Les obligations fondamentales de transparence s’appliquent : lorsqu’une personne interagit avec un chatbot ou un agent IA, elle doit être informée qu’elle interagit avec une IA ; certains contenus générés par IA, comme les deepfakes et les textes informatifs destinés au public, doivent être clairement identifiés. Les fournisseurs et déployeurs doivent maintenir une documentation, des journaux et une supervision humaine adaptés à leurs systèmes. L’Office IA et les autorités nationales peuvent demander des informations, évaluer les modèles et coordonner des actions correctives. Concrètement, cela signifie disposer d’une source unique de vérité pour les politiques, la documentation technique et la télémétrie reliant les divulgations utilisateurs au comportement du système.

Si vous fournissez un modèle d’IA à usage général, vos obligations incluent une documentation transparente, un résumé public des sources de contenu d’entraînement, ainsi qu’une évaluation et une atténuation appropriées des risques — en renforçant les mesures lorsque les modèles peuvent présenter des risques systémiques. Les équipes doivent opérationnaliser les fiches modèles, les rapports d’évaluation, les résultats des tests de sécurité red-team, et les fonctionnalités d’identification de contenu. La gestion des droits d’auteur et des données d’entraînement doit être documentée, avec des procédures claires pour respecter les refus et les usages légaux. Utilisez les modèles et codes volontaires de la Commission comme base pour institutionnaliser des versions reproductibles, des journaux de modifications clairs, et des tests d’alignement défendables entre versions.

Les obligations haut risque couvrent la gestion des risques, la gouvernance des données, la journalisation, la documentation technique, la supervision humaine, la robustesse, la précision, la cybersécurité et la surveillance post-commercialisation. Même si votre système ne sera classé haut risque qu’en 2027–2028, la voie la plus économique est d’adopter ces disciplines dès maintenant. Établissez un forum de gouvernance transversal, définissez des seuils d’acceptation des risques, mettez en œuvre la documentation des jeux de données et des contrôles qualité, et construisez des pipelines d’évaluation continue. Sélectionnez des normes et contrôles évolutifs — en anticipant les normes harmonisées dès leur disponibilité — et alignez les achats pour exiger des fournisseurs des artefacts et preuves de tests compatibles.

Les pratiques d’IA interdites — telles que les systèmes manipulateurs, le ciblage exploitant des vulnérabilités, le scoring social, certains usages biométriques, et le scraping non ciblé pour bases de données faciales — sont applicables. Une interdiction supplémentaire concernant la génération de contenus sexuels explicites non consentis et les productions liées aux contenus pédopornographiques (CSAM) entre en vigueur en décembre 2026. Les développeurs doivent dès maintenant mettre en place des couches de prévention des abus : classificateurs de sécurité, sorties restreintes, signalement utilisateur, traçabilité des contenus, et procédures rapides de retrait et gestion des incidents. Auditez votre produit et vos fonctionnalités marketing pour vous assurer qu’ils ne favorisent pas ou n’encouragent pas involontairement des usages interdits.

Priorisez des contrôles modulables que vous pouvez déployer rapidement. Pour la transparence : implémentez des indicateurs IA visibles par l’utilisateur et des étiquettes deepfake ; adoptez des standards de traçabilité des contenus et le filigrane lorsque c’est possible. Pour la gouvernance : maintenez un registre de modèles avec évaluations versionnées, contrôles politiques et validations de publication. Pour les données : capturez la traçabilité, le statut de consentement et les métadonnées de licence ; appliquez la version des jeux de données et les contrôles d’accès. Pour la surveillance : centralisez les journaux d’inférence, les métriques de biais/robustesse, et les tickets d’incidents avec des rotations d’astreinte. Pour la supervision : définissez des points de contrôle clairs avec intervention humaine et documentez les escalades. Considérez chaque artefact comme une preuve pour les audits futurs.