Glossaire de la gouvernance de l'IA et de la GRC

Analyse d'impact d'un système d'IA (AI impact assessment)

Ce que recouvre le terme : Un examen structuré des effets qu'un système d'IA peut avoir sur des personnes, des groupes, une organisation ou l'environnement, dans le contexte où il sera utilisé. Le règlement sur l'IA en prévoit une forme précise. Son article 27 impose une « analyse d'impact des systèmes d'IA à haut risque sur les droits fondamentaux » à certains déployeurs. Sont visés les organismes de droit public et les entités privées qui fournissent des services publics. Le sont aussi les déployeurs qui évaluent la solvabilité des personnes ou tarifent l'assurance vie et l'assurance maladie (annexe III, point 5, b) et c)).

En pratique : Un conseil départemental envisage un outil d'IA pour planifier les tournées de ses agents d'aide à domicile. Avant de le retenir, l'équipe projet vérifie si ses recommandations pourraient désavantager les agents en situation de handicap ou ceux qui ont des proches à charge.

Dans quels postes : Chargés de mission IA responsable, analystes en gouvernance de l'IA, délégués à la protection des données (DPO) et gestionnaires des risques. Ils rassemblent les éléments, consultent les personnes concernées et recommandent des garde-fous.

À ne pas confondre : Une analyse d'impact va plus loin qu'un test de performance technique. Un système peut donner des résultats exacts et produire malgré tout des effets néfastes dans un usage donné.

Voir aussi : Gestion des risques liés à l'IA ; biais des systèmes d'IA ; analyse d'impact relative à la protection des données (AIPD) ; contrôle humain.

Analyse d'impact relative à la protection des données, AIPD (DPIA)

Ce que recouvre le terme : Une analyse que le responsable du traitement mène avant certains traitements de données à caractère personnel. Elle est exigée lorsque le traitement est « susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques » (RGPD, article 35). La Commission nationale de l'informatique et des libertés (CNIL) la juge obligatoire lorsqu'un traitement remplit au moins deux des neuf critères issus des lignes directrices européennes. Le profilage et l'usage innovant d'une technologie font partie de ces critères. Pour les systèmes d'IA à haut risque qui traitent des données personnelles, la CNIL présume qu'une AIPD est nécessaire.

En pratique : Une mutuelle veut utiliser un outil d'IA pour analyser la performance de ses conseillers. Avant le lancement, l'équipe chargée de la protection des données décrit les données utilisées, les risques pour les salariés et les mesures qui les réduisent. Elle demande l'avis du délégué à la protection des données, comme le prévoit l'article 35, paragraphe 2.

Dans quels postes : DPO, juristes spécialisés en protection des données, analystes en conformité et professionnels de la gouvernance de l'IA. Ils rédigent les AIPD et les font valider.

À ne pas confondre : L'AIPD porte sur les données personnelles et les droits des personnes. Une analyse d'impact de l'IA peut couvrir des effets sans lien avec ces données. Le règlement sur l'IA relie les deux exercices : le déployeur utilise les informations fournies par le fournisseur pour réaliser son AIPD (article 26, paragraphe 9).

Voir aussi : Analyse d'impact d'un système d'IA ; gouvernance des données ; déployeur.

Biais des systèmes d'IA (bias in AI)

Ce que recouvre le terme : Des distorsions systématiques dans les données, les systèmes ou les décisions humaines, qui faussent les résultats d'un système d'IA. Un biais préjudiciable peut naître des structures sociales, des méthodes de calcul ou du jugement humain. Il peut exister sans aucune intention discriminatoire.

En pratique : Le service recrutement d'une banque vérifie si un outil de présélection note moins bien, de façon répétée, des candidats qualifiés issus de certains parcours. Il examine les données, les méthodes d'évaluation et la procédure de recrutement dans son ensemble. L'enjeu est juridique : le Code du travail interdit d'écarter une personne d'une procédure de recrutement pour un motif discriminatoire (article L1132-1).

Dans quels postes : Chargés de mission IA responsable, validateurs de modèles, data scientists et responsables des ressources humaines (RH) chargés de la gouvernance. Ils analysent les écarts de résultats et conçoivent les mesures correctives.

