Les six catégories de rôles citées en 4.1 : lesquelles sont les vôtres
Les rôles que vous déterminez en clause 4.1 pèsent sur la portée du reste de la norme. C'est aussi la ligne que l'on remplit le plus vite, et le plus mal.
La clause 4.1 demande de comprendre son contexte, de tenir compte de l’usage auquel sont destinés les systèmes d’IA que l’on développe, fournit ou utilise, et de déterminer le ou les rôles que l’on tient vis-à-vis de ces systèmes. Cette dernière exigence est souvent traitée en une phrase, alors qu’elle commande la lecture de toute la suite.
Les six catégories citées en 4.1
La note 1 de la clause 4.1 cite six grandes catégories de rôles, chacune illustrée par des rôles plus précis. Cette note est informative : la liste n’est pas fermée, une même organisation peut en cumuler plusieurs, et c’est ISO/IEC 22989 qui décrit ces rôles en détail. Nous les présentons ici par ordre alphabétique.
Autorités compétentes — régulateurs et décideurs publics.
Client d’IA — celui qui acquiert ou utilise le système ; la note range parmi eux les utilisateurs d’IA.
Fournisseur d’IA — celui qui met un système ou une plateforme d’IA à disposition. La note y distingue le fournisseur de produit ou de service et le fournisseur de plateforme.
Partenaire d’IA — fournisseurs de données et intégrateurs de systèmes.
Producteur d’IA — c’est la catégorie la plus large, et elle regroupe tous ceux qui font exister le système : côté fabrication, concepteurs, développeurs et déployeurs ; côté contrôle, testeurs, évaluateurs, évaluateurs d’impact et professionnels de la gouvernance et de la supervision ; côté exploitation et achat, exploitants, acheteurs, experts du domaine et spécialistes des facteurs humains.
Sujets de l’IA — les personnes dont le système traite les données, ou que ses décisions atteignent autrement. Elles n’ont pas toujours de lien contractuel avec l’organisation, et peuvent aussi en être les salariés ou les clients ; ce sont elles que l’évaluation d’impact doit considérer, avec les groupes et la société.
Pourquoi cela change vos exigences
Le rôle ne sert pas à écarter une clause : la norme n’organise d’exclusion justifiée que pour les contrôles de l’Annexe A (6.1.3 f)), et les exigences des clauses 4 à 10 restent à satisfaire. La note 1 de la clause 4.1 relève toutefois que les rôles retenus peuvent peser sur ce qui s’applique, et jusqu’où, pour les exigences comme pour les contrôles. En pratique, le rôle change surtout ce que contient votre mise en œuvre, et la sélection des contrôles de l’Annexe A.
Une organisation qui développe ses modèles doit maîtriser un cycle de vie de conception. Une organisation qui utilise un service sur abonnement n’a pas ce cycle de vie à maîtriser, mais elle hérite d’une dépendance : la politique de mise à jour de son fournisseur, sur laquelle elle n’a aucune prise, devient un paramètre de son propre dispositif.
Cette grille n’est pas celle du règlement européen
Le règlement européen sur l’intelligence artificielle raisonne avec ses propres catégories : fournisseur, déployeur, importateur, distributeur, mandataire, fabricant de produit.
Les deux grilles coexistent sans se confondre. Vous pouvez être déployeur au sens du règlement et producteur d’IA au sens de la norme, pour le même système. Aucune des deux qualifications ne dispense de l’autre, et surtout : la qualification ISO n’a aucun effet juridique.
Elles ne sont pas pour autant étanches : une note de la clause 4.1 indique que la détermination des rôles peut s’appuyer sur les obligations liées aux catégories de données traitées — responsable de traitement ou sous-traitant de données personnelles, par exemple — et sur les exigences légales propres aux systèmes d’IA. La qualification retenue au titre du règlement nourrit donc celle de la norme, sans la remplacer.
Il faut le dire clairement, parce que le raccourci est fréquent. ISO/IEC 42001 n’est pas une norme harmonisée au sens du règlement, et ne confère aucune présomption de conformité. Déterminer son rôle au titre de la clause 4.1 ne détermine pas ses obligations réglementaires.
Comment trancher en pratique
Trois questions suffisent dans la plupart des cas.
- Entraînons-nous, affinons-nous ou assemblons-nous quelque chose ? Si oui, il y a une part de production, quelle que soit l’origine du modèle.
- Mettons-nous le système à disposition de tiers, sous notre nom ? Si oui, il y a une part de fourniture.
- Qui subit les décisions du système ? La réponse nomme les personnes soumises, et détermine l’objet de l’évaluation d’impact.
La clause 4.1 n’impose pas d’écrire ce résultat. Le consigner, avec sa justification, reste le moyen le plus simple de montrer que la détermination a eu lieu et qu’elle tient : en pratique, un rôle affirmé sans raison explicite se défend mal en audit.
Ce qu’il faut retenir
Le rôle se détermine en 4.1, il gagne à être justifié par écrit, et il se cumule. La plupart des organisations en tiennent deux ou trois sans l’avoir écrit.
Et la grille de la norme ne remplace pas celle du règlement : les deux se remplissent pour le même système, et la qualification réglementaire éclaire celle de la norme.