Aller au contenu principal

Module 8 — Règlement européen sur l'IA et niveaux de risque

Le règlement 2024/1689, publié au Journal officiel de l'Union européenne en juillet 2024 et couramment nommé « AI Act », impose un cadre commun aux systèmes d'IA mis sur le marché européen. Ce module trace la pyramide de risque, place notre modèle de crédit dans cette pyramide, et détaille les obligations qui s'appliquent — sans transformer le lecteur en juriste, mais en lui donnant assez pour dialoguer utilement avec le service conformité.

Une pyramide en quatre niveaux​

Le règlement classe les systèmes en fonction du risque qu'ils font peser sur les droits et libertés.

Risque inacceptable — pratiques interdites. L'article 5 liste des usages purement et simplement prohibés sur le marché européen. Y figurent, entre autres, la notation sociale généralisée par une autorité publique, l'exploitation des vulnérabilités d'un groupe (âge, handicap, situation socioéconomique) pour provoquer un comportement, la reconnaissance des émotions au travail et dans l'éducation, la police prédictive fondée uniquement sur le profilage, et l'identification biométrique en temps réel dans l'espace public par les forces de l'ordre (avec des exceptions strictes).

Risque élevé. L'article 6 et les annexes III et I identifient huit domaines dans lesquels un système est considéré à haut risque. Parmi eux : la gestion des infrastructures critiques, l'éducation et la formation professionnelle, l'emploi (recrutement, évaluation), l'accès aux services essentiels publics et privés (dont le crédit à la consommation), les forces de l'ordre, la migration, l'administration de la justice, et les processus démocratiques. Le fil rouge Cetelinéa tombe explicitement dans cette catégorie — un système d'octroi de crédit à la consommation est nommément cité.

Risque limité. Systèmes qui interagissent avec des humains (chatbots), qui génèrent du contenu synthétique (deepfakes), ou qui reconnaissent des émotions dans des contextes non interdits. Obligation principale : transparence, l'utilisateur doit savoir qu'il interagit avec un système ou qu'un contenu est synthétique.

Risque minimal. Tout le reste — filtres anti-spam, jeux vidéo, moteurs de recommandation à faible enjeu. Aucune obligation spécifique, mais adhésion volontaire à des codes de conduite encouragée.

Un modèle de crédit à la consommation, à quel niveau ?​

L'annexe III cite précisément « les systèmes d'IA destinés à être utilisés pour évaluer la solvabilité de personnes physiques ou établir leur score de crédit, à l'exception des systèmes d'IA utilisés à des fins de détection de fraudes financières ». Notre modèle Cetelinéa entre dans le champ, avec deux conséquences.

Il est à haut risque, avec les obligations détaillées ci-dessous.

Il n'est pas interdit, à condition d'être conforme. Le règlement n'a jamais interdit l'IA dans le crédit ; il a exigé qu'elle soit documentée, supervisée, contestable.

Une exception à connaître : les systèmes utilisés à des fins de détection de fraudes financières sont explicitement exclus de la catégorie haut risque. Cetelinéa exploite un deuxième modèle pour détecter les fraudes à la carte bancaire — ce dernier ne relève pas des mêmes obligations.

Sept obligations pour un système à haut risque​

Résumées de la section 2 du règlement, les obligations qui pèsent sur le fournisseur d'un système à haut risque sont les suivantes.

Système de gestion des risques (article 9). Un processus documenté, itératif, tout au long du cycle de vie : identification des risques, mesure, atténuation, suivi. Ce n'est pas un document unique produit une fois, c'est un programme continu.

Données et gouvernance des données (article 10). Les jeux d'entraînement, de validation et de test doivent être « pertinents, représentatifs, exempts d'erreurs et complets » — formule optimiste que la pratique atténue, mais qui impose au minimum une fiche de jeu de données (module 6) et une politique d'examen des biais.

Documentation technique (article 11). Rédiger, avant la mise sur le marché, une documentation qui permet aux autorités d'évaluer la conformité. La fiche de modèle du module 6 en est la brique centrale.

Journalisation (article 12). Enregistrement automatique des événements pertinents pendant tout le cycle de vie, avec une granularité permettant la traçabilité.

Transparence et information des utilisateurs (article 13). Fournir aux utilisateurs professionnels — chez Cetelinéa, les conseillers — une notice d'emploi claire, précisant les capacités, les limites, le niveau d'exactitude attendu, et les circonstances d'usage prévues.

Supervision humaine (article 14). Le système doit être conçu pour permettre une supervision humaine effective — le module 7 en a présenté les modalités.

Exactitude, robustesse et cybersécurité (article 15). Performances stables face aux erreurs, cohérentes tout au long du cycle de vie, résilientes aux tentatives de manipulation. Un data poisoning ou une attaque adversariale doit être considéré et documenté.

À cela s'ajoutent, pour beaucoup de systèmes à haut risque, une évaluation de la conformité, un marquage CE, et un enregistrement dans une base de données européenne des systèmes d'IA.

Le calendrier d'application​

Le règlement est entré en vigueur le 1er août 2024, avec une application échelonnée.

  • 2 février 2025 : les pratiques interdites (article 5) sont applicables ; les organisations doivent avoir formé leur personnel à la « maîtrise de l'IA » (article 4).
  • 2 août 2025 : obligations relatives aux modèles d'IA à usage général (GPAI).
  • 2 août 2026 : entrée en application de la majorité des dispositions sur les systèmes à haut risque, y compris l'octroi de crédit.
  • 2 août 2027 : dispositions restantes, notamment pour les systèmes à haut risque intégrés dans des produits déjà régulés par le droit sectoriel.

Au moment de la rédaction de ce cours, la plupart des banques françaises finalisent leur documentation pour être conformes avant la date de 2026.

Portée hors Union​

Le règlement s'applique quel que soit le lieu d'établissement du fournisseur, dès lors que le système est mis sur le marché ou utilisé dans l'Union. Une entreprise californienne qui vend un système de recrutement à une entreprise française est soumise aux mêmes obligations qu'un fournisseur européen. Cette portée extraterritoriale est comparable à celle du RGPD et vise à éviter l'arbitrage réglementaire.

Corollaire moins connu : un fournisseur non européen doit désigner un mandataire établi dans l'Union, responsable de la conformité et interlocuteur des autorités.

Sanctions​

Le règlement prévoit trois niveaux d'amendes selon la gravité. Pratiques interdites : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Non-respect des obligations pour un système à haut risque : jusqu'à 15 millions ou 3 %. Informations trompeuses aux autorités : jusqu'à 7,5 millions ou 1 %. Ces montants sont volontairement calqués sur ceux du RGPD, avec une échelle légèrement plus haute pour les pratiques interdites.

En résumé​

  • Quatre niveaux — inacceptable, élevé, limité, minimal — dont seuls les deux premiers portent l'essentiel du poids réglementaire.
  • Un modèle de crédit à la consommation est explicitement à haut risque (annexe III) ; la détection de fraude, en revanche, ne l'est pas.
  • Sept obligations principales, du système de gestion des risques à la cybersécurité, qui se traduisent en artefacts déjà rencontrés dans les modules précédents.
  • Application échelonnée jusqu'en 2027, portée extraterritoriale semblable au RGPD, sanctions jusqu'à 7 % du chiffre d'affaires pour les pratiques interdites.

Module suivant : la protection des données personnelles qui alimentent ce système, avec le RGPD et son article 22 sur la décision automatisée.