À ne pas confondre : Retirer une donnée sensible d'un jeu de données ne supprime pas forcément le biais. D'autres informations peuvent jouer le même rôle, comme le code postal. Le problème peut aussi venir d'une autre étape du processus. Le règlement sur l'IA encadre d'ailleurs le traitement de certaines données sensibles à des fins de détection et de correction des biais (article 4 bis).

Voir aussi : Analyse d'impact d'un système d'IA ; explicabilité ; gestion des risques liés à l'IA ; gouvernance des données.

Cadre de gestion des risques de l'IA du NIST (NIST AI RMF)

Ce que recouvre le terme : Un cadre volontaire publié par le National Institute of Standards and Technology (NIST), l'institut fédéral américain de normalisation. Il aide les organisations à gérer les risques liés à l'IA. Sa version 1.0, parue en 2023, organise le travail autour de quatre fonctions : Govern, Map, Measure et Manage (gouverner, cartographier, mesurer, gérer). Le NIST indique que cette version est en cours de révision.

En pratique : Un groupe industriel français qui a des filiales aux États-Unis s'appuie sur ce cadre. Son équipe de gouvernance répartit les responsabilités et décrit l'usage envisagé. Elle évalue ensuite les risques et choisit les réponses.

Dans quels postes : Analystes en gouvernance de l'IA, gestionnaires des risques et consultants, surtout dans les groupes présents sur le marché américain. Ils comparent les pratiques existantes au cadre et repèrent les écarts.

À ne pas confondre : Appliquer ce cadre ne vaut ni conformité légale ni certification par le NIST. En Europe, il ne remplace pas le règlement sur l'IA.

Voir aussi : Gouvernance de l'IA ; gestion des risques liés à l'IA ; analyse d'impact d'un système d'IA.

Contrôle humain (human oversight)

Ce que recouvre le terme : Les dispositions qui permettent à des personnes de superviser l'usage d'un système d'IA et d'intervenir si nécessaire. C'est le terme officiel du règlement sur l'IA, à l'article 14 (« Contrôle humain »). Le règlement ne parle jamais de « surveillance » humaine, une traduction pourtant fréquente. Un contrôle effectif suppose des personnes qui ont les connaissances, l'autorité et les moyens pratiques d'agir.

En pratique : Un organisme de prestations sociales donne à des agents formés l'accès aux pièces du dossier. Ces agents peuvent écarter une recommandation de l'outil d'IA. Une procédure leur permet aussi de signaler les erreurs qui se répètent.

Dans quels postes : Professionnels de la gouvernance de l'IA, responsables opérationnels, responsables de la conformité et équipes produit. Ils définissent les rôles de relecture et les procédures d'intervention.

À ne pas confondre : Faire valider un résultat par une personne ne suffit pas. Un relecteur qui manque de temps, d'information ou d'autorité ne peut pas contester l'outil. Le règlement en tire la conséquence pour les déployeurs. Ils « confient le contrôle humain à des personnes physiques qui disposent des compétences, de la formation et de l'autorité nécessaires ainsi que du soutien nécessaire » (article 26, paragraphe 2).

Voir aussi : Responsabilité ; gouvernance de l'IA ; gestion des risques liés à l'IA ; déployeur.

Déployeur (deployer)

Ce que recouvre le terme : Au sens du règlement sur l'IA, toute personne ou tout organisme qui utilise un système d'IA sous sa propre autorité (article 3, point 4). Seul l'usage dans le cadre d'une activité personnelle non professionnelle est exclu. Le mot ne renvoie pas au déploiement technique. Il désigne l'utilisateur professionnel. Une entreprise qui achète un outil d'IA de recrutement et l'applique à ses candidats en est le déployeur.

En pratique : Une banque utilise un modèle de notation de crédit fourni par un prestataire. Elle en confie la supervision à des collaborateurs formés. Les journaux générés par le système sont conservés au moins six mois (article 26, paragraphe 6). Chaque demandeur est informé qu'un système d'IA à haut risque est utilisé à son égard (article 26, paragraphe 11).

Dans quels postes : Responsables de la conformité, responsables de la gouvernance de l'IA, responsables opérationnels et acheteurs, dans les organisations qui utilisent l'IA. Ils pilotent les obligations du déployeur.

