EU AI Act — glossaire & impacts DSI

ProviderArticle 3.3

Le fournisseur qui développe un système d'IA et le met sur le marché de l'UE — sous sa marque, gratuit ou payant. OpenAI, Anthropic, Mistral. Aussi l'éditeur SaaS qui intègre un LLM dans son produit et le commercialise.

DeployerArticle 3.4

L'organisation qui utilise un système d'IA sous son autorité dans le cadre de son activité professionnelle (sauf usage personnel). 80 % des grandes entreprises sont uniquement deployers.

ImporterArticle 3.6

Personne située dans l'UE qui met sur le marché un système d'IA portant la marque d'une personne établie hors UE. Vérifie la conformité avant importation.

DistributorArticle 3.7

Acteur de la chaîne d'approvisionnement qui met un système à disposition sur le marché UE, hors fournisseur et importateur.

Authorized representativeArticle 3.5

Mandataire désigné par un fournisseur hors UE pour porter ses obligations sur le sol européen — un peu l'équivalent du représentant RGPD.

AI systemArticle 3.1

Système basé sur la machine, opérant avec un degré variable d'autonomie, qui peut s'adapter après déploiement, et qui infère depuis des entrées comment générer des sorties (prédictions, contenus, recommandations, décisions) influençant un environnement physique ou virtuel. La définition englobe LLM, ML classique, systèmes-experts à inférence, etc.

GPAI — General-Purpose AIArticle 3.63

Modèle d'IA généraliste qui peut accomplir une large gamme de tâches distinctes. Concrètement : les Foundation Models genre GPT-4, Claude, Mistral Large, Llama 3. Soumis à des obligations spécifiques pour leurs fournisseurs (transparence, sécurité, documentation de fine-tuning, droits d'auteur).

GPAI à risque systémiqueArticle 3.65 + 51

Sous-catégorie de GPAI dont la puissance de calcul dépasse 10^25 FLOPs (seuil indicatif). Obligations renforcées : évaluations adverses, gestion des risques systémiques, signalement des incidents à la Commission, cybersécurité du modèle. GPT-4, Claude Opus, Gemini Ultra y tombent.

High-risk systemArticle 6 + Annexes I & III

Système classé à risque élevé soit parce qu'il est composant de sécurité d'un produit réglementé (Annexe I : jouets, dispositifs médicaux, machines…), soit parce qu'il appartient à un domaine sensible listé en Annexe III (RH, éducation, crédit, justice, démocratie, infrastructures critiques, services essentiels).

Limited-riskArticle 50

Systèmes soumis à transparence : chatbots conversationnels (utilisateur doit savoir qu'il parle à une IA), contenu généré par IA (deepfakes, contenu synthétique marqué), reconnaissance émotionnelle (information préalable).

Minimal-risk

Tout le reste — filtres anti-spam, recommandations contenu non personnalisées, automatisations back-office sans impact personnes. Aucune obligation spécifique.

Conformity assessmentArticle 43

Évaluation que mène le fournisseur avant la mise sur le marché d'un système high-risk. Soit auto-évaluation (le fournisseur signe lui-même la déclaration de conformité), soit organisme notifié pour certaines catégories Annexe I.

FRIA — Fundamental Rights Impact AssessmentArticle 27

Analyse d'impact sur les droits fondamentaux, obligatoire pour les déployeursde certains systèmes high-risk : organismes publics, services essentiels privés (banque scoring, assurance santé / vie). Documente la finalité, le périmètre, les populations impactées, les risques discrimination / vie privée / accès au recours, les mesures d'atténuation.

DPIA — Data Protection Impact AssessmentArticle 35 RGPD

Pas dans l'AI Act au sens strict, mais presque toujours déclenchée en parallèle pour les agents IA traitant des données personnelles. À aligner avec le FRIA (qui couvre un périmètre plus large : non-discrimination, recours, etc.).

Post-market monitoringArticle 72

Surveillance continue du système après mise en service. Le fournisseur collecte les retours d'usage, les incidents, les dérives de performance. Un plan documenté est obligatoire pour les high-risk.

Serious incident reportingArticle 73

Notification obligatoire à l'autorité nationale dans les 15 joursaprès la survenance d'un incident grave (mort, atteinte santé, défaillance infrastructure critique, violation droits fondamentaux). Le déployeur a aussi cette obligation (pas seulement le fournisseur).

