Règles du règlement européen sur l’IA pour les systèmes d’IA à double usage des sous-traitants de la défense

Systèmes d’IA à double usage et règles toujours applicables

Le règlement européen sur l’IA (AI Act) exclut totalement de son champ d’application, via l’article 2(3), les systèmes d’IA développés et utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale. Les systèmes à double usage ou à usage civil, y compris ceux utilisés dans les opérations commerciales courantes des sous-traitants de la défense, ne bénéficient pas de cette exclusion. Pour ces systèmes, la même logique de report s’applique que partout ailleurs : les obligations relatives aux systèmes à haut risque de l’annexe III sont repoussées à décembre 2027, mais les interdictions, les obligations liées aux modèles à usage général et les exigences de transparence n’ont jamais été reportées.

Le risque pour un sous-traitant consiste à croire qu’en raison de l’exclusion militaire, tous les systèmes d’IA qu’il utilise sont exemptés. Cette hypothèse ne tient plus dès qu’un système a une application civile ou à double usage : l’AI Act s’applique alors dans son intégralité, sans réel report. Cet article précise où se situe la limite et ce que les systèmes concernés doivent déjà respecter aujourd’hui.

Résumé exécutif

Les sous-traitants de la défense doivent tracer une frontière claire entre les systèmes d’IA réellement réservés à un usage militaire ou de sécurité nationale, qui échappent totalement à l’AI Act, et les systèmes à double usage ou à usage commercial général, qui restent soumis à toutes les obligations non reportées, notamment en matière de transparence et de modèles à usage général. Pour les responsables sécurité et conformité des programmes, la tâche consiste à classer chaque système d’IA selon cette frontière avant de supposer qu’il bénéficie d’un report ou d’une exclusion.

Résumé de points clés

1. L’IA strictement réservée à un usage militaire est, par conception, hors du champ d’application de l’AI Act (article 2(3)), et aucune discussion sur le report ne la concerne puisqu’elle n’a jamais été concernée.
2. Les systèmes d’IA à double usage et non spécifiques à la défense, utilisés par des sous-traitants de la défense (outils métiers, par exemple), restent pleinement concernés, report compris.
3. Seules les obligations de l’article III pour les systèmes à haut risque concernés ont été reportées, pas l’ensemble de l’AI Act.
4. Les obligations de transparence prévues à l’article 50 n’ont pas été repoussées pour les systèmes concernés et sont déjà en vigueur.
5. Les pratiques d’IA interdites restent proscrites pour tout système concerné, quel que soit le calendrier des obligations à haut risque.

Ce que couvre réellement l’exclusion militaire

L’article 2(3) retire du champ d’application de l’AI Act les systèmes d’IA développés et utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale. Cette exclusion est plus restreinte qu’il n’y paraît.

L’exclusivité est le mot clé

Un système conçu et utilisé uniquement à des fins militaires ou de sécurité nationale est exclu. Un système également vendu ou déployé à des fins civiles, ou utilisé pour des fonctions commerciales courantes comme les RH ou la finance chez un sous-traitant de la défense, n’est pas couvert par l’exclusion simplement parce que le sous-traitant opère dans le secteur de la défense.

Les systèmes à double usage retombent dans le champ d’application

Dès qu’un système a une application non militaire, il est évalué selon les mêmes critères que tout autre système d’IA, y compris le calendrier de report applicable aux systèmes à haut risque réellement concernés.

Ce que le Digital Omnibus a réellement reporté pour les systèmes concernés

Pour les systèmes d’IA concernés, le mécanisme de report vise les obligations de l’article III pour les systèmes à haut risque, désormais repoussées à décembre 2027, car les normes techniques nécessaires à leur mise en œuvre n’étaient pas prêtes à temps.

Un report ciblé sur l’article III, pas une remise à zéro de l’AI Act

Tout ce qui ne relève pas de l’article III — interdictions, obligations liées aux modèles à usage général, exigences de transparence — suit le calendrier initialement prévu pour tout système concerné.

Ce qui est déjà en vigueur pour les systèmes concernés, report ou non

Les obligations de transparence et de divulgation, ainsi que celles concernant les fournisseurs de modèles d’IA à usage général, s’appliquent selon le calendrier initial de l’AI Act et n’ont pas été modifiées par l’Omnibus pour les systèmes non exclus par l’article 2(3).

Construire une gouvernance de l’IA autour de la frontière d’exclusion, pas sur une hypothèse

Pour un sous-traitant, la première étape consiste à classer chaque système d’IA selon l’exclusion militaire, puis à appliquer le calendrier d’obligations standard à tout ce qui n’en relève pas.

Comment un Data Control Plane contribue au respect des obligations de gouvernance de l’IA déjà en vigueur

Le Data Control Plane de Kiteworks applique des contrôles zero trust, basés sur la donnée, à chaque action effectuée par un utilisateur ou un agent d’IA sur tous les canaux, et enregistre chacune d’elles dans un journal d’audit infalsifiable et sans limitation, directement exploitable dans les outils SIEM. Les sous-traitants disposent ainsi d’un historique détaillé et interrogeable, conforme aux exigences actuelles de transparence pour leurs systèmes d’IA concernés.

Les sous-traitants qui souhaitent voir comment cela s’applique à leurs déploiements d’IA concernés peuvent réserver une démo personnalisée.