Si votre entreprise travaille avec des systèmes d'IA et que vous n'avez pris aucune mesure pour donner aux employés qui les utilisent des connaissances suffisantes, vous ne remplissez pas une obligation que le règlement sur l'IA impose aux fournisseurs et aux utilisateurs de systèmes d'IA. Le règlement appelle cela l'alphabétisation en IA : les employés doivent comprendre suffisamment ce qu'un système d'IA fait, où se situent ses limites et quels risques y sont associés, en fonction de leur rôle. En l'absence de cette mesure, une entreprise risque de ne pas pouvoir démontrer qu'elle satisfait à cette obligation au moment où une autorité de surveillance le lui demande.
Les conséquences concrètes que cela entraîne dépendent de la situation : de quel système d'IA s'agit-il, quel rôle joue l'entreprise et que trouve une autorité de surveillance lors d'une enquête. Nous ne pouvons pas faire de déclaration générale sur les amendes ou une approche fixe des autorités de surveillance, et ce n'est d'ailleurs pas l'objet de cet article. En revanche, nous pouvons décrire ce que l'obligation implique, qui la surveille et quels types de conséquences le règlement lui-même rend possibles.
Qu'implique précisément cette obligation
Le règlement sur l'IA fait la distinction entre différents rôles : celui qui développe ou met sur le marché un système d'IA, et celui qui l'utilise au sein de sa propre organisation. Pour les deux rôles, il existe une forme d'obligation de veiller à ce que le personnel qui travaille avec le système ou qui évalue ses résultats dispose de connaissances suffisantes. Cela ne signifie pas nécessairement une formation pour tout le monde ; le règlement laisse de la place pour une approche adaptée à la fonction, à l'expérience de l'employé et au risque du système utilisé. Ce qui est précisément suffisant n'est pas indiqué en chiffres ou en heures dans le règlement lui-même, et c'est pourquoi il est judicieux de consulter le texte officiel en cas de doute plutôt que de se fier à des hypothèses.
Pour les entreprises qui rencontrent cette obligation pour la première fois, il est utile de d'abord déterminer quels systèmes d'IA sont utilisés au sein de l'organisation et par qui. Cet inventaire est souvent le point de départ manquant, non l'information elle-même. Dans le base de connaissances par sujet est décrit comment cette obligation se rapporte à d'autres éléments du règlement, tels que la classification des risques d'un système.
Qui exerce la surveillance
Aux Pays-Bas, la surveillance du règlement sur l'IA est confiée à des autorités de surveillance qui peuvent varier selon le secteur et selon le type d'obligation ; quelle autorité de surveillance est compétente pour quel domaine n'est pas encore complètement clarifiée à ce stade pour chaque sujet. Au niveau de l'UE, il existe également une coordination entre les États membres. Pour l'état actuel des choses, nous renvoyons à l'autorité de surveillance compétente elle-même, et non à nos propres interprétations de qui est responsable de quoi.
Une autorité de surveillance peut demander une justification : quels systèmes d'IA sont utilisés, qui les utilise et comment ces employés ont-ils été préparés. Sans aucune documentation, c'est difficile à démontrer, même si dans la pratique, une attention réelle y est accordée. La documentation n'est donc pas seulement une question de cocher l'obligation, mais aussi de pouvoir expliquer ce qui a été fait.
Quelles conséquences peuvent en découler
Le règlement sur l'IA prévoit un système d'application avec des sanctions possibles, mais la hauteur et la forme de celles-ci dépendent de la nature et de la gravité de l'infraction, et de l'appréciation qu'une autorité de surveillance fait dans un cas particulier. Nous ne pouvons pas faire d'estimation de la probabilité qu'une entreprise spécifique soit contrôlée, ni de la hauteur d'une sanction éventuelle, et ce n'est d'ailleurs pas notre travail ; cela relève de l'autorité de surveillance et, pour l'interprétation du texte, d'un juriste.
En dehors du processus de surveillance, il existe des conséquences moins visibles mais qui se posent plus souvent en pratique : un maître d'ouvrage qui demande lors d'un appel d'offres comment la littératie en matière d'IA est organisée, un assureur qui pose la question lors d'une réclamation liée à un système d'IA, ou des collaborateurs qui ne savent pas trop ce qu'un système d'IA peut et ne peut pas décider. Ce dernier point touche aussi à la cogestion : lors de l'introduction d'un nouveau système d'IA, le conseil d'entreprise peut avoir un rôle à jouer, indépendamment de l'obligation de littératie en matière d'IA elle-même.
Ce que vous pouvez faire
Un bon point de départ est de dresser un inventaire des systèmes d'IA utilisés au sein de l'entreprise, de qui les utilise et quel niveau de risque y est associé. Sur cette base, il est possible de déterminer quelle forme d'information est appropriée, et ce n'est pas forcément compliqué. Avec quelques questions pour obtenir une indication de la situation de votre entreprise cela donne souvent déjà suffisamment d'orientation pour déterminer la prochaine étape.
Pour ceux qui veulent savoir comment d'autres entrepreneurs abordent la question, ou quelles questions reviennent souvent, la collection de questions fréquemment posées est un point de départ logique. Et ceux qui envisagent de formaliser cela de manière structurelle peuvent s'inscrire avec un compte professionnel pour suivre par obligation ce qui est déjà réglé et ce qui nécessite encore de l'attention.
Cette description est destinée à clarifier l'obligation, non pas à évaluer si votre entreprise s'y conforme. Pour cette évaluation, et pour l'explication du texte officiel appliqué à votre situation, un juriste ou l'autorité de surveillance compétente est le bon interlocuteur.
Voulez-vous d'abord vous faire votre propre idée de la situation de votre entreprise ? Le diagnostic rapide gratuit donne une première indication, et dans la base de connaissances, vous trouverez les sujets qui jouent souvent ensemble, du personnel et de l'IA aux contrats avec vos fournisseurs.