Responsable IA : obligatoire ou facultatif ?

Avons-nous besoin d’un responsable IA ?

Non, l’EU AI Act ne contient aucune obligation de désigner un responsable IA. Contrairement au RGPD, qui prévoit un délégué à la protection des données (art. 37 RGPD), le règlement sur l’IA ne prévoit pas un tel rôle. Dans ses questions et réponses sur la maîtrise de l’IA, la Commission européenne précise que l’art. 4 ne prescrit aucune structure organisationnelle particulière, ni responsable IA ni comité IA.

L’obligation est autre : les fournisseurs et les déployeurs prennent des mesures pour favoriser le développement de la maîtrise de l’IA de leur personnel et des autres personnes agissant pour leur compte (art. 4, par. 1). C’est l’entreprise elle-même qui décide qui planifie et suit ces mesures.

Quand une responsabilité fixe est-elle tout de même utile ?

Désigner une personne vaut la peine dès que plusieurs outils d’IA sont utilisés ou que des équipes testent elles-mêmes de nouveaux services. Il faut alors quelqu’un qui garde une vue d’ensemble et réponde aux questions, par exemple dans ces cas :

• Votre entreprise utilise plusieurs services d’IA, par exemple ChatGPT, Microsoft Copilot et des fonctions d’IA dans le CRM.
• Vous utilisez l’IA dans un domaine relevant de l’annexe III, par exemple pour la sélection du personnel. À partir du 2 décembre 2027, le contrôle humain y doit être confié à des personnes disposant de la compétence, de la formation et de l’autorité nécessaires (art. 26, par. 2).
• Des clients ou des auditeurs, par exemple lors d’audits ISO 27001, demandent s’il existe une instance responsable de l’IA.

Quelles tâches correspondent à ce rôle ?

Quatre tâches sont typiques, et elles peuvent aussi être réparties entre plusieurs personnes :

• Tenir une vue d’ensemble des systèmes d’IA utilisés et de leurs fournisseurs.
• Établir une charte IA et la tenir à jour, par exemple avec notre modèle de charte IA.
• Planifier les mesures de maîtrise de l’IA et consigner qui a participé à quelle mesure et quand.
• Examiner les nouveaux projets d’IA : relèvent-ils des règles relatives aux systèmes à haut risque ou des obligations de transparence selon l’art. 50 ?

Une mesure simple pour tous les collaborateurs est une formation EU AI Act documentée, avec un certificat de participation par personne et un rapport d’audit pour l’entreprise.

Le délégué à la protection des données peut-il reprendre ce rôle ?

Oui, c’est possible, mais ce n’est pas une obligation. La Commission répond ensemble aux questions sur un responsable IA, sur un double rôle avec le délégué à la protection des données et sur un comité IA : aucune structure particulière n’est prescrite pour l’art. 4. Si le délégué à la protection des données reprend le rôle, il ne doit en résulter aucun conflit d’intérêts avec ses missions au titre du RGPD (art. 38, par. 6, RGPD). Celui qui décide lui-même de l’usage de l’IA ne devrait pas en contrôler en même temps la protection des données.

Questions fréquentes sur le responsable IA

Y a-t-il une amende si nous n’avons pas de responsable IA ?

Non. L’EU AI Act n’exige pas de responsable IA, il n’y a donc pas d’amende pour son absence. Les sanctions applicables en cas de manquement à l’art. 4 sont fixées par les États membres (art. 99, par. 1) ; l’art. 4 exige des mesures de maîtrise de l’IA, pas un rôle particulier. Plus d’informations sur la page Amendes.

Un responsable IA doit-il avoir une qualification particulière ?

Non, aucun cursus ni examen n’est prescrit. Des connaissances sur les systèmes d’IA utilisés, l’EU AI Act et la protection des données sont utiles. Pour le personnel non plus, la Commission n’exige pas de certificat ; un enregistrement interne des formations et des autres mesures suffit.

Cela vaut-il aussi pour les petites entreprises ?

Oui. L’art. 4 s’applique à tous les fournisseurs et déployeurs, quelle que soit la taille de l’entreprise. Dans les petites entreprises, la direction assure souvent elle-même la coordination ; un poste dédié n’est pas nécessaire. Ce que l’art. 4 exige en détail est expliqué sur la page Obligation de maîtrise de l’IA selon l’art. 4.

Former votre équipe Modèle de charte IA

Remarque : cet article est fourni à titre d’information générale et ne constitue pas un conseil juridique.