Les six rôles définis par la norme : lequel est le vôtre
Le rôle que vous vous attribuez en clause 4.1 détermine quelles exigences vous concernent dans tout le reste de la norme. C'est aussi la ligne que l'on remplit le plus vite, et le plus mal.
La clause 4.1 demande deux choses : comprendre son contexte, et déterminer le ou les rôles que l’on tient vis-à-vis des systèmes d’IA. La seconde partie est souvent traitée en une phrase, alors qu’elle commande la lecture de toute la suite.
Les six catégories
La note de la clause 4.1 distingue six familles, chacune se subdivisant.
Fournisseur d’IA — celui qui met un système ou une plateforme d’IA à disposition. Se subdivise entre fournisseur de plateforme et fournisseur de produit ou de service.
Producteur d’IA — c’est la catégorie la plus large, et elle regroupe tous ceux qui font exister le système : développeurs, concepteurs, exploitants, testeurs et évaluateurs, déployeurs, spécialistes des facteurs humains, experts du domaine, évaluateurs d’impact, acheteurs, professionnels de la gouvernance et de la supervision.
Client d’IA — celui qui acquiert ou consomme le système, y compris l’utilisateur final.
Partenaire d’IA — intégrateurs de systèmes, fournisseurs de données.
Personne soumise à l’IA — celle dont le système traite les données ou dont il affecte la situation. Elle ne contracte avec personne, et c’est pourtant elle que l’évaluation d’impact doit considérer.
Autorités concernées — décideurs publics et régulateurs.
Pourquoi cela change vos exigences
Le rôle ne modifie pas les clauses 4 à 10 : elles s’appliquent toutes. Il modifie ce que contient votre mise en œuvre, et surtout la sélection des contrôles de l’Annexe A.
Une organisation qui développe ses modèles doit maîtriser un cycle de vie de conception. Une organisation qui utilise un service sur abonnement n’a pas ce cycle de vie à maîtriser, mais elle hérite d’une dépendance : la politique de mise à jour de son fournisseur, sur laquelle elle n’a aucune prise, devient un paramètre de son propre dispositif.
Cette grille n’est pas celle du règlement européen
Le règlement européen sur l’intelligence artificielle raisonne avec ses propres catégories : fournisseur, déployeur, importateur, distributeur, mandataire, fabricant de produit.
Les deux grilles coexistent et ne se recouvrent pas. Vous pouvez être déployeur au sens du règlement et producteur d’IA au sens de la norme, pour le même système. Aucune des deux qualifications ne dispense de l’autre, et surtout : la qualification ISO n’a aucun effet juridique.
Il faut le dire clairement, parce que le raccourci est fréquent. ISO/IEC 42001 n’est pas une norme harmonisée au sens du règlement, et ne confère aucune présomption de conformité. Déterminer son rôle au titre de la clause 4.1 ne détermine pas ses obligations réglementaires.
Comment trancher en pratique
Trois questions suffisent dans la plupart des cas.
- Entraînons-nous, affinons-nous ou assemblons-nous quelque chose ? Si oui, il y a une part de production, quelle que soit l’origine du modèle.
- Mettons-nous le système à disposition de tiers, sous notre nom ? Si oui, il y a une part de fourniture.
- Qui subit les décisions du système ? La réponse nomme les personnes soumises, et détermine l’objet de l’évaluation d’impact.
Le résultat se consigne noir sur blanc, avec sa justification. Un rôle déclaré sans motif est aussi fragile qu’une exclusion de contrôle non justifiée.
Ce qu’il faut retenir
Le rôle se détermine en 4.1, il se justifie, et il se cumule. La plupart des organisations en tiennent deux ou trois sans l’avoir écrit.
Et la grille de la norme ne remplace pas celle du règlement : les deux se remplissent séparément, pour le même système.