Declaration of conformityArticle 47 + Annexe V

Document signé par le fournisseur d'un système high-risk attestant la conformité au règlement. Conservé 10 ans après la mise sur le marché.

CE markingArticle 48

Le système physique ou son packaging porte le marquage CE quand applicable (high-risk + Annexe I notamment). Obligatoire pour la libre circulation dans le marché unique.

Technical documentationArticle 11 + Annexe IV

Le cœur opérationnel : description, données, architecture, tests, risques, supervision, monitoring. Cf. notre guide registre pour le détail des 10 sections.

EU database registrationArticle 71

Tous les systèmes high-risk Annexe III mis sur le marché UE doivent être enregistrés dans une base publique européenne avant déploiement (le fournisseur s'en charge). Les déployeurs d'organismes publics doivent aussi enregistrer leurs déploiements.

Code of conduct

Engagement volontaire pour les systèmes non-high-risk — bonne pratique à adopter pour les limited-risk afin d'anticiper d'éventuels renforcements réglementaires.

Trois paliers de sanctions

• 35 M€ ou 7 % du CA mondial pour violation des interdictions Article 5 (manipulation, social scoring, reconnaissance émotion en recrutement, etc.).
• 15 M€ ou 3 % du CA mondial pour non-respect des obligations high-risk (Articles 8 à 29) et GPAI à risque systémique.
• 7,5 M€ ou 1 % du CA mondialpour fourniture d'informations inexactes, documentation insuffisante, transparence défaillante.

Pour les PME et startups, le montant retenu est le plus faibledes deux (montant fixe ou %), pour ne pas étouffer l'innovation. Pour les grands groupes, c'est le plus élevé.

Qui contrôle ?

• Autorités nationales de surveillance— désignées par chaque État membre. En France, la CNIL + la DGCCRF + l'ARCOM se partagent les rôles selon le domaine. Le contour exact se précise.
• AI Office (Commission européenne) — centralise les GPAI à risque systémique et coordonne les autorités nationales.
• European AI Board— rassemble les autorités nationales pour harmoniser l'application.

Ce qui change vraiment côté SI à 14 mois de l'échéance principale (2 août 2026) :

1. Tenir un inventaire des agents IA— registre actif, fiche par agent, catégorisation risque, propriétaire métier nommé. C'est le premier livrable, et celui sur lequel un audit démarre.
2. Désigner des superviseurs humainsqualifiés pour chaque agent high-risk impactant les personnes. Avec un budget temps explicite (pas du « rubber-stamping ») et une formation Article 14.
3. Logger 6 mois minimum les interactions clés (Article 19) — entrées utilisateur, sorties, métadonnées, décisions humaines de validation. Volumétrie souvent sous-estimée (10-100 To/an sur un agent à fort trafic).
4. Former tous les employés en contactavec un agent IA (Article 4 « IA literacy »). Pas seulement les techos — les RH, le service client, les commerciaux. Formation obligatoire depuis le 2 février 2025.
5. Renégocier les contrats fournisseurs IApour clarifier les responsabilités, l'accès à la documentation technique du fournisseur, les notifications de changement substantiel, les conditions de portabilité (anti-vendor-lock-in).
6. Mettre en place un processus d'incident IA distinct du SIRT cybersécurité — métriques de drift, hallucinations graves, biais détectés, plainte utilisateur, fuite données. Avec notification sous 15 jours en cas d'incident grave (Article 73).
7. Créer ou étendre une instance ARB-IA— comité qui catégorise les agents, valide les déploiements, signe les FRIA. Idéalement l'ARB existant élargi à un représentant DPO + RSSI + juridique IA.

• Texte officiel— Règlement (UE) 2024/1689 au Journal officiel de l'UE (EUR-Lex). Consolidé, traduit dans les 24 langues officielles.
• Lignes directrices Commission européenne— guidance progressive publiée par l'AI Office (Article 96). Lecture obligée pour clarifier les zones grises (frontière limited / high-risk notamment).
• CNIL— pages thématiques en français sur l'articulation RGPD + AI Act, recommandations DPIA pour les agents IA.
• Norme ISO/IEC 42001— système de management de l'IA, complémentaire à l'AI Act sur les processus internes. Pas obligatoire mais un bon scaffold pour structurer une démarche qualité IA.
• Architecture Platform — notre produit fournit le registre IA, le template DPIA / FRIA, le rapport de conformité PDF et l'audit trail signé — un workflow audit-ready sans assembler 4 outils.