Quand les pratiques dIA interdites sappliquent et que faire ensuite

Les pratiques dIA interdites sappliquent lorsquune equipe SaaS cree, achete, integre, configure, vend ou utilise en interne un systeme dIA qui pourrait relever de lArticle 5 de lEU AI Act. La reponse pratique consiste a effectuer un filtrage precoce, arreter les usages clairement inacceptables, revoir les workflows risques et escalader les cas incertains avant que le produit, le contrat fournisseur ou le processus interne ne devienne difficile a modifier.

LArticle 5 ne bannit pas toute IA. Il couvre des pratiques jugees inacceptables: manipulation prejudiciable, exploitation de vulnerabilites, certaines formes de social scoring, certaines evaluations de risque penal fondees seulement sur le profilage ou les traits de personnalite, scraping non cible dimages faciales, reconnaissance des emotions au travail ou dans leducation sauf raisons medicales ou de securite, categorisation biometrique sensible et identification biometrique a distance en temps reel dans lespace public a des fins de police sous exceptions etroites.

Quand cela compte

Analysez lusage et le contexte. Le systeme influence-t-il une decision ou un comportement? Utilise-t-il des techniques cachees, manipulatrices ou trompeuses? Exploite-t-il lage, le handicap ou une situation sociale ou economique? Evalue-t-il des personnes entre contextes? Inferre-t-il des emotions, des traits sensibles ou utilise-t-il la biometrie?

Le nom du modele ne suffit pas. Il faut regarder le but, les donnees, les personnes affectees, la sortie et la consequence.

Quand cela peut ne pas sappliquer

Un outil de resume, un assistant de code, une recherche interne ou un generateur de brouillons support peut etre hors Article 5 sil ne manipule pas les personnes, nexploite pas de vulnerabilites, ninferre pas de caracteristiques sensibles et nutilise pas de biometrie ou reconnaissance emotionnelle interdite. Il peut toutefois necessiter classification IA, privacy review, security review et vendor review.

Que faire dabord

Ajoutez un intake partout ou lIA entre dans lentreprise: discovery produit, selection de modele, onboarding fournisseur, privacy review, security review, configuration client et approbation doutils internes. Capturez systeme, owner, finalite, personnes affectees, role AI Act, fournisseur ou modele, donnees, geographie et options de configuration.

Utilisez trois routes: continuer sil ny a pas de red flag, stopper et redesigner sil y a un red flag clair, escalader sil reste une incertitude. Lescalade doit avoir un reviewer nomme, un delai et assez de preuves pour decider.

Preuves et ownership

Conservez intake, description produit ou fournisseur, data flow, configuration, analyse des personnes affectees, conclusion, justification, reviewer, date, restrictions et declencheur de re-review. Pour un fournisseur, gardez documentation IA, engagements contractuels et reponses sur biometrie, emotion, profilage, sources dimages faciales et configuration client.

Product possede la finalite et le parcours. Engineering possede larchitecture et lintegration. Security possede fournisseur et acces. Legal ou compliance possede lanalyse Article 5. Un owner AI governance maintient lintake, les decisions et le launch gate.

Reliez ce filtre aux attentes dAI governance pour les fournisseurs SaaS, au modele downer compliance, a la revue des outils IA internes et a lanalyse EU AI Act pour fournisseurs SaaS.

FAQ

Quel est le but pratique?

Identifier les usages dIA a bloquer, redesigner ou escalader avant quils entrent dans un produit, workflow fournisseur, configuration client ou processus interne.

Quand cela sapplique-t-il aux equipes SaaS?

Quand elles creent, achetent, integrent, vendent, configurent ou utilisent une IA pouvant toucher les categories Article 5.

Que documenter dabord?

Intake, route de decision, reviewer nomme, regles de blocage de release et preuves minimales reliees a product, vendor, privacy, security et customer trust.

Sources

• Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence.
• European Commission guidelines on prohibited artificial intelligence practices.
• European Commission note on the first AI Act rules becoming applicable.