L’IA dans le secteur public et les exigences que personne n’a repoussées
Un accord politique a repoussé à décembre 2027 les obligations liées aux systèmes à haut risque de l’AI Act européen, concernant l’IA utilisée dans les services publics essentiels et les forces de l’ordre. Beaucoup d’agences considèrent alors que l’ensemble du règlement ne les concerne que l’an prochain. Cette lecture est erronée. Le report ne concerne qu’un chapitre précis du texte. Plusieurs autres obligations n’ont jamais été concernées et certaines s’appliquent déjà aujourd’hui au secteur public.
Le véritable risque ? Une agence qui suspend discrètement toute gouvernance de l’IA découvre trop tard que les exigences de transparence et les obligations pesant sur les fournisseurs d’IA à usage général n’ont jamais été reportées. Cet article explique ce que le report couvre réellement, ce qu’il laisse de côté et ce que cela implique pour la gouvernance de l’IA, qui doit déjà être engagée.
Résumé exécutif
L’amendement Digital Omnibus de l’AI Act européen a repoussé les obligations relatives aux systèmes à haut risque, actuellement jusqu’en décembre 2027, en raison de normes techniques inachevées. Ce report ne concerne pas les interdictions de pratiques prohibées, les obligations imposées aux fournisseurs de modèles d’IA à usage général, ni les exigences de transparence, dont plusieurs sont déjà en vigueur pour les agences aujourd’hui.
Résumé des points clés
- Seules les obligations du chapitre III sur les systèmes à haut risque ont été reportées, pas l’ensemble du texte. L’IA utilisée dans les services publics essentiels et les forces de l’ordre relève de l’annexe III, reportée à décembre 2027.
- Les obligations de transparence de l’article 50 n’ont pas été repoussées et s’appliquent déjà.
- Les obligations concernant les fournisseurs de modèles d’IA à usage général ne sont pas concernées par le report. De nombreux outils d’IA du secteur public reposent sur ces modèles.
- Les pratiques d’IA prohibées restent interdites, quel que soit le calendrier des systèmes à haut risque.
- La gouvernance mise en place dès maintenant pour la transparence et la documentation restera valable en cas de future classification à haut risque.
Ce que le Digital Omnibus a réellement reporté pour l’IA du secteur public
Le mécanisme de report a été introduit car les normes techniques nécessaires à la mise en œuvre des obligations à haut risque n’étaient pas prêtes à temps.
Un report ciblé sur le chapitre III, pas une remise à zéro du texte
Le report concerne l’évaluation de conformité et tout le régime de conformité applicable aux systèmes de l’annexe III, dont de nombreuses applications d’IA du secteur public. Tout ce qui ne relève pas de ce chapitre suit le calendrier initialement prévu par le texte.
Des dates butoirs existent précisément parce que les normes doivent encore évoluer
La nouvelle échéance sert de date limite, avec décembre 2027 comme terme maximal. Les régulateurs attendent des agences qu’elles poursuivent leur préparation durant cette période supplémentaire.
Ce qui s’applique déjà aux agences, report ou non
Plusieurs obligations échappent totalement au chapitre III et s’appliquent selon le calendrier initial.
Les obligations sur les modèles d’IA à usage général précèdent le report
Les fournisseurs de modèles d’IA à usage général, qui servent de base à de nombreux outils d’IA destinés aux citoyens, sont soumis à des obligations de documentation depuis avant la proposition du Digital Omnibus.
Les exigences de transparence et de divulgation sont déjà en vigueur
L’obligation d’informer les citoyens lorsqu’ils interagissent avec un système d’IA s’applique selon le calendrier d’origine du texte et n’a pas été modifiée par l’Omnibus.
Pourquoi considérer le report comme une pause coûte plus cher à terme
Une agence qui arrête toute gouvernance de l’IA abandonne des fondations qui auraient facilité le respect de l’échéance à haut risque.
Construire la gouvernance de l’IA sur ce qui s’applique déjà
La démarche concrète consiste à distinguer les obligations déjà en vigueur de celles qui relèvent d’un calendrier différé, et à prioriser immédiatement la gouvernance sur la première liste.
Comment un Data Control Plane soutient les obligations de gouvernance de l’IA déjà en vigueur
Le Data Control Plane de Kiteworks applique des contrôles zero trust, sensibles aux données, à chaque action réalisée par un utilisateur ou un agent IA sur tous les canaux, et consigne chacune d’elles dans un journal d’audit inviolable et sans limitation, qui alimente directement les outils SIEM, offrant ainsi aux agences l’historique détaillé et interrogeable exigé par les obligations de transparence actuelles.
Les agences souhaitant voir comment cela s’applique à leurs déploiements IA actuels peuvent réserver une démo personnalisée.
Foire aux questions
Le report concerne uniquement les obligations du chapitre III sur les systèmes à haut risque pour les catégories de l’annexe III, comme les services publics essentiels et les forces de l’ordre, repoussant leur application à décembre 2027.
Oui, les obligations de transparence de l’article 50 n’ont pas été repoussées et s’appliquent déjà aux déploiements d’IA du secteur public.
Oui, les obligations sur les fournisseurs de modèles d’IA à usage général ne sont pas concernées par le report, et de nombreux outils d’IA du secteur public reposent sur ces modèles.
Les pratiques interdites restent prohibées, les obligations de transparence sont en vigueur, et la gouvernance mise en place aujourd’hui pour la documentation sera utile pour la conformité à haut risque à venir.