Vous utilisez de l'IA sans en développer : les obligations du déployeur sous le RIA

Beaucoup d'entreprises se croient hors du champ du règlement européen sur l'intelligence artificielle au motif qu'elles ne développent rien : elles achètent des outils, les paramètrent et les utilisent. Le RIA les détrompe. L'utilisateur professionnel d'un système d'IA, que le texte nomme déployeur, supporte des obligations propres, particulièrement lorsqu'il exploite un système à haut risque. Une PME qui filtre des candidatures avec un outil du marché ou une fintech qui achète un scoring externe sont directement concernées. Sixième volet de notre série « Comprendre le RIA ».

L'essentiel en 30 secondes. Le déployeur utilise un système d'IA sous sa propre autorité dans un cadre professionnel. Pour un système à haut risque, l'article 26 lui impose d'utiliser le système conformément à sa notice, d'assurer une supervision humaine compétente, de contrôler les données d'entrée, de surveiller le fonctionnement, de conserver les journaux et d'informer les personnes concernées. Les employeurs informent travailleurs et représentants avant tout déploiement au travail. Certains déployeurs réalisent une analyse d'impact sur les droits fondamentaux avant la mise en service. Tous, quel que soit le risque, doivent favoriser la maîtrise de l'IA de leur personnel au titre de l'article 4, assoupli par l'omnibus IA de juillet 2026.

Utiliser conformément à la notice : le socle de l'article 26

Le déployeur d'un système à haut risque prend les mesures techniques et organisationnelles appropriées pour garantir une utilisation conforme aux notices d'utilisation fournies par le fournisseur. Cette obligation, banale en apparence, structure toute la responsabilité du déployeur : la notice définit la destination du système, ses limites, ses conditions d'usage. S'en écarter expose doublement, au titre du règlement et au titre de l'article 25 qui requalifie en fournisseur celui qui modifie la destination d'un système.

Le déployeur confie la supervision humaine à des personnes disposant des compétences, de la formation et de l'autorité nécessaires. Il ne s'agit pas d'une présence décorative : le superviseur doit comprendre les capacités et limites du système, pouvoir en interpréter les sorties et disposer du pouvoir de ne pas suivre une recommandation, de suspendre ou d'interrompre le système. Dans la mesure où il contrôle les données d'entrée, le déployeur veille à leur pertinence et à leur représentativité au regard de la destination du système. Il surveille le fonctionnement, suspend l'utilisation et informe le fournisseur et les autorités s'il a des raisons de considérer que le système présente un risque, et conserve les journaux générés automatiquement pendant au moins six mois.

Sur le lieu de travail : l'information préalable des salariés

Avant de mettre en service un système d'IA à haut risque sur le lieu de travail, l'employeur informe les travailleurs concernés et leurs représentants. Cette obligation s'articule avec le droit du travail existant, notamment les consultations du comité social et économique en France. Un outil de tri de candidatures, d'évaluation de la performance, d'affectation des tâches ou de surveillance de l'activité relève de l'annexe III : son déploiement sans information préalable cumule un manquement au RIA et un risque contentieux social. Les directions des ressources humaines qui s'équipent en outils d'IA doivent intégrer cette étape dans leurs projets, au même titre que l'analyse d'impact RGPD.

L'analyse d'impact sur les droits fondamentaux : pour qui ?

L'article 27 impose à certains déployeurs, avant la première utilisation d'un système à haut risque, une analyse d'impact sur les droits fondamentaux. Sont visés les organismes de droit public, les entités privées fournissant des services publics, et les déployeurs de systèmes d'évaluation de la solvabilité, de scoring de crédit et de tarification en assurance vie et santé. L'analyse décrit les processus dans lesquels le système sera utilisé, la période et la fréquence d'utilisation, les catégories de personnes concernées, les risques de préjudice spécifiques, les mesures de supervision humaine et les mesures à prendre si les risques se matérialisent.

Lorsqu'une analyse d'impact relative à la protection des données couvre déjà certains de ces éléments, l'analyse de l'article 27 vient la compléter, non la dupliquer. Les banques, assureurs et fintechs régulées ont donc intérêt à bâtir un canevas unique articulant les deux exercices, sujet que nous approfondissons dans le volet RIA et RGPD de cette série.

Informer les personnes concernées par les décisions

Le déployeur d'un système à haut risque qui prend des décisions concernant des personnes physiques, ou aide à les prendre, informe ces personnes qu'elles font l'objet de l'utilisation d'un tel système. Le règlement crée en outre un droit à l'explication des décisions individuelles : toute personne faisant l'objet d'une décision produisant des effets juridiques ou l'affectant significativement, prise sur la base des sorties d'un système à haut risque de l'annexe III, peut obtenir des explications claires et pertinentes sur le rôle du système dans la procédure décisionnelle. Les processus de recrutement, d'octroi de crédit ou d'admission doivent prévoir ce circuit d'explication.

Une conformité d'acheteur : contractualiser en amont

La position du déployeur présente une particularité : sa conformité dépend largement de son fournisseur. Notice complète, documentation, garanties de conformité, assistance en cas de contrôle, notification des incidents : autant d'éléments qui se négocient dans le contrat. Les questionnaires d'achat des grands comptes l'ont compris, qui font désormais remonter les exigences du RIA dans toute la chaîne de sous-traitance. Une PME avisée fait de même : audit des outils d'IA déjà déployés, clauses RIA dans les nouveaux contrats SaaS, registre interne des systèmes utilisés. Ce registre, croisé avec la cartographie des risques présentée dans le deuxième volet de cette série, constitue le socle d'une gouvernance IA proportionnée.

Vous déployez des outils d'IA dans vos processus RH, financiers ou clients ? Le cabinet audite vos usages, met vos contrats fournisseurs à niveau et structure votre gouvernance de déployeur. Prendre rendez-vous pour une consultation

Sources

• Règlement (UE) 2024/1689 du 13 juin 2024 (règlement sur l'intelligence artificielle)