Celui qui cherche une liste fixe de documents pour le règlement sur l'IA sera déçu : cette liste unique n'existe pas. Ce que le règlement demande dépend du rôle que votre entreprise joue dans le système d'IA que vous utilisez ou proposez. Une entreprise qui achète un chatbot clé en main ou un filtre de candidatures conserve généralement des pièces différentes d'une entreprise qui développe elle-même un tel système ou le commercialise sous son propre nom.
Cette distinction est précisément le détail d'où provient la plupart de la confusion. Le règlement parle du fournisseur d'un système d'IA et de l'utilisateur responsable qui met en œuvre le système. Pour la plupart des PME du secteur de l'électronique et de l'ICT, c'est le second cas qui s'applique : elles utilisent l'IA dans leur propre organisation, mais n'ont pas elles-mêmes construit le système. La liste de documents qui y correspond est plus courte et porte essentiellement sur la façon dont vous utilisez le système, pas sur la façon dont il a été construit.
Documents qu'un fournisseur rassemble
Une partie qui agit en tant que fournisseur constitue généralement un dossier autour du système lui-même : une description du but et du fonctionnement, la classification des risques qui a été appliquée, des données sur les données sur lesquelles le système a été entraîné ou testé, et une description des mesures de surveillance humaine. Pour la plupart des PME qui achètent de l'IA, ce n'est pas la liste qui s'applique à elles ; ces documents sont constitués par le fournisseur et ils sont liés au système, pas à votre entreprise. Néanmoins, il est utile de savoir que ces pièces existent, car une partie d'entre elles, vous devez les recevoir en tant qu'utilisateur.
Documents qu'un utilisateur responsable conserve
Si votre entreprise utilise un système d'IA construit par un tiers, votre dossier tourne essentiellement autour de trois types de pièces. Premièrement, le mode d'emploi et les informations que le fournisseur est tenu de fournir : à quoi le système est destiné, quelles sont ses limites et quelle catégorie de risque s'y applique. Deuxièmement, une documentation de la façon dont votre entreprise utilise réellement le système, y compris qui est responsable en interne de la surveillance humaine. Troisièmement, une documentation sur l'information que les collaborateurs ont reçue avant de commencer à travailler avec le système, ce dans quoi la cogestion peut également jouer un rôle. Ces trois catégories forment ensemble le dossier qu'un organisme de surveillance aimerait voir en premier lieu, s'il vous le demandait.
Ce que vous demandez à votre fournisseur de logiciels
Parce qu'une grande partie de votre dossier dépend de ce que le fournisseur fournit, il est judicieux de poser des questions ciblées à ce sujet avant de mettre un système en service. Demandez la classification des risques que le fournisseur a attribuée au système, le mode d'emploi en langage compréhensible, et les coordonnées en cas de problème avec le système. Si vous n'obtenez pas ces pièces ou si les réponses restent vagues, c'est en soi déjà une information : cela en dit long sur la manière dont le fournisseur aborde le règlement de manière mature. Un aperçu plus détaillé des questions que vous pouvez poser à un fournisseur de logiciels se trouve dans la base de connaissances avec des explications par sujet.
Pourquoi cela n'est pas indépendant du passeport numérique des produits
Les entreprises qui importent ou mettent sur le marché des équipements électroniques ou ICT font face, en plus du règlement sur l'IA, au passeport numérique des produits. Les deux réglementations demandent un dossier, mais ce ne sont pas des obligations que vous pouvez combiner en un seul document : le passeport concerne l'origine et la composition d'un produit physique, la documentation IA concerne le fonctionnement et l'utilisation d'un système. Il est néanmoins judicieux de structurer les deux dossiers de la même manière, afin de ne pas faire le même travail de recherche deux fois. Vous pouvez lire à quoi ressemble un tel dossier pour le passeport des produits dans la base de connaissances.
Comment vous l'ordonnez pour votre entreprise
L'essentiel est que vous déterminiez d'abord quel rôle votre entreprise joue dans chaque système d'IA en usage avant de commencer à dresser une liste de documents. Cela évite que vous ne consacriez du temps à des pièces qui relèvent du fournisseur, ou que vous ne manquiez justement les pièces qui relèvent de vous. Si vous doutez du rôle de votre entreprise dans un système spécifique, l'autorité de surveillance compétente ou un juriste est la partie appropriée pour l'évaluer ; ce texte donne un aperçu, pas un jugement sur votre situation.
Voulez-vous d'abord avoir une idée de la situation de votre entreprise, sans construire immédiatement un dossier ? Effectuez le diagnostic rapide gratuit via en quelques questions voir où vous en êtes, ou parcourez les sujets dans l'aperçu de tous les sujets par situation.