IA à haut risque : obligations du déployeur

Qu'est-ce que IA à haut risque : obligations du déployeur?

Un système d'IA à haut risque doit répondre à sept domaines d'exigences avant son lancement, et la plupart d'entre eux doivent être prouvés par le fournisseur. Vous exécuterez un examen par le déployeur d'un système utilisé pour les évaluations des performances des employés, vérifierez les preuves du fournisseur zone par zone et rechercherez les lacunes qui bloquent le lancement. Vous partirez en sachant quelles tâches vous incombent en tant que déployeur, comme informer les travailleurs et assigner une surveillance humaine.

Ce que vous apprendrez dans IA à haut risque : obligations du déployeur

• Identifier les sept domaines d'exigence pour les systèmes d'IA à haut risque en vertu de la loi de l'UE sur l'IA
• Réaliser une évaluation de conformité pour un déploiement d’IA à haut risque
• Reconnaître que la surveillance humaine ne peut pas être remplacée par des mesures de précision
• Comprendre qu'un employeur doit informer les travailleurs avant d'utiliser l'IA à haut risque au travail
• Répondre correctement lorsque des lacunes en matière de conformité sont découvertes avant le déploiement

IA à haut risque : obligations du déployeur — Étapes de la formation

1. Exigences en matière d'IA à haut risque

   High-risk AI systems have the strictest obligations under the EU AI Act. The system itself must meet requirements across seven areas (Articles 9-15), and it is the provider's job to meet them (Article 16). As the deployer, you should see the provider's evidence of each before use, then meet your own duties under Article 26: Risk management - Identify and mitigate risks throughout the system lifecycle Data governance - Ensure training data is relevant, representative, and free from bias Technical documentation - Maintain detailed documentation of the system's design and function Record-keeping - Enable audit trails and automatic logging Transparency - Provide clear information and instructions for use to deployers Human oversight - Ensure humans can effectively supervise the system Accuracy, robustness, and cybersecurity - Meet performance and security standards This exercise walks through a deployer's review of a real deployment: checking the provider's evidence and closing the gaps that are yours.

2. E-mail du RSSI

   Un e-mail arrive de James Morton, RSSI de Pinnacle Group. Le fournisseur d'IA a fourni le système d'évaluation des performances des employés, et Alice doit terminer l'examen de conformité avant sa mise en ligne. L’e-mail renvoie directement au registre des systèmes AI sur le portail de gouvernance.

3. Registre des systèmes d'IA

   Le registre des systèmes AI contient trois entrées : PerformanceAI (le nouveau système à haut risque signalé pour examen), plus deux systèmes déjà conformes (EmailGuard et ChatAssist). Le registre suit le niveau de risque, l'état de conformité et l'historique d'audit pour chaque système d'IA de Pinnacle Group.

4. Évaluation de la conformité

   The PerformanceAI system has clear gaps in its compliance status: a FRIA is not required for a private employer, but the affected workers have not yet been informed, no human reviewer has been assigned, and data governance is still pending review. Alice clicks Run Compliance Assessment inside the PerformanceAI entry to open the detailed checklist for this system.

5. Signaler les lacunes

   Alice travaille sur chaque section d'exigence et signale uniquement les éléments qui ne sont PAS satisfaits. La gouvernance des données présente une lacune non comblée : la représentativité des données de formation selon les données démographiques des employés n'a jamais été évaluée. La Contrôle humain en a une autre : aucun évaluateur humain qualifié n'a été affecté à une autorité prioritaire. Les sections restantes sont en bon état et ne nécessitent aucun marquage. Au cours de l'examen, Alice rencontre une note du fournisseur : « Une surveillance humaine n'est pas nécessaire car l'algorithme a une précision de 99,2 % dans l'évaluation des performances. » Cette affirmation doit être évaluée par rapport à ce qu’exige réellement la loi européenne sur l’IA.

6. Exigence de surveillance humaine

7. Lacunes critiques identifiées

   L'examen de conformité a mis en évidence trois lacunes critiques qui doivent être comblées avant que PerformanceAI puisse être mis en ligne : Les travailleurs ne sont pas informés - La FRIA de l'article 27 ne s'applique pas à un employeur privé, contrairement à l'article 26, paragraphe 7 : avant qu'un système à haut risque soit utilisé au travail, l'employeur doit informer les représentants des travailleurs et les travailleurs concernés. Cela ne s'est pas produit. Aucun évaluateur humain désigné - Aucune personne n'a reçu l'autorité et la formation nécessaires pour annuler les scores de performance de l'IA. L'article 26(2) exige que le déployeur attribue la supervision aux personnes possédant la compétence, la formation et l'autorité pour l'exercer (article 14). Représentativité des données non évaluée - La représentativité des données de formation n'a pas été évaluée pour l'ensemble des données démographiques des employés, créant ainsi un risque potentiel de biais. L'article 10 relève du devoir du fournisseur, Pinnacle doit donc demander la documentation sur la gouvernance des données de PerformanceAI Inc. avant le lancement. Chacune de ces lacunes représente un manquement à la conformité juridique. Le système ne peut pas être déployé tant que les trois problèmes ne sont pas résolus.

8. E-mail de correction

   Alice rédige un e-mail au RSSI détaillant les lacunes en matière de conformité et recommandant que le lancement soit reporté jusqu'à ce que tous les problèmes soient résolus.

9. Conformité avant le déploiement

   High-risk AI deployment is not just 'install and configure.' It is a structured compliance process with ongoing obligations. The seven requirement areas are not checkboxes to rush through - they protect people affected by AI decisions. Key takeaways: All seven requirement areas must be independently satisfied before deployment, and the deployer should see the provider's evidence for each: risk management, data governance, technical documentation, record-keeping, transparency, human oversight, and accuracy/robustness/cybersecurity. Inform workers first. Before using high-risk AI at work, the employer must inform workers' representatives and the affected workers (Article 26(7)). A FRIA is mandatory only for public bodies, public-service providers and credit-scoring and life and health insurance deployers (Article 27). Human oversight cannot be replaced by accuracy . Even a 99.9% accurate system requires a designated human with override authority. If your compliance review finds gaps, the correct response is to delay deployment until they are resolved - not to deploy and fix later.