Conformité en matière d’IA et règlement sur l’IA

L'intelligence artificielle peut soutenir la recherche, la vérification des documents, la communication avec les clients et les contrôles opérationnels. Des exigences juridiques se posent à la fois dans le développement et dans l'utilisation de tels systèmes. Nous soutenons les entreprises dans la sélection, l'introduction et l'examen des applications d'IA et juxtaposons le règlement sur l'IA avec la protection des données, le droit des contrats, le droit d'auteur et les responsabilités opérationnelles.

Événements typiques de conseil

• Les employés utilisent l'IA générative avec les données du client, du personnel ou de l'entreprise.
• Une entreprise présente un chatbot, une sélection de candidats ou un système d'évaluation automatisé.
• Un fournisseur souhaite commercialiser un produit d'IA ou modifier substantiellement une solution existante.
• L'IA vise à évaluer les preuves d'inconduite, de transactions ou de risques commerciaux.
• Les termes et conditions restent ouverts, comme les données d'entrée, de sortie ou de formation à utiliser.

Déterminer d'abord le rôle, le système et le but

Les exigences dépendent du fait que l'entreprise agit, par exemple, en tant que fournisseur, déployeur, importateur ou distributeur. La description utilisée dans le contrat n'est pas déterminante à elle seule. L'image de marque, les modifications ou un nouvel objectif peuvent changer le rôle juridique. Un inventaire d'IA devrait identifier les systèmes utilisés, leurs fournisseurs, les domaines d'utilisation, les types de données, les groupes d'utilisateurs et les personnes responsables.

Les catégories juridiques et les règles d'application spéciales sont ensuite examinées. Il s'agit notamment des pratiques interdites, de la classification comme IA à risque élevé, des obligations de transparence et, le cas échéant, des spécifications pour les modèles à but général. Toutes les applications d'IA ne sont pas un système à haut risque. Inversement, une petite entreprise ne supprime pas automatiquement les obligations pertinentes.

Règlement AI: différents délais d'application

Le règlement (UE) 2024/1689 doit être lu conjointement avec ses amendements. Le règlement omnibus numérique sur l'IA (UE) 2026/1744 est entré en vigueur le 27 juillet 2026. En particulier, les délais initialement prévus pour l'IA à haut risque ont été ajustés.

• De nombreuses dispositions du règlement AI sont en vigueur depuis le 2 août 2026; certaines dispositions étaient déjà soumises à des dates antérieures.
• Les exigences relatives aux IC à haut risque énoncées à l'annexe III, visées à l'article 113, s'appliquent en principe jusqu'au 2 décembre 2027.
• Les exigences correspondantes en matière d'IA à haut risque liées aux produits, conformément à l'article 6, paragraphe 1, et à l'annexe I, s'appliquent en principe au 2 août 2028.
• Les systèmes de stocks et les obligations individuelles en matière de transparence peuvent faire l'objet de règles transitoires spécifiques.

Une période plus longue pour certaines obligations à risque élevé ne l'emporte pas sur d'autres règles déjà applicables. La protection des données, la protection de la discrimination, le secret et les obligations contractuelles doivent être respectés indépendamment. Pour un projet concret, nous créons un aperçu des exigences et des échéances adaptées au rôle et au système.

Protection des données et droits des travailleurs

Pour les entrées personnelles, les données de formation et les dépenses, il convient de préciser la base juridique, la limitation des finalités, la minimisation et la conservation des données. Dans le cas des catégories de données spéciales, l'article 9 du RGPD doit être en outre vérifié. Le consentement ne résout pas toutes les questions; dans la relation de travail, leur caractère volontaire doit être particulièrement pris en considération. Une évaluation de l'impact sur la protection des données peut être nécessaire si le traitement est susceptible d'entraîner un risque élevé.

Dans ses conditions, l'article 22 du RGPD concerne exclusivement les décisions automatisées ayant un effet juridique ou tout aussi significatif. Il ne s'agit pas d'une interdiction générale de l'automatisation. Une simple confirmation humaine formelle ne suffit pas pour accepter une véritable décision humaine. Dans le cas des logiciels de personnel, les droits d'AGG et de participation du comité d'entreprise doivent également être examinés.

Transparence, contrôle humain et qualité

Les utilisateurs doivent savoir pour quelles tâches une application est libérée et où ses limites se situent. Dans le cas des chatbots et de certains contenus synthétiques, il peut exister des exigences légales en matière de transparence ou d'étiquetage. Les résultats doivent être examinés professionnellement, en fonction de l'utilisation prévue; une édition formulée de manière convaincante ne prouve pas leur exactitude.

Dans le cas d'un examen interne fondé sur l'IA, l'anomalie ne doit pas être considérée comme une preuve non vérifiée d'une violation de règle. Il faut tenir compte de la traçabilité, de la qualité des données, des taux d'erreur et des inconvénients éventuels. Les décisions concernant les employés et le suivi doivent reposer sur une base juridique et réelle solide.

Contrats, droits d'auteur et secrets commerciaux

Les conditions du fournisseur devraient couvrir les droits d'utilisation, la confidentialité, l'utilisation des données à des fins de formation, les mesures de sécurité, les sous-traitants, l'exportation de données et la résiliation du contrat. La question de savoir si un résultat d'IA est protégé par le droit d'auteur ou affecte les droits de tiers dépend de l'origine et de l'utilisation réelles. Une liberté totale de droits ne peut pas être dérivée uniquement de la production de machines.

Les questions de responsabilité dépendent, entre autres, du contrat, de la violation des obligations et des règles légales applicables en matière de responsabilité. La responsabilité ne disparaît pas du fait qu'une décision a été préparée par Amnesty International. Les secrets commerciaux et les informations sensibles ne devraient être introduits que dans les demandes approuvées et assorties de mesures de protection appropriées.

Nos services et résultats de travail possibles

• Inventaire de l'IA et rôle juridique et classification des risques.
• Aperçu des obligations applicables et des périodes de transition dans le cadre du projet.
• Examen des contrats d'IA, de cloud et de traitement des données.
• Politique d'entreprise pour permettre les applications, les données, les rejets et les contrôles.
• Surveillance juridique de la protection des données et, le cas échéant, évaluation de l'impact sur les droits fondamentaux.
• Formation pour une application responsable, le contrôle des résultats et l'escalade.

Questions communes

Les employés peuvent-ils utiliser les services d'IA disponibles gratuitement?

Il convient de clarifier cette question au moyen d'un règlement opérationnel. Le service, les types de données, les conditions d'utilisation et le but doivent être combinés. Un compte d'utilisateur privé ne fournit pas automatiquement les garanties nécessaires pour les données de l'entreprise.

Est-ce qu'un logiciel candidat présente un risque élevé d'IA?

Non, pas du tout. Tout d'abord, il est nécessaire d'examiner si un système d'IA existe au sens juridique et si les fonctions spécifiques sont couvertes par les règles pertinentes. Toutefois, il est particulièrement nécessaire de tester les candidats et les décisions du personnel.

Est-ce qu'un étiquetage à taux forfaitaire de tous les contenus est suffisamment généré par l'IA?

Un étiquetage forfaitaire ne remplace pas un examen de l'exigence spécifique de transparence. De même, une étiquette ne résout aucun problème de protection des données, de droit d'auteur ou d'inconduite du contenu.

Pouvons-nous avoir une seule application vérifiée d'abord ?

Oui. Pour un cas pilote, une description fonctionnelle, les conditions du fournisseur, les types de données utilisés, les groupes d'utilisateurs et l'utilisation prévue de la prise de décision sont utiles. Un processus d'essai et d'approbation ciblé peut être élaboré à partir de ce processus.

Base juridique et autres informations officielles

• Règlement (UE) 2024/1689 de l'AI
• Règlement omnibus numérique sur l'IA (UE) 2026/1744
• Commission européenne – Entrée en vigueur et échéances révisées
• Commission européenne – Aperçu de la loi sur l'IA
• DSGVO
• Loi générale sur l ' égalité de traitement

Statut juridique : 1er novembre 2026. La classification des faits concrets nécessite un examen des règlements et des circonstances applicables.

Thèmes connexes et prochaines étapes

• Protection des données et sécurité informatique
• Enquêtes internes
• Systèmes de gestion de la conformité
• Formations et ateliers

Demander conseil sur la page de contactC'est vrai. Décrivez brièvement votre demande et, si nécessaire, précisez les délais existants. La portée et la rémunération seront convenues avant la mise en service.