Quand les modeles d'IA a usage general s'appliquent et quoi faire ensuite

Les modeles d'IA a usage general s'appliquent a une equipe SaaS lorsque l'entreprise fournit, integre, deploie, fine-tune, configure ou depend fortement d'un modele capable de realiser de nombreuses taches. La premiere question n'est pas de savoir si l'entreprise est un laboratoire. Elle est de savoir ou les modeles se trouvent dans le produit, les fournisseurs, les workflows internes, les engagements clients et les preuves.

Dans l'AI Act, les obligations principales figurent au chapitre V. L'article 53 impose documentation technique, informations pour fournisseurs downstream, politique de copyright et resume public des contenus d'entrainement. L'article 55 ajoute des obligations pour les modeles a risque systemique. L'article 51 explique cette classification.

Quand cela s'applique en pratique

Cela s'applique quand un produit ou processus depend d'un modele general: API, copilot, resume de documents, recommandations, classification, reponses support, recherche, generation de texte ou code, ou workflows configurables par clients.

Cela s'applique aussi en interne. Support, sales, securite ou operations peuvent utiliser l'IA d'une maniere qui cree des questions de privacy, securite, copyright, confiance client et role mapping.

Quand ce n'est pas le sujet principal

Pour une utilisation interne a faible risque, le sujet principal peut etre l'usage acceptable, la confidentialite et la securite. Mais une conclusion "non applicable" doit etre documentee. Un petit pilote peut devenir une dependance produit.

Etape 1: inventaire des modeles

Listez APIs hebergees, modeles open source, fine-tuning, fonctions vendor, outils internes, copilots, assistants support, analytics et workflows configurables par clients.

Pour chaque entree, capturez modele, fournisseur, version, hebergement, cas d'usage, owner, donnees, exposition client, outputs importants, fine-tuning, configuration client et documentation fournisseur.

Etape 2: carte des roles

Determinez si l'entreprise est fournisseur du modele, fournisseur downstream d'un systeme d'IA, deployer, utilisateur d'une fonction vendor ou modificateur d'un modele. Le role oriente les obligations et le niveau de preuve.

Cette carte doit vivre dans product intake, vendor review, securite, privacy, architecture, launch readiness et documentation customer trust.

Etape 3: preuves fournisseur

Si un modele tiers est implique, collectez les preuves tot. Demandez capacites, limites, usages autorises, versions, avis de changement, securite, evaluation, retention, usage des donnees pour l'entrainement, copyright, resume d'entrainement et incidents.

Si le fournisseur mentionne un risque systemique, demandez quelles preuves article 55 sont disponibles et quels changements declenchent une notification.

Etape 4: chemin de revue

Tous les usages ne demandent pas la meme revue. Revue legere pour productivite interne approuvee. Revue standard pour fonctions vendor, copilots, support, analytics ou outputs visibles au client. Revue renforcee pour donnees sensibles, clients regules, fine-tuning, dependance critique ou configuration client.

Chaque revue doit finir par approved, approved with conditions, blocked ou more facts needed. Les conditions ont besoin d'un owner et d'une date.

Etape 5: declencheurs de changement

Les decisions vieillissent vite. Nouveau fournisseur, nouvelle version, nouveau feature, nouvelles donnees, client regule, fine-tuning, changement d'hebergement, politique vendor, incident ou changement important de comportement doivent rouvrir la revue.

FAQ

A quoi sert cette gouvernance?

A savoir ou les modeles affectent l'entreprise, quel role elle joue, quelles preuves existent, quels controles s'appliquent et quand revoir la decision.

Quand cela s'applique-t-il au SaaS?

Quand l'equipe fournit, integre, deploie, configure, fine-tune ou depend d'un modele dans un produit, workflow interne, relation fournisseur, promesse client ou revue enterprise.

Que documenter d'abord?

Inventaire des modeles et carte des roles. Puis preuves fournisseur, version, cas d'usage, donnees, clients, securite, privacy, copyright, limites, monitoring, changements et reponses approuvees.

Sources

• Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence.
• European Commission AI Act Service Desk, Article 51, Article 53, Article 55, Article 56 and Article 113.