Système d'IA : la définition de l'AI Act et l'inventaire des usages

L'article 3, point 1, définit le système d'IA comme un système automatisé conçu pour fonctionner avec différents niveaux d'autonomie, qui peut faire preuve d'une capacité d'adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit des entrées qu'il reçoit la manière de générer des résultats (prédictions, contenus, recommandations ou décisions) pouvant influencer des environnements physiques ou virtuels.

Les lignes directrices publiées par la Commission le 6 février 2025 découpent cette définition en sept éléments. Ils ne doivent pas être cochés mécaniquement : la Commission demande d'apprécier chaque système d'après son architecture et son fonctionnement.

1. un système automatisé, qui fonctionne sur des machines ;
2. conçu pour fonctionner avec différents niveaux d'autonomie, c'est-à-dire avec une certaine indépendance par rapport à l'intervention humaine ;
3. qui peut s'adapter après son déploiement (cet élément est facultatif : un système qui n'apprend plus en service reste un système d'IA) ;
4. qui poursuit des objectifs, explicites ou implicites ;
5. qui déduit, à partir des entrées qu'il reçoit, la manière de générer des résultats : c'est l'élément décisif ;
6. des résultats tels que des prédictions, contenus, recommandations ou décisions ;
7. qui peuvent influencer des environnements physiques ou virtuels.

Ce qui n'est pas un système d'IA

Les mêmes lignes directrices décrivent quatre familles d'outils qui, en principe, sortent de la définition parce que leur capacité à « déduire » reste trop limitée :

Être un système d'IA ne suffit pas : encore faut-il que l'usage entre dans le champ du règlement. L'article 2 en exclut notamment :

• les systèmes mis sur le marché, mis en service ou utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale ;
• les systèmes et modèles développés et mis en service à la seule fin de recherche et de développement scientifiques ;
• les activités de recherche, d'essai et de développement avant la mise sur le marché ou la mise en service (les essais en conditions réelles restent encadrés) ;
• l'usage par une personne physique dans un cadre purement personnel et non professionnel ;
• les systèmes publiés sous licence libre et ouverte, sauf s'ils sont à haut risque ou relèvent des articles 5 (pratiques interdites) ou 50 (transparence).

À l'inverse, le règlement s'applique aux fournisseurs et déployeurs établis hors de l'Union dès lors que les résultats produits par le système sont utilisés dans l'Union. Un éditeur établi aux États-Unis qui vend un outil de tri des candidatures à des employeurs européens est donc fournisseur au sens du règlement, et l'employeur établi en France qui l'utilise est déployeur.

L'AI Act n'impose pas aux entreprises privées de tenir un registre de leurs systèmes d'IA. Seuls les déployeurs qui sont des autorités publiques doivent s'enregistrer dans la base de données de l'Union pour les systèmes à haut risque qu'ils utilisent (article 49). L'inventaire reste pourtant la première étape de toute démarche : c'est lui qui permet de classer chaque usage, de savoir quel rôle on y tient et quelles équipes former.

Où chercher

• les achats et les contrats : logiciels présentés comme « intelligents », « prédictifs » ou « génératifs » ;
• les fonctionnalités ajoutées aux logiciels déjà en place : de nombreux éditeurs intègrent un assistant ou un classement automatique par une simple mise à jour ;
• les outils génératifs utilisés par les équipes, avec ou sans accord de la direction (voir notre article sur le shadow AI) ;
• les développements internes : modèles entraînés par les équipes de données, automatisations construites sur un modèle d'IA à usage général ;
• les prestataires qui utilisent l'IA pour votre compte, par exemple un cabinet de recrutement.

Que noter pour chaque usage