02 / Conformité et certification
Le règlement sur l'IA commence par savoir quelle IA vous utilisez
Nous vous aidons à recenser les systèmes d'IA de votre organisation, à les classer selon le risque défini par le règlement, et à bâtir la gouvernance, la documentation et la sécurité qu'exigent les niveaux les plus élevés.
Présentation
Ce que le règlement sur l'IA vous demande
Le règlement sur l'intelligence artificielle, règlement (UE) 2024/1689, suit une approche fondée sur les risques. Une courte liste de pratiques est interdite. Les systèmes d'IA à haut risque, par exemple dans certains domaines de l'emploi, du crédit, de l'éducation ou des infrastructures critiques, portent les obligations les plus lourdes. Certains systèmes, comme les agents conversationnels et les générateurs de contenus de synthèse, sont soumis à des obligations de transparence. Le reste est largement laissé de côté. Les modèles d'IA à usage général ont leurs propres règles.
Vos obligations dépendent de votre rôle. Les fournisseurs qui développent un système ou le mettent sur le marché portent l'essentiel des obligations pour le haut risque : gestion des risques, gouvernance des données, documentation technique, journalisation, contrôle humain, exactitude, robustesse et cybersécurité, et évaluation de la conformité. Les déployeurs qui utilisent ces systèmes ont leurs propres devoirs. Les obligations s'appliquent par étapes ; vérifiez dans le texte en vigueur ce qui s'applique et quand.
Black Fox n'est ni un cabinet d'avocats, ni un organisme notifié, ni une autorité de surveillance du marché. Nous aidons sur l'inventaire, la classification, la gouvernance et la sécurité des systèmes. Les questions juridiques de classification relèvent de votre conseil.
À qui s'adresse ce service
Les organisations qui développent des systèmes d'IA pour le marché européen, et celles qui utilisent l'IA dans des décisions concernant des personnes, comme le recrutement, le crédit ou l'accès à des services. Également les équipes qui ont adopté des outils d'IA rapidement et doivent maintenant savoir ce qu'elles ont.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Inventaire des systèmes d'IA
Nous recensons l'IA utilisée dans votre organisation, y compris les fonctions intégrées aux produits que vous achetez, et consignons ce que fait chaque système, qui en est responsable et quelles données il touche.
Appui à la classification
Pour chaque système, nous passons en revue les catégories du règlement et votre rôle, et consignons le raisonnement, pour repérer tôt les cas interdits, à haut risque ou soumis à transparence.
Gouvernance
Rôles, politiques et étapes de validation pour développer, acheter et modifier des systèmes d'IA, à la mesure de l'IA que vous utilisez réellement.
Documentation
Un appui pour les registres de gestion des risques, la documentation technique, la journalisation et les notices d'utilisation, lorsque le système est à haut risque.
Sécurité des systèmes d'IA
Des tests des systèmes d'IA et des applications qui les entourent, par exemple injection de prompt, fuite de données, intégrations non sécurisées et détournement des sorties du modèle.
Système de management de l'IA
Si vous souhaitez un système de management autour de tout cela, nous alignons le travail sur l'ISO/IEC 42001 pour qu'un même effort serve aux deux.
Déroulement de la mission
Lancement
Nous convenons du périmètre, des entités métier et des interlocuteurs, et signons d'abord un accord de confidentialité si vous le souhaitez.
Inventaire
Entretiens, questionnaires et examen de vos systèmes et contrats pour trouver l'IA en usage.
Classification
Chaque système est évalué au regard des catégories de risque et de votre rôle, les questions ouvertes étant réservées à votre conseil.
Analyse d'écarts
Pour les systèmes des niveaux supérieurs, une revue de la gouvernance, de la documentation et des mesures au regard des obligations, avec une liste d'écarts priorisée.
Tests et accompagnement
Des tests de sécurité des systèmes les plus importants, et un travail avec vos responsables sur les écarts.
Restitution
Recommandations, rapport de synthèse avec appréciation des risques et rapport technique, puis une réunion de clôture pour recueillir votre avis.
Ce que vous recevez
- Inventaire des systèmes d'IA avec responsables et flux de données
- Registre de classification avec justification par système
- Analyse d'écarts pour les cas à haut risque et de transparence
- Politique de gouvernance de l'IA et processus de validation
- Rapport de tests de sécurité pour une sélection de systèmes d'IA
- Plan d'action priorisé
Black Fox vous prépare et vous accompagne, mais ne délivre pas elle-même de certificats, de rapports d'attestation ni d'évaluations officielles. Lorsqu'un certificat ou un rapport est l'objectif, nous coordonnons l'audit avec nos partenaires de certification de longue date ou un organisme de votre choix, pour que le travail se déroule de bout en bout dans une seule mission.
Questions
Le règlement nous concerne-t-il si nous ne faisons qu'utiliser l'IA ?
Possiblement. Les déployeurs ont leurs propres obligations, surtout pour les systèmes à haut risque et certains cas de transparence. Utiliser le modèle d'un fournisseur ne vous sort pas du champ d'application. Un inventaire est la première étape pour savoir quelles obligations vous concernent.
Qui décide qu'un système est à haut risque ?
La classification suit les règles du règlement, et il revient au fournisseur de l'établir correctement. Nous vous aidons à parcourir les critères et à consigner le raisonnement. Lorsque la réponse dépend d'une interprétation juridique, votre conseil doit avoir le dernier mot.
Quel lien entre l'ISO/IEC 42001 et le règlement sur l'IA ?
L'ISO/IEC 42001 est une norme certifiable de système de management de l'IA. Elle ne vaut pas conformité au règlement, mais un système de management qui fonctionne rend les obligations de gouvernance et de documentation bien plus faciles à porter.
Testez-vous la sécurité des systèmes d'IA ?
Oui. Nous testons les systèmes d'IA et les applications qui les entourent comme tout autre logiciel, en tenant compte des attaques propres à l'IA, et rendons compte avec des preuves de concept.
Services associés
- Conformité et certificationISO/IEC 42001ISO/IEC 42001 avec Black Fox Security : périmètre du système de management de l'IA, risques et impacts, mesures de l'annexe A et préparation à la certification.
- Conformité et certificationRGPDRGPD avec Black Fox Security : registre des traitements, AIPD, sécurité du traitement, contrats de sous-traitance, violations et droits des personnes.
- Conseil et réponseDevSecOps et développement sécuriséDevSecOps avec Black Fox Security : cycle de développement sécurisé, modélisation des menaces, revue de code, sécurité CI/CD, dépendances, secrets et formation.
- Gouvernance et risquesAppréciation des risquesAppréciation des risques infrastructure, réseau et applications par Black Fox Security : probabilité contre gravité, registre des risques et options de traitement.
Commencez par l'inventaire
Dites-nous où vous développez ou utilisez l'IA. Nous vous aiderons à trouver le reste et à clarifier ce que le règlement attend.