Obligations AI Act par secteur : ce que révèle la lecture croisée de ce dossier
Axel Morel · Fondateur & analyste, ProbansL'essentiel
PME et grand groupe bancaire ne sont pas rangés où l'intuition les attend. Ce que chaque pièce de ce dossier montre séparément, une fois recomposé, dessine un classement des charges de conformité que la taille de l'entreprise n'explique pas.
Ce dossier a traité, pièce après pièce, un cas distinct de l’AI Act : une PME industrielle qui achète un outil de tri de CV, un grand groupe bancaire qui construit son propre scoring de crédit, un assureur vie et santé qui tarife par IA, un éditeur SaaS qui déploie un chatbot client, et la réalité de la certification que le règlement organise réellement. Chacune de ces pièces a examiné une obligation en vase clos, propre à son cas. Aucune, prise isolément, n’a mis en évidence l’axe qui les traverse toutes.
- Classées par charge de conformité réelle plutôt que par taille d’entreprise, les cinq pièces de ce dossier dessinent un ordre contre-intuitif : la PME et l’éditeur SaaS, les deux structures les plus petites de ce dossier, portent les obligations les plus légères ; la banque et l’assureur, les deux plus grandes, portent la charge la plus lourde.
- Cet ordre ne s’explique pas par la taille elle-même mais par une variable que chaque pièce mentionne sans jamais la nommer comme le facteur commun : le statut de fournisseur ou de déployeur au sens du règlement, associé à la taille dans les quatre cas traités ici, corrélation observée sur un échantillon de quatre cas, causalité non établie.
- Cette lecture croisée gagne à être examinée à l’aune d’un principe qui vaut pour toute entreprise non couverte par les quatre cas de ce dossier : avant de supposer sa charge de conformité à partir de son secteur ou de son effectif, vérifier d’abord si elle construit le système d’IA en cause ou si elle l’achète, l’axe que ce dossier montre comme le plus déterminant des trois.
Un classement des charges qui suit le rôle, pas la taille
Ce que les données établissent. Reprenons les quatre cas dans l’ordre de charge de conformité, du plus léger au plus lourd. L’éditeur SaaS et son chatbot ne portent qu’une obligation de signalement, sans documentation technique ni évaluation de conformité. La PME industrielle, déployeuse d’un outil de recrutement édité par un tiers, porte des obligations de supervision et d’information plus étroites que celles de son éditeur. Le grand groupe bancaire, fournisseur de son propre système de scoring de crédit, porte l’intégralité des obligations de gestion des risques, de documentation technique et d’évaluation de conformité. L’assureur vie et santé, fournisseur de son système de tarification, porte la même charge complète, avec en plus une vigilance particulière sur les données de santé traitées.
Mon interprétation. Si l’on classait ces quatre cas par seul effectif, l’ordre attendu placerait la PME en tête des charges les plus légères et le grand groupe bancaire en tête des charges les plus lourdes, ce que ce dossier confirme en apparence. Mais l’article sur la PME et l’article sur la banque ne le disent pas pour la même raison : la PME est légère parce qu’elle est déployeuse, pas parce qu’elle est petite. Une startup qui développerait et vendrait son propre moteur de scoring de crédit à des banques porterait, malgré sa petite taille, la charge complète de fournisseur décrite dans le cas bancaire de ce dossier. À l’inverse, un grand groupe industriel qui achèterait le même outil de recrutement que la PME de ce dossier resterait déployeur, avec la même charge allégée, malgré son effectif bien supérieur.
Ce que cela change pour lire une obligation AI Act non couverte par ce dossier
Extrapolation prudente. Ce dossier ne couvre que quatre combinaisons de secteur, de taille et de système. Une entreprise dans une configuration différente, un cabinet de conseil qui développe son propre outil d’aide à la décision, une collectivité qui achète un système de gestion des files d’attente, ne peut pas déduire sa charge de conformité de son secteur seul. La question la plus prédictive, d’après la lecture croisée de ce dossier, n’est pas « à quel secteur est-ce que j’appartiens » ni « quelle est ma taille », mais « ai-je construit ce système ou l’ai-je acheté », une question que l’article sur la certification pose en creux en rappelant qu’aucun tiers ne vient de toute façon valider la réponse : c’est à l’entreprise elle-même de la documenter, quel que soit son rôle.
Mes réserves
Cette lecture croisée identifie un ordre entre quatre cas choisis pour représenter une diversité de secteurs, de tailles et de systèmes, pas un échantillon statistique de l’ensemble des entreprises concernées par l’AI Act. La corrélation entre taille et statut de fournisseur, réelle dans les quatre cas retenus ici, ne se généralise pas automatiquement à toute entreprise : certains grands groupes restent déployeurs sur la majorité de leurs systèmes d’IA achetés à des éditeurs spécialisés, et certaines petites structures développent et commercialisent elles-mêmes des systèmes d’IA à haut risque.
L’implication concrète : avant d’estimer sa charge de conformité AI Act à partir d’un comparable sectoriel, une entreprise gagne à établir d’abord, système par système, si elle en est fournisseuse ou déployeuse, la question qui a le plus pesé sur l’écart de charge observé entre les quatre cas de ce dossier.
Retour au dossier Les obligations de l’AI Act, secteur par secteur · Lire la Décision possible du dossier.
Lexique
- Fournisseur (AI Act)↗
- Entité qui développe un système d'IA ou le fait développer pour le mettre sur le marché sous son propre nom. Porte la charge la plus lourde du règlement : gestion des risques, documentation technique, évaluation de conformité, marquage CE, déclaration UE de conformité.
- Déployeur (AI Act)↗
- Entité qui utilise un système d'IA sous sa propre autorité dans un cadre professionnel, sans l'avoir développé. Ses obligations sont plus légères que celles du fournisseur : respect des instructions d'utilisation, supervision humaine, information des travailleurs concernés, remontée des incidents.
Développe une méthode d'analyse destinée à distinguer ce que les preuves établissent, ce qu'elles suggèrent et ce qu'elles ne permettent pas de conclure, puis à traduire cette distinction en décisions professionnelles.
Choix du sujet, direction de la rédaction, validation ou modification des sources, validation et retravail du texte et des illustrations : Axel Morel. Rédaction, choix des sources initiales et plan de rédaction initial : assistance IA.
Responsabilité éditoriale : Axel Morel. Recherche et rédaction assistées par IA selon la méthodologie Probans, sources vérifiées avant publication. Charte éditoriale.
En savoir plus