La qualité et la sécurité de l’IA dans l’usine ne vont pas attendre 2027

Un accord politique repoussant les obligations liées aux systèmes à haut risque de l’AI Act européen à décembre 2027, et à août 2028 pour l’IA intégrée comme composant de sécurité dans des machines réglementées, a conduit de nombreux fabricants à considérer l’ensemble de la réglementation comme un « problème pour l’année prochaine ». Cette interprétation est erronée. Le report ne concerne que certains chapitres du texte. Plusieurs autres obligations n’ont jamais été concernées par ce délai, et certaines s’appliquent déjà aujourd’hui aux outils d’IA dédiés à la qualité et à la sécurité.

Le risque concret, c’est qu’un fabricant cesse discrètement toute démarche de gouvernance de l’IA, pour découvrir ensuite que les obligations de transparence et celles visant les fournisseurs de modèles d’IA à usage général — souvent utilisés sous les outils d’inspection qualité — n’ont jamais fait l’objet d’un report. Cet article précise ce que le report couvre réellement, ce qui reste inchangé, et ce que cela implique pour la gouvernance de l’IA, qui devrait déjà être engagée.

Résumé exécutif

L’amendement Digital Omnibus à l’AI Act européen a repoussé les obligations relatives aux systèmes à haut risque, actuellement à décembre 2027 pour les systèmes autonomes et à août 2028 pour l’IA intégrée comme composant de sécurité dans des machines réglementées, en raison de normes techniques inachevées. Ce report n’affecte pas les interdictions de pratiques prohibées, les obligations imposées aux fournisseurs de modèles d’IA à usage général, ni les exigences de transparence, dont plusieurs sont déjà contraignantes pour les fabricants aujourd’hui.

Résumé des points clés

• Seules les obligations du chapitre III sur les systèmes à haut risque et celles de l’annexe I sur les composants de sécurité intégrés ont été reportées, pas l’ensemble du texte.
• Les obligations de transparence prévues à l’article 50 n’ont pas été repoussées et sont déjà en vigueur.
• Les obligations concernant les fournisseurs de modèles d’IA à usage général n’ont pas été concernées par le report. De nombreux outils de qualité et de sécurité reposent sur ces modèles.
• Les pratiques d’IA interdites restent proscrites, indépendamment du calendrier des systèmes à haut risque.
• L’infrastructure de gouvernance mise en place aujourd’hui pour la transparence et la documentation restera valable en cas de future classification à haut risque.

Ce que le Digital Omnibus a réellement reporté pour l’IA qualité et sécurité

Le mécanisme de report a été introduit car les normes techniques nécessaires à la mise en œuvre des obligations pour les systèmes à haut risque n’étaient pas prêtes à temps.

Un report ciblé sur le chapitre III et l’annexe I, pas une remise à zéro du texte

Le report s’applique à l’évaluation de conformité et au régime de conformité complet auquel sont soumis les systèmes à haut risque et les composants de sécurité intégrés. Tout ce qui ne relève pas de ces catégories suit le calendrier initialement prévu par le texte.

Des dates butoirs fixées précisément parce que les normes doivent encore évoluer

Les nouvelles dates servent de limites maximales, 2027 et 2028 étant les échéances ultimes. Les autorités attendent des fabricants qu’ils poursuivent leur préparation pendant cette période.

Ce qui s’applique déjà aux fabricants, report ou non

Plusieurs obligations échappent totalement aux catégories reportées et s’appliquent selon le calendrier initial.

Les obligations liées aux modèles d’IA à usage général préexistaient au report

Les fournisseurs de modèles d’IA à usage général, qui sous-tendent de nombreux outils de surveillance qualité et sécurité, sont soumis à des obligations de documentation depuis avant la proposition du Digital Omnibus.

Les exigences de transparence et de divulgation sont déjà en vigueur

Les exigences concernant le contenu généré par l’IA et la divulgation des interactions avec l’IA s’appliquent selon le calendrier initial du texte et n’ont pas été modifiées par l’Omnibus.

Pourquoi considérer le report comme une pause coûtera plus cher plus tard

Un fabricant qui arrête toute démarche de gouvernance de l’IA abandonne les bases qui auraient facilité le respect des futures échéances pour les systèmes à haut risque.

Construire la gouvernance de l’IA sur la base des obligations déjà applicables

La démarche concrète consiste à distinguer les obligations déjà en vigueur de celles qui relèvent du calendrier différé, et à prioriser immédiatement la gouvernance sur la première liste.

Comment un Data Control Plane soutient les obligations de gouvernance de l’IA déjà en vigueur

Le Data Control Plane de Kiteworks applique des contrôles zero trust, sensibles aux données, à chaque action réalisée par un utilisateur ou un agent IA sur tous les canaux, et consigne chacune dans un journal d’audit inviolable et sans limitation, directement exploitable par les outils SIEM. Les fabricants disposent ainsi d’un historique détaillé et interrogeable, conforme aux exigences actuelles de transparence.

Les fabricants qui souhaitent voir comment cela s’applique à leurs déploiements IA actuels peuvent demander une démonstration personnalisée.