Cette fois, c’est officiel. Mercredi 13 mars, le Parlement européen a adopté l’AI Act, dont le texte avait été finalisé en décembre. Il encadre le développement et l’utilisation de l’intelligence artificielle par les entreprises. Si le texte ne devrait pas s’appliquer en intégralité avant 2026, certaines mesures pourraient être mises en place bien plus rapidement. Le cabinet Wavestone estime ainsi probable que les IA dont le risque serait jugé « inacceptable » au regard des critères définis par l’AI Act ne puissent plus être commercialisées dès la fin 2024. Les entreprises vont donc devoir vite se préparer à l’application de l’AI Act. Mais comment ?
(In)former
Première étape nécessaire : l’acculturation des équipes. « Former, sensibiliser, acculturer les acteurs (développeurs et opérateurs de systèmes d’IA, mais également DPO , DSI , RSSI , audit interne, métiers, administrateurs, etc.) à l’IA, aux risques liés à l’IA et aux moyens de maîtrise de l’IA », liste Vincent Maret, associé KPMG, spécialiste de l’IA de confiance dans une note dédiée à l’AI Act. « Cela comprend la formation technique des développeurs et la sensibilisation éthique de tous les employés », précise de son côté Adrien Basdevant, avocat au barreau de Paris, dans une tribune publiée par Décideurs Magazine.
Certaines entreprises s’y sont déjà mises, d’autres traînent. Mais elles ne pourront pas repousser l’échéance trop longtemps. Car l’AI Act fait de la documentation liée à l’intelligence artificielle un élément-clé. « Elle doit détailler la conception, le déploiement et le fonctionnement des systèmes d’IA propres aux entreprises », rappelle Adrien Basdevant. Plus vite les équipes sont sensibilisées à ce devoir, plus elles auront le temps d’en comprendre les implications. Et de rassembler les éléments nécessaires à la création de la documentation adéquate.
Imaginer la gouvernance de l’IA en entreprise (et la mettre en place)
Qui sera chargé de faire appliquer l’AI Act au sein de l’entreprise ? La réponse n’est pas si simple. Car, contrairement au RGPD, « l’AI Act ne donne aucune exigence ou indication en termes de gouvernance« , prévient Vincent Maret. Les entreprises ne peuvent pas s’attendre à suivre une procédure toute faite pour se conformer au texte. Elles vont devoir innover : « tout est donc à créer en la matière, en termes de rôles et responsabilités, d’instances de pilotage et de validation, de processus et de documentation ».
Personne référente, équipe pluridisciplinaire pour associer compétences juridiques et techniques, relais en conseil d’administration… Plusieurs solutions sont imaginables, selon la taille et les besoins de l’entreprise. Et la temporalité nécessaire à la mise en place de la solution choisie. Car il faudra être efficace pour ne pas prendre de retard, les projets d’IA se multipliant dans les entreprises.
Cartographier ses IA
Ensuite, place à la pratique. Que les entreprises soient créatrices ou utilisatrices d’IA, elles passeront par la case inventaire. « Il s’agit de cartographier les IA que l’entreprise développe ou déploie (déjà en place, en cours et à venir), de les classifier au regard des risques encourus (notamment les IA à « haut risque ») et d’en déduire les exigences à respecter au regard de cette classification », détaille Vincent Maret. C’est une étape à la fois cruciale et exigeante. Pour les IA présentant les risques les plus importants, « cela inclut la documentation technique, les procédures de test et la démonstration de respect des exigences en matière de transparence, de sécurité des données et d’impact sociétal », énumère Adrien Basdevant. De plus, « cette démarche doit être considérée au niveau de chaque système ou modèle d’IA, plutôt que globalement au niveau de l’entreprise », ce qui la rend d’autant plus chronophage.
Il faudra pour cela associer différentes équipes et notamment les équipes métiers. Car le déploiement de l’IA au sein des entreprises s’est parfois fait de manière désordonnée, voire anarchique. Cette cartographie sera l’occasion de centraliser les informations liées aux IA – sans être une tentative de bridage des usages, dont dépend la future performance des IA.
Analyser les risques (et les réduire)
Une fois cette cartographie réalisée, reste ensuite à « évaluer les écarts entre les pratiques, processus, mesures de maîtrise des risques en place, d’une part, et les exigences de l’AI Act d’autre part », observe Vincent Maret. L’AI Act a associé une procédure spécifique à chaque niveau de risques. L’entreprise se doit donc de suivre la procédure adéquate. Le cabinet Wavestone a publié à ce sujet, en février, un « guide de mise en conformité à l’AI Act« , qui liste notamment les 10 étapes à suivre lorsqu’une entreprise développe ou utilise une IA à haut risque.
Investir dans des outils adaptés
Pour se simplifier la tâche, mieux vaut anticiper et se doter d’outils efficients, notamment en matière de gestion des données. « Un système complet de gestion des données est essentiel pour relever les défis de l’IA, affirme Georges Anidjar, directeur général Europe du Sud chez Informatica. Les entreprises qui s’appuient sur plusieurs produits de gestion des données pourraient se heurter à une dette technique, interrompre la chaîne d’approvisionnement des données et rendre la mise en conformité beaucoup plus coûteuse et chronophage. »
