Conformité AI Act : quelles preuves constituer, et qui les produit

Qui est concerné ?

Le règlement ne trie pas les entreprises par taille ni par secteur, mais par usage.

• Toutes les tailles. Il n'existe pas d'exemption pour les PME. Elles bénéficient d'allègements, comme une documentation simplifiée et des plafonds d'amendes plus bas, pas d'une dispense.
• Au-delà de l'Union. Le règlement s'applique aux déployeurs établis dans l'Union, et aux fournisseurs et déployeurs établis ailleurs dès que les résultats produits par le système sont utilisés dans l'Union (article 2). Une entreprise suisse, mauricienne ou américaine qui recrute, évalue ou sert des personnes dans l'Union est concernée.
• Tous les secteurs. Le haut risque se définit par l'usage (annexe III) : biométrie, infrastructures critiques, éducation, emploi et gestion des salariés, accès aux services essentiels (crédit, assurance santé et vie, prestations publiques), répression, migration, justice. Une chaîne d'hôtels qui trie des candidatures avec une IA est concernée au même titre qu'une banque. S'y ajoute l'IA intégrée à des produits déjà réglementés (annexe I), comme les machines ou les dispositifs médicaux.
• Hors champ. Les usages purement personnels, la défense et la sécurité nationale, la recherche scientifique menée pour elle-même.

La conformité de l'éditeur n'est pas la vôtre

Le règlement distingue le fournisseur, qui développe un système d'IA et le met sur le marché sous son nom, et le déployeur, qui l'utilise sous sa propre autorité (article 3). L'éditeur documente son produit. Vous répondez de l'usage que vous en faites. Les preuves de l'un ne couvrent pas les obligations de l'autre.

Cette page porte sur les preuves. Le détail des obligations, plateforme par plateforme, est dans notre guide AI Act : ce que doivent faire les entreprises qui utilisent Copilot, Agentforce ou Joule.

L'information prévue à l'article 50 doit être donnée au plus tard lors de la première interaction ou exposition. Les organismes publics, les entités privées fournissant des services publics et certains autres déployeurs doivent en outre conduire une analyse d'impact sur les droits fondamentaux avant de déployer un système à haut risque (article 27).

Une entreprise qui met un agent en service sous son propre nom peut aussi être fournisseur. Elle répond alors de l'article 50(1) : les personnes doivent savoir qu'elles s'adressent à une IA.

Ce qui rend une preuve opposable

Une preuve se juge à sa tenue dans le temps. Pour qu'un contrôleur l'accepte, elle doit être :

• datée : ce qui était vrai, et à quelle date ;
• attribuée : qui l'a constatée, avec son nom ;
• intacte : rien ne permet de la retoucher sans que cela se voie ;
• rattachée : à un système du registre des IA et à l'article qu'elle documente ;
• bornée : son périmètre est dit, y compris ce qu'elle ne couvre pas.

Des captures d'écran dans un dossier partagé ne remplissent aucune de ces conditions.

Qui produit quelles preuves

Dans le Cockpit, chaque preuve porte une date d'enregistrement et son auteur. Le rapport de vol mensuel est figé à sa publication et scellé par une empreinte qu'un tiers peut vérifier.

Ce que 56North ne fait pas

Nous ne délivrons pas de certification. Nous préparons un dossier de preuves prêt pour un contrôle, sur le périmètre des obligations de l'entreprise qui déploie des IA, notamment les articles 26 et 50. Nous ne l'appelons jamais certification.

Ce que coûte l'absence de preuve

Les manquements aux obligations des déployeurs (article 26) et aux obligations de transparence (article 50) exposent à des amendes jusqu'à 15 M€ ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, et le moins élevé pour les PME. Pour les pratiques interdites, le plafond est de 35 M€ ou 7 % (article 99). Pour situer ces échéances dans l'ensemble, voir Gouvernance IA.