À ne pas confondre : Acheter un système d'IA ne transfère pas toute la responsabilité au fournisseur. Les déployeurs de systèmes à haut risque ont leurs propres obligations, fixées à l'article 26. Un employeur, par exemple, informe les représentants des travailleurs et les salariés concernés avant d'utiliser un tel système sur le lieu de travail (article 26, paragraphe 7).

Voir aussi : Fournisseur ; contrôle humain ; système d'IA à haut risque.

Essais contradictoires, méthode de l'équipe rouge (red teaming)

Ce que recouvre le terme : Chercher délibérément à faire échouer un système d'IA, comme le ferait un attaquant ou un utilisateur imprudent. Le but est de trouver les failles et de les corriger avant qu'elles ne causent un préjudice. Le règlement sur l'IA parle d'« essais contradictoires ». Il les impose aux fournisseurs de modèles d'IA à usage général présentant un risque systémique (article 55, paragraphe 1, point a)). L'annexe XI donne la « méthode de l'équipe rouge » comme exemple de ces essais.

En pratique : Avant de lancer l'agent conversationnel de son service client, une mutuelle consacre une semaine à le pousser à la faute. L'équipe tente de lui faire révéler les données d'autres adhérents ou donner un conseil dangereux. Elle essaie aussi de lui faire ignorer ses consignes. Chaque échec est consigné et transmis aux développeurs.

Dans quels postes : Spécialistes de la sécurité de l'IA, testeurs, ingénieurs sécurité et analystes des risques liés à l'IA. Ils travaillent souvent sous l'autorité du responsable de la sécurité des systèmes d'information (RSSI). L'Agence nationale de la sécurité des systèmes d'information (ANSSI) a publié des recommandations de sécurité pour les systèmes d'IA générative.

À ne pas confondre : Ces essais révèlent des problèmes. Ils ne prouvent pas qu'un système est sûr. Un essai qui ne trouve rien montre seulement que ces tentatives-là ont échoué.

Voir aussi : Gestion des risques liés à l'IA ; surveillance des modèles et dérive ; analyse d'impact d'un système d'IA.

Évaluation de la conformité (conformity assessment)

Ce que recouvre le terme : Au sens du règlement sur l'IA, c'est la procédure qui démontre qu'un système d'IA à haut risque respecte les exigences du texte (article 3, point 20). Le fournisseur la mène avant la mise sur le marché ou la mise en service. Pour les systèmes de l'annexe III, points 2 à 8, il s'agit d'un contrôle interne, sans intervention d'un organisme notifié (article 43, paragraphe 2). Pour les systèmes biométriques du point 1, un organisme notifié peut intervenir (article 43, paragraphe 1). Pour les systèmes d'IA intégrés à des produits relevant de l'article 6, paragraphe 1 (législation de l'annexe I, section A), c'est la procédure prévue par cette législation sectorielle qui s'applique, en général avec l'intervention d'un organisme notifié (article 43, paragraphe 3).

En pratique : Un éditeur de logiciels vend en Europe un outil d'IA qui trie les candidatures. Il rassemble sa documentation technique et ses résultats de tests. Il vérifie que les exigences sont remplies, puis établit une déclaration UE de conformité (article 47).

Dans quels postes : Responsables de la conformité réglementaire, spécialistes de la conformité produit, responsables qualité et responsables de la gouvernance de l'IA, chez les fournisseurs. Ils coordonnent les preuves et la validation finale.

À ne pas confondre : L'évaluation de la conformité incombe au fournisseur. L'organisation qui se contente d'utiliser un système à haut risque est un déployeur. Elle a ses propres obligations, mais elle ne réalise pas l'évaluation de la conformité à la place du fournisseur.

Voir aussi : Système d'IA à haut risque ; fournisseur ; règlement européen sur l'IA.

Explicabilité (explainability)

Ce que recouvre le terme : La capacité à rendre compte, de façon compréhensible, des mécanismes qui font fonctionner un système d'IA. L'explication doit être adaptée à son public et à la question posée. Le règlement sur l'IA rattache l'explicabilité au principe de transparence (considérant 27).

En pratique : Dans une banque, l'équipe crédit cherche quelles données ont pesé sur la recommandation d'un modèle. Elle vérifie aussi que l'explication fournie reflète bien le fonctionnement réel du modèle.

Dans quels postes : Spécialistes du risque de modèle, validateurs, chargés de mission IA responsable et équipes techniques. Ils produisent les explications ou les évaluent.

