à haut risque s’il est mobilisé pour réaliser l’une des tâches dans un domaine à risque tel que l’éducation ou l’emploi (art. 6, pt 2). La mise sur le marché (ou en service) d’un SIA à haut risque est autorisée sous réserve de respecter plusieurs exigences dont certaines portent directement sur la conception et le développement du SIA et intéressent particulièrement le fournisseur du SIA. Le SIA à haut risque doit être conçu avec une transparence suffisante pour que les utilisateurs professionnels ("déployeurs") puissent l’utiliser de manière appropriée et interpréter les résultats (art. 13, pt 1). Des considérations relatives à la sécurité et à la fiabilité du SIA à haut risque doivent être pris en compte et intégrés par son fournisseur. Il doit ainsi concevoir son SIA à haut risque avec un niveau approprié d’exactitude, de robustesse et de cybersécurité (art. 15). Parallèlement, il doit mener un travail d’identification et de gestion des risques gravitant autour de sa création (art. 9). Le SIA devra également permettre le contrôle humain (art. 14).

Lire aussi : Les conséquences de l'IA sur le marché du travail

Un cadre de gouvernance des données

Le fournisseur devra se doter d’un cadre de gouvernance des données assurant que les jeux de données d’entrainement, de validation et de tests, ont une qualité suffisante pour répondre à la destination du système (art. 10). Le respect de ces exigences devra être vérifié au moyen d’une évaluation de conformité (art. 43). Outre, cette première série d’exigence, le fournisseur est tenu d’apposer sur le SIA ou si ce n’est pas possible, sur son emballage ou la documentation : son nom, sa raison sociale ou sa marque déposée et son adresse de contact (art. 16, b). Après avoir respecté toutes les obligations, le fournisseur peut mettre sur le marché ou en service son SIA, mais il devra surveiller la conformité de son système (art. 72) et prendre des mesures correctives en cas d’irrégularité (art. 20). Nonobstant, la conformité et la sécurité du SIA sont des sujets qui concernent tous les maillons de la chaine d’approvisionnement du SIA. L’importateur et le distributeur deviennent des sentinelles chargées de vérifier que le fournisseur a rempli ses obligations (art. 23 pour l’importateur et 24 pour le distributeur). Lorsqu’ils décèlent un manquement, ces derniers s’abstiennent de mettre sur le marché (ou en service) dans l’UE le SIA à haut risque. Si le SIA est déjà mis sur le marché au moment où la non-conformité apparaît, ils devront prendre des mesures correctives pour remédier à l’irrégularité (mise en conformité, retrait, rappel ou mise hors service).

Une attention particulière est également demandée à l’importateur et au distributeur qui ne doivent pas altérer la conformité du SIA avec de mauvaises conditions de transport ou de stockage (art. 23 et art. 24).

Tous les opérateurs de la chaine d’approvisionnement ont également l’obligation de signaler aux autres opérateurs économiques et aux autorités de surveillance du marché, le risque significatif du SIA à haut risque pour les droits fondamentaux, la sécurité ou la santé (art. 20, pt 2 pour le fournisseur, art. 23, pt 2 pour l’importateur et art. 24, pt 2 et pt 4 pour le distributeur).

Le fournisseur d’un modèle d’IA à usage général doit le documenter (art. 53). Plus largement, il transmet toute information et documentation nécessaire à l’intégration de son modèle par un fournisseur de SIA à haut risque.

Source : Usinedigitale.fr

Lire aussi : Gestion d'actifs et IA : de l’importance de la gouvernance