L’EU AI Act est la première réglementation complète sur l’IA au monde, et ce n’est pas uniquement un problème pour l’équipe de conformité. Si vous faites partie d’une équipe de sécurité responsable de systèmes d’IA destinés aux utilisateurs européens, la loi introduit des obligations spécifiques qui relèvent directement de votre domaine.
Ce que l’EU AI Act exige réellement
La loi adopte une approche fondée sur les risques, classant les systèmes d’IA en quatre niveaux :
Risque inacceptable — interdit purement et simplement. Notation sociale par les gouvernements, identification biométrique à distance en temps réel dans les espaces publics (avec des exceptions limitées).
Risque élevé — fortement réglementé. IA utilisée dans les infrastructures critiques, les décisions d’emploi, la notation de crédit, l’application de la loi, l’éducation et les services essentiels. Ces systèmes sont soumis à des exigences obligatoires en matière de gestion des risques, de gouvernance des données, de transparence, de surveillance humaine et de sécurité.
Risque limité — obligations de transparence. Les chatbots, les deepfakes et les systèmes de reconnaissance des émotions doivent divulguer l’utilisation de l’IA.
Risque minimal — aucune obligation supplémentaire. Filtres anti-spam, IA dans les jeux vidéo et applications similaires à faible risque.
Les exigences relatives à la sécurité
Article 9 : Gestion des risques
Les systèmes à haut risque doivent disposer d’un système de gestion des risques comprenant une modélisation formelle des menaces, des évaluations des risques documentées couvrant les menaces adverses, des preuves de tests de sécurité et une surveillance continue des risques.
Article 10 : Gouvernance des données
Les ensembles de données d’entraînement, de validation et de test doivent répondre à des critères de qualité. Les implications en matière de sécurité incluent l’intégrité du pipeline de données, les contrôles d’accès aux ensembles de données d’entraînement, la provenance des données et la détection des biais et de l’empoisonnement.
Article 15 : Exactitude, robustesse et cybersécurité
C’est l’article phare pour les équipes de sécurité. Les systèmes d’IA à haut risque doivent atteindre « un niveau approprié d’exactitude, de robustesse et de cybersécurité » et être « résilients face aux tentatives de tiers non autorisés de modifier leur utilisation, leurs sorties ou leurs performances en exploitant les vulnérabilités du système ».
En termes pratiques : tests de robustesse adverses, évaluation de sécurité spécifique à l’IA, mesures de résilience contre l’empoisonnement des données et l’extraction de modèles, et surveillance continue.
Article 61 : Surveillance post-commercialisation
Les fournisseurs doivent établir des systèmes de surveillance post-commercialisation — surveillance continue de l’activité adverse, détection d’incidents, réévaluation régulière de la sécurité et documentation des événements et des réponses.
Calendrier
- Février 2025 — Les interdictions concernant les systèmes d’IA à risque inacceptable s’appliquent
- Août 2025 — Les obligations relatives aux modèles d’IA à usage général s’appliquent
- Août 2026 — Les obligations complètes pour les systèmes d’IA à haut risque s’appliquent
Ce que les équipes de sécurité devraient faire maintenant
1. Classifier vos systèmes d’IA
Travaillez avec les équipes juridiques et de conformité pour classifier chaque système d’IA selon les catégories de la loi. N’oubliez pas les systèmes d’IA fournis par des tiers.
2. Effectuer des évaluations de sécurité spécifiques à l’IA
Les tests de pénétration traditionnels ne couvrent pas les surfaces d’attaque de l’IA. Vous avez besoin de tests adverses couvrant les attaques par contournement, l’injection de prompts, l’empoisonnement des données, l’extraction de modèles et l’inférence d’appartenance. C’est à cela que servent les services AI red team.
3. Mettre en place une surveillance de sécurité de l’IA
L’article 61 exige une surveillance post-commercialisation. Votre SOC doit détecter les modèles de requêtes anormaux, les distributions d’entrées adverses, la dégradation des performances du modèle et les sorties inhabituelles. Les capacités AI blue team sont spécialement conçues pour cela.
4. Tout documenter
L’EU AI Act exige une documentation importante. Conservez les registres de gestion des risques, les résultats des tests, les configurations de surveillance, les enregistrements de réponse aux incidents et les preuves de remédiation.
5. Investir dans la formation
La loi s’attend à ce que du personnel compétent supervise les systèmes d’IA. Votre équipe de sécurité a besoin d’une formation sur les menaces spécifiques à l’IA et les méthodologies de test.
L’avantage de la plateforme
La gestion manuelle de la conformité à l’EU AI Act devient ingérable à grande échelle. La plateforme LittleData.ai fournit une classification automatisée des risques, un suivi de conformité article par article, une analyse des écarts, la génération de documentation, 56 supports de formation et un suivi du calendrier.
N’attendez pas
L’EU AI Act représente la réglementation sur l’IA la plus importante au niveau mondial. Les organisations qui commencent dès maintenant à développer des capacités de sécurité de l’IA seront prêtes lorsque les échéances arriveront. Celles qui attendent constateront qu’août 2026 arrive plus vite que prévu.
Besoin d’aide ? Contactez-nous pour discuter de vos systèmes d’IA et de vos exigences de conformité. Ou explorez la plateforme LittleData.ai pour un suivi automatisé de la conformité.