À ne pas confondre : Une explication convaincante n'est pas forcément exacte. Le travail de gouvernance consiste aussi à vérifier qu'elle repose sur des preuves.

Voir aussi : Interprétabilité ; transparence ; responsabilité.

Fournisseur (provider)

Ce que recouvre le terme : Au sens du règlement sur l'IA, une personne physique ou morale, une autorité publique ou un autre organisme qui développe ou fait développer un système d'IA. Il le met sur le marché ou en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit (article 3, point 3). Dans la langue courante, un fournisseur est n'importe quel prestataire. Dans le règlement, le mot a ce sens précis.

En pratique : Une jeune entreprise conçoit un outil d'IA de tri des candidatures et le vend à des employeurs. Elle en est le fournisseur. Elle porte donc les obligations correspondantes, notamment la documentation technique, le système de gestion des risques (article 9) et l'évaluation de la conformité.

Dans quels postes : Responsables de la conformité produit, spécialistes des affaires réglementaires, responsables de la gouvernance de l'IA et responsables qualité, dans les entreprises qui conçoivent de l'IA. Ils pilotent les obligations du fournisseur.

À ne pas confondre : Une organisation peut devenir fournisseur d'un système qu'elle n'a pas conçu. C'est le cas si elle le commercialise sous son propre nom, ou si elle apporte une modification substantielle à un système à haut risque (article 25, paragraphe 1).

Voir aussi : Déployeur ; évaluation de la conformité ; système d'IA à haut risque.

Gestion des risques liés à l'IA (AI risk management)

Ce que recouvre le terme : Le travail continu qui consiste à identifier, évaluer, hiérarchiser et traiter les risques liés à l'IA. Il comprend le suivi de l'efficacité des mesures dans la durée. Pour les systèmes à haut risque, le règlement impose au fournisseur un « système de gestion des risques » établi, documenté et tenu à jour (article 9).

En pratique : L'équipe des risques d'une mutuelle identifie un risque. Un assistant d'IA pourrait divulguer des informations confidentielles. Elle restreint les accès et teste ces restrictions. Elle suit ensuite les incidents.

Dans quels postes : Analystes des risques liés à l'IA, analystes GRC, gestionnaires des risques et contrôleurs internes. Ils tiennent la cartographie des risques, évaluent les projets et suivent les actions correctives.

À ne pas confondre : Une évaluation des risques n'est qu'une étape. Le travail continue à mesure que les systèmes, les utilisateurs et le contexte évoluent.

Voir aussi : Analyse d'impact d'un système d'IA ; gouvernance de l'IA ; responsabilité ; surveillance des modèles et dérive.

Gestion du risque de modèle (model risk management)

Ce que recouvre le terme : La discipline qui maîtrise le risque qu'un modèle soit erroné ou mal utilisé. Elle couvre le développement, la validation indépendante, l'approbation, le suivi et le retrait des modèles. Dans la banque américaine, elle repose sur une lettre de supervision, la SR 26-2, Revised Guidance on Model Risk Management (en anglais). Ce texte a été publié le 17 avril 2026 par la Réserve fédérale (Federal Reserve) et deux autres autorités bancaires fédérales. Il s'agit de l'Office of the Comptroller of the Currency (OCC) et de la Federal Deposit Insurance Corporation (FDIC). Il remplace la SR 11-7, que les banques appliquaient depuis 2011.

En pratique : Une banque veut utiliser un nouveau modèle d'IA pour fixer des plafonds de crédit. Une équipe de validation indépendante le teste d'abord et documente ses limites. Le comité des modèles décide ensuite s'il peut entrer en production.

Dans quels postes : Responsables du risque de modèle, validateurs de modèles, analystes quantitatifs et auditeurs internes, dans la banque et l'assurance. Ils conduisent les validations et tiennent l'inventaire des modèles.

À ne pas confondre : La gestion du risque de modèle est antérieure à l'IA actuelle. Les banques l'appliquent depuis longtemps aux modèles statistiques. C'est pourquoi, dans la finance, beaucoup de programmes de gouvernance de l'IA sont nés des équipes de risque de modèle.

Voir aussi : Surveillance des modèles et dérive ; gestion des risques liés à l'IA ; explicabilité.

