Le Règlement sur l’IA, adopté le 13 juin 2024, impose toute une série d’obligations aux acteurs intervenant dans la chaîne d’approvisionnement des systèmes d’IA à haut risque (par exemple, et sous certaines conditions, les systèmes d’IA utilisés comme dispositifs médicaux ou encore les systèmes d’IA qui effectuent un profilage dans le domaine de l’éducation ou de l’emploi). Pour plus de détails sur la classification des systèmes d’IA, nous vous invitons à consulter notre news sur le sujet.
Les fournisseurs de systèmes d’IA à haut risque sont concernés au premier chef. Il n’est pas rare qu’ils fassent appel à des sous-traitants pour développer et leur fournir le système d’IA en tant que tel ou des composants du système.
Quel est le rôle des fournisseurs et des sous-traitants ?
Les fournisseurs développent ou font développer des systèmes d’IA et les mettent sur le marché ou en service sous leur propre nom ou marque. Les sous-traitants qui sont, le cas échéant, engagés par les fournisseurs pour développer ces systèmes ou leurs composants ne sont visés par le Règlement sur l’IA que de manière limitée.
La seule obligation qui leur est imposée est de conclure avec le fournisseur un accord écrit précisant « les informations, les capacités, l’accès technique et toute autre assistance nécessaire, sur la base de l’état de la technique généralement reconnu, pour permettre au fournisseur […] de se conformer pleinement [à ses] obligations ». Cette obligation n’est toutefois pas applicable si les systèmes ou composants concernés (autres que des modèles d’IA à usage général, tels que GPT ou Gemini) sont rendus accessibles au public dans le cadre d’une licence open source.
Comment encadrer contractuellement les relations entre fournisseurs et sous-traitants ?
Au-delà de la mise en conformité dont est responsable chaque opérateur concerné par le Règlement, les contrats entre les parties sont essentiels pour définir clairement leurs responsabilités et garantir une collaboration efficace et sécurisée. Il s’agit à la fois :
- de répercuter les obligations pertinentes sur les acteurs intervenant en amont dans la chaîne d’approvisionnement et ;
- de définir les modalités de mise en œuvre des obligations qui s’imposent d’un acteur vis-à-vis d’un autre.
Ainsi, au sein du contrat entre le fournisseur et le sous-traitant d’un système d’IA à haut risque, différentes clauses devraient être spécifiquement prévues. Ces clauses devraient notamment porter sur :
- Les informations, les capacités, l’accès technique et toute autre assistance nécessaire pour permettre au fournisseur de se conformer pleinement aux obligations applicables ;
- Les obligations imposées au sous-traitant (répercuter les obligations pertinentes du Règlement imposées au fournisseur) ;
- La démonstration, par le sous-traitant, du respect des obligations imposées ;
- La coopération entre les parties en cas de besoin, par exemple lorsqu’une demande d’informations est formulée par une autorité ;
- La procédure à suivre en cas de non-conformité du système ;
- La fourniture d’informations et la documentation pour l’établissement du système de gestion de la qualité.
Notre conseil :
Dans le cadre de votre mise en conformité au Règlement sur l’IA, il est crucial de ne pas sous-estimer l’importance des contrats. Ils permettront en effet de sécuriser votre position et d’assurer une collaboration efficace avec les parties concernées.
