Article 26 de la loi européenne sur l'IA : Obligations des déployeurs pour les systèmes d'IA à haut risque

Qui est un déployeur ?

Un déployeur est toute personne physique ou morale utilisant un système d'IA sous son autorité dans le cadre d'une activité professionnelle (les individus utilisant l'IA pour des raisons purement personnelles et non professionnelles sont exclus).

Les obligations des déployeurs s'appliquent aux côtés, et non à la place, des obligations des fournisseurs. Le fournisseur construit et documente le système ; le déployeur est responsable de la manière dont il est réellement utilisé. Si un déployeur modifie de manière significative un système à haut risque ou met son propre nom dessus, il peut également prendre des obligations de fournisseur en vertu de l'article 25.

Les devoirs principaux des déployeurs

L'article 26 impose un ensemble défini d'obligations opérationnelles aux déployeurs de systèmes d'IA à haut risque :

• Utiliser selon les instructions — prendre des mesures techniques et organisationnelles appropriées pour utiliser le système conformément aux instructions d'utilisation du fournisseur
• Attribuer une surveillance humaine compétente — confier la surveillance à des personnes physiques qui ont la compétence, la formation, l'autorité et le soutien nécessaires pour l'exercer en vertu de l'article 14
• Contrôler les données d'entrée — lorsque le déployeur contrôle les données d'entrée, s'assurer qu'elles sont pertinentes et suffisamment représentatives au regard de l'objectif prévu du système
• Surveiller le fonctionnement — surveiller le fonctionnement du système par rapport aux instructions d'utilisation et informer le fournisseur ou le distributeur en cas de risque
• Conserver les journaux générés automatiquement — conserver les journaux que le système génère automatiquement, dans la mesure où ils sont sous le contrôle du déployeur, pendant au moins six mois (sauf si une période plus longue est fixée par d'autres dispositions de l'UE ou du droit national)
• Informrer les travailleurs et leurs représentants — avant de mettre un système à haut risque en service sur le lieu de travail, informer les travailleurs concernés et leurs représentants qu'ils seront soumis à ce système
• Évaluation d'impact sur la protection des données — lorsque cela est pertinent, utiliser les informations fournies en vertu de l'article 13 pour effectuer une évaluation d'impact sur la protection des données en vertu du RGPD
• Suspendre et informer en cas de risque grave — lorsque le système présente un risque pour la santé, la sécurité ou les droits fondamentaux, ou qu'un incident grave se produit, suspendre l'utilisation, informer le fournisseur, le distributeur et les autorités compétentes, et coopérer

Le plancher de rétention de six mois pour les journaux

Les déployeurs doivent conserver les journaux générés automatiquement par le système d'IA à haut risque pendant une période appropriée à l'objectif prévu, et en tout cas pendant au moins six mois — sauf si une période de rétention plus longue est requise par les dispositions de l'UE ou du droit national applicables.

Cela s'applique aux journaux qui sont sous le contrôle du déployeur. Il s'agit du pendant du côté déployeur de la conception de journalisation du fournisseur en vertu des articles 12 et 19 : le fournisseur construit la capacité de journalisation, et le déployeur est responsable de conserver et de pouvoir produire les enregistrements résultants. Les règles sectorielles (par exemple dans le secteur financier ou de la santé) fixent souvent un plancher plus long, il convient donc de considérer six mois comme le minimum, et non comme l'objectif.

Les autorités publiques agissant en tant que déployeurs ont des devoirs de transparence et d'enregistrement supplémentaires en vertu des articles 26 et 49.