Gouvernance de l'IA (AI governance)

Ce que recouvre le terme : L'ensemble des règles et des instances par lesquelles une organisation oriente et encadre l'IA. Il comprend ses politiques, la répartition des décisions, les responsabilités et les procédures de revue.

En pratique : Dans un centre hospitalier universitaire (CHU), un service qui veut adopter un assistant d'IA suit d'abord une procédure de validation. Celle-ci porte sur l'usage prévu, les informations sensibles et les tests. Elle désigne aussi qui sera responsable de l'outil dans la durée.

Dans quels postes : Analystes et responsables de la gouvernance de l'IA. Ils tiennent les politiques à jour, coordonnent les revues et accompagnent les services dans les procédures de validation.

À ne pas confondre : La gouvernance va plus loin que la conformité. Elle tranche aussi des questions que la loi laisse ouvertes, comme les usages acceptables ou les priorités de l'organisation.

Voir aussi : Responsabilité ; gestion des risques liés à l'IA ; contrôle humain.

Gouvernance des données (data governance)

Ce que recouvre le terme : Les règles et les responsabilités qui fixent la manière dont les données sont obtenues, contrôlées, protégées et utilisées. Pour l'IA, elle couvre les données d'entraînement comme les données d'utilisation. Pour les systèmes à haut risque, l'article 10 du règlement sur l'IA (« Données et gouvernance des données ») impose des pratiques précises. Elles portent notamment sur l'origine des données et sur la finalité initiale de leur collecte.

En pratique : Une mutuelle veut entraîner un modèle sur des dossiers d'adhérents. Son responsable de la gouvernance des données vérifie d'abord l'origine des données et la licéité de leur usage. Il contrôle aussi le traitement des lacunes et des erreurs. Il s'assure enfin qu'une personne habilitée a donné son accord.

Dans quels postes : Analystes et responsables de la gouvernance des données, data stewards, DPO et équipes de gouvernance de l'IA. Ils fixent les normes de données, documentent leur traçabilité et valident les usages.

À ne pas confondre : La gouvernance des données se distingue de la sécurité des données. La sécurité protège les données contre les accès non autorisés. La gouvernance décide quelles données utiliser, à quelles fins et avec quel niveau de qualité.

Voir aussi : Biais des systèmes d'IA ; analyse d'impact relative à la protection des données (AIPD) ; gestion des risques liés à l'IA.

IA fantôme (shadow AI)

Ce que recouvre le terme : Les outils d'IA que des salariés utilisent pour leur travail sans que l'organisation le sache ou l'ait autorisé. C'est le cas d'un salarié qui résume des documents de clients avec son compte personnel sur un agent conversationnel. Le terme anglais « shadow AI » reste courant dans les offres.

En pratique : Une enquête interne menée dans une association révèle que des salariés collent des extraits de conventions de partenariat dans un outil d'IA gratuit. L'association met alors à disposition un outil validé, assorti de garanties sur les données. Elle met aussi à jour sa charte d'usage du numérique.

Dans quels postes : Analystes en gouvernance de l'IA, équipes de sécurité des systèmes d'information, responsables de la conformité et responsables informatiques. Ils repèrent l'IA fantôme et proposent des solutions plus sûres.

À ne pas confondre : L'IA fantôme révèle le plus souvent un besoin que l'organisation n'a pas couvert. Une interdiction sans outil autorisé déplace l'usage encore plus loin des regards.

Voir aussi : Inventaire des systèmes d'IA ; risque tiers lié à l'IA ; maîtrise de l'IA.

Interprétabilité (interpretability)

Ce que recouvre le terme : La capacité à comprendre ce que signifie le résultat d'un système d'IA dans le contexte où il est utilisé.

En pratique : Dans une banque, une analyste chargée de la lutte contre la fraude doit savoir ce que représente un score avant d'agir. Il peut s'agir d'une probabilité estimée, d'un classement ou d'un seuil qui déclenche une vérification.

Dans quels postes : Validateurs de modèles, analystes des risques, analystes métier et spécialistes opérationnels. Ils vérifient que les utilisateurs comprennent les résultats et leurs limites.

À ne pas confondre : L'explicabilité porte sur le fonctionnement du système. L'interprétabilité porte sur le sens de son résultat. La distinction est utile, mais le vocabulaire varie selon les sources. Le texte du règlement sur l'IA publié en 2024 n'emploie d'ailleurs pas le mot « interprétabilité ».

Voir aussi : Explicabilité ; transparence ; contrôle humain.

Inventaire des systèmes d'IA (AI inventory)

Ce que recouvre le terme : Un registre tenu à jour des systèmes d'IA qu'une organisation conçoit ou utilise. Il contient assez d'informations pour les gouverner. Pour chaque système, il indique sa fonction, son responsable, les données qu'il traite et le niveau de risque de son usage.

En pratique : Le responsable de la conformité d'une collectivité interroge chaque direction. Il découvre des fonctions d'IA activées dans le logiciel RH et dans l'outil de relation avec les usagers. Il en trouve aussi dans un outil de communication que personne n'avait signalé. Chacune entre dans l'inventaire, avec un responsable désigné.

Dans quels postes : Analystes en gouvernance de l'IA, gestionnaires des actifs informatiques et acheteurs. Ils constituent l'inventaire, le tiennent à jour et s'en servent pour décider quels systèmes examiner en priorité.

À ne pas confondre : Un inventaire n'est pas une liste dressée une fois pour toutes. Les fonctions d'IA arrivent avec les mises à jour et les nouveaux abonnements. Il faut donc un moyen régulier de repérer les ajouts. La démarche rappelle celle du registre des activités de traitement imposé par le RGPD (article 30).

Voir aussi : IA fantôme ; gouvernance de l'IA ; risque tiers lié à l'IA.

Maîtrise de l'IA (AI literacy)

Ce que recouvre le terme : Les compétences, les connaissances et la compréhension qui permettent de déployer des systèmes d'IA en connaissance de cause. Elles permettent aussi d'en mesurer les possibilités, les risques et les préjudices potentiels (article 3, point 56). L'article 4, modifié en 2026, demande aux fournisseurs et aux déployeurs de prendre « des mesures pour favoriser le développement de la maîtrise de l'IA » par leur personnel. Ces mesures tiennent compte des connaissances, de l'expérience et de la formation des personnes, ainsi que du contexte d'utilisation.

En pratique : Un CHU forme les soignants qui utilisent un assistant d'IA pour rédiger les comptes rendus. La formation couvre les erreurs fréquentes de l'outil et les données de patients à ne jamais y saisir. Elle explique aussi comment signaler un résultat aberrant. Le CHU garde la trace des personnes formées.

Dans quels postes : Responsables de la gouvernance de l'IA, équipes formation, responsables de la conformité et responsables RH. Ils conçoivent des formations adaptées à chaque métier et suivent la participation.

À ne pas confondre : L'article 4 n'impose aucun certificat individuel. Depuis la modification de 2026, il ne contraint pas non plus les organisations « à garantir un niveau spécifique de maîtrise de l'IA par un individu ». La Commission européenne précise qu'« un certificat n'est pas nécessaire ». Les organisations peuvent tenir un registre interne des formations. Sur sa page de questions et réponses, la Commission parle d'« alphabétisation à l'IA », alors que le règlement dit « maîtrise de l'IA ».

Voir aussi : Règlement européen sur l'IA ; contrôle humain ; déployeur.

Règlement européen sur l'IA (AI Act)

Ce que recouvre le terme : Le règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle, appelé « règlement sur l'intelligence artificielle ». Le texte classe les usages de l'IA selon leur niveau de risque. Il interdit une courte liste de pratiques (article 5) et fixe des exigences détaillées pour les systèmes à haut risque. Certains autres systèmes sont soumis à des obligations de transparence (article 50). Des règles propres encadrent enfin les modèles d'IA à usage général.

Le règlement (UE) 2026/1744 du 8 juillet 2026, appelé « train de mesures omnibus numérique sur l'IA », l'a modifié. Selon l'article 113 modifié, les règles sur les systèmes à haut risque s'appliquent désormais à partir du 2 décembre 2027 pour ceux de l'annexe III. Pour ceux de l'annexe I, la date est le 2 août 2028.

En pratique : Un éditeur de logiciels de gestion pour les collectivités vérifie si l'un de ses produits relève du haut risque. Il en tire les conséquences pour sa documentation technique et pour ses contrats.

Dans quels postes : Responsables de la gouvernance de l'