L'IA Act impose des fonctions précises aux organisations qui déploient de l'IA

Ce que le texte impose vraiment, au-delà des postes

Le règlement européen sur l'intelligence artificielle, adopté en 2024, classe les systèmes selon leur niveau de risque plutôt que selon leur technologie. Les pratiques interdites sont entrées en application en 2025 ; les obligations pesant sur les systèmes à haut risque s'échelonnent jusqu'en 2026 et au-delà. Le texte ne désigne pas de métiers par leur nom : il impose des responsabilités. Un fournisseur doit tenir une documentation technique, un déployeur doit surveiller l'usage, et quelqu'un doit pouvoir répondre de ces choix face à une autorité. Dans les faits, ces obligations se traduisent par des fonctions précises, souvent nouvelles dans l'organigramme. Cette lecture par le risque, plutôt que par la technologie employée, explique pourquoi deux outils d'apparence proche peuvent relever d'obligations très différentes.

La distinction entre fournisseur et déployeur structure tout le dispositif. Celui qui met un système sur le marché porte les obligations les plus lourdes ; celui qui l'utilise dans un cadre professionnel en assume une part, variable selon le contexte. Une banque qui déploie un outil de scoring, un hôpital qui adopte un logiciel d'aide au diagnostic : chacun devient déployeur et doit organiser la surveillance, la traçabilité et la remontée des incidents. La conformité n'est donc pas un document unique signé une fois, mais une répartition continue de responsabilités entre plusieurs personnes, dont certaines n'ont aucun profil technique. Chacun doit savoir jusqu'où va sa responsabilité bien avant qu'un incident ne vienne le révéler brutalement.

L'audit de conformité et la documentation technique

L'audit de conformité repose sur une documentation que peu d'organisations produisent naturellement. Il faut décrire le système, ses données d'entraînement, ses limites connues, les mesures de précision et de robustesse, ainsi que la gestion des biais. L'auditeur IA vérifie la cohérence de cet ensemble et interroge le système au-delà de la démonstration commerciale, en cherchant délibérément les cas où il échoue. Son travail recoupe les référentiels de management de l'IA, notamment l'ISO 42001, qui structure la gouvernance et laisse une trace exploitable en interne comme en externe. Cette documentation se construit tout au long du développement, et non la veille d'un contrôle inopiné.

Cette fonction demande une double culture, technique et juridique. Il faut comprendre ce qu'un modèle fait concrètement et savoir lire un texte réglementaire sans en trahir l'esprit. L'auditeur doit aussi résister à la pression commerciale : un rapport qui conclut à une non-conformité est un rapport utile, même s'il dérange. Pour les systèmes à haut risque, l'évaluation ne se fait pas une fois pour toutes, car un modèle mis à jour ou des données qui dérivent changent les conclusions. L'audit devient alors un rendez-vous récurrent plutôt qu'un examen unique. La compétence technique seule, sans cette indépendance d'esprit, ne suffit pas à faire un bon auditeur.

La supervision humaine, une fonction à part entière

Pour les systèmes à haut risque, le texte impose une supervision humaine effective. L'expression mérite attention : il ne suffit pas qu'un humain soit présent dans la boucle, il doit pouvoir comprendre la décision, l'interrompre et la corriger en temps utile. Un opérateur qui valide machinalement des sorties ne remplit pas cette condition. La fonction suppose des compétences réelles : lire les scores du modèle, repérer les signaux d'alerte, savoir quand ne pas faire confiance à la machine et pourquoi. Superviser n'est pas surveiller du coin de l'œil. Une supervision qui se réduit à appuyer sur un bouton d'approbation n'est qu'une illusion de contrôle.

Cette supervision se conçoit en amont, dans l'interface et les procédures, pas après coup. Un système qui n'affiche pas les éléments de sa décision rend la surveillance illusoire, car on ne peut pas corriger ce qu'on ne comprend pas. Le superviseur humain a donc besoin d'explications compréhensibles, d'un moyen simple d'escalader un cas et d'une trace de ses arbitrages. Ce rôle s'apprend, et il se distingue de celui de l'utilisateur ordinaire : c'est une responsabilité professionnelle, avec ses protocoles, sa charge de travail et ses limites clairement définies. Sans cette clarté, la supervision se transforme en formalité que personne n'assume réellement.

Gouvernance continue : registre, veille et incidents

La conformité ne s'arrête pas à la mise en service. Une organisation doit tenir un registre de ses systèmes d'IA, suivre leur cycle de vie et anticiper les évolutions du cadre réglementaire. Cette veille est réelle : les normes européennes harmonisées et les lignes directrices se précisent progressivement, et un dispositif conforme aujourd'hui peut cesser de l'être demain. La fonction gouvernance IA porte cette continuité, en reliant les équipes techniques, juridiques et métiers autour d'un même inventaire. Sans elle, chaque équipe raisonne dans son coin et les obligations se perdent entre deux services. Ce registre évolue à mesure que les systèmes apparaissent, changent de version ou sont retirés du service.

Les incidents font partie de cette veille quotidienne. Un système qui produit une décision contestable doit pouvoir être analysé, corrigé et documenté, avec une trace qui remonte jusqu'au modèle utilisé. Les métiers qui montent avec ce cadre ne sont pas seulement des postes d'audit : éthiciens opérationnels, référents protection des données, spécialistes de la sécurité des agents autonomes complètent le dispositif. Aucun n'existe isolément ; c'est leur articulation qui rend la conformité tenable dans la durée plutôt qu'affichée sur une page de communication. Cette coordination demande du temps et une autorité reconnue, sans quoi chacun renvoie la responsabilité au voisin.