Se conformer à l'IA Act et au cadre réglementaire de l'IA

• Objectifs, champ d’application et structure de l’IA Act.
• Distinction entre système d’IA et modèle d’IA à usage général.
• Rôles de fournisseur, déployeur, importateur et distributeur selon les situations.
• Conséquences d’une modification du système ou de sa finalité.
• Articulation avec le RGPD, les règles sectorielles et les obligations existantes.
• Calendrier d’application, dispositions transitoires et évolutions des textes.

• Pratiques interdites et limites à examiner avant toute mise en œuvre.
• Critères de qualification des systèmes à haut risque.
• Finalité prévue, contexte d’utilisation et conditions des exceptions éventuelles.
• Obligations de transparence applicables à certains usages.
• Distinction entre obligations relatives aux modèles à usage général et obligations relatives aux systèmes qui les utilisent.
• Informations nécessaires pour argumenter et documenter la qualification.

Étude de cas : Qualifier plusieurs usages professionnels à partir de fiches descriptives, justifier l’analyse et identifier les cas nécessitant des informations ou une expertise supplémentaires.

• Obligations du fournisseur et du déployeur selon le système et le rôle de l’organisation.
• Exigences relatives aux risques, aux données, à la documentation et à la traçabilité.
• Supervision humaine, robustesse, exactitude et cybersécurité.
• Information des personnes, suivi de l’utilisation et traitement des incidents.
• Évaluations, enregistrements et analyses d’impact exigibles selon les situations.
• Informations à obtenir des fournisseurs et limites des engagements contractuels.

• Finalités, base légale et répartition des responsabilités sur les traitements.
• Minimisation des données, durée de conservation et conditions d’accès.
• Données sensibles, réutilisation des informations par les fournisseurs et transferts.
• Information des personnes et exercice de leurs droits.
• Décisions automatisées et conditions d’une intervention humaine effective.
• Analyse d’impact relative à la protection des données et articulation avec les autres analyses requises.

• Inventaire des systèmes, qualification des usages et identification des responsables.
• Analyse des écarts entre les exigences applicables et les éléments disponibles.
• Plan d’action : priorités, responsables, échéances et preuves attendues.
• Documentation des décisions et contrôles avant mise en service.
• Réexamen lors des changements et veille sur les textes et lignes directrices.
• Rôle d’ISO/IEC 42001 et d’ISO/IEC 23894 dans la structuration de la démarche, sans assimilation à une preuve automatique de conformité réglementaire.

Atelier de synthèse : Examiner le dossier d’un système IA, établir une liste de vérifications argumentée et préparer un plan d’action distinguant les obligations applicables, les preuves manquantes et les points à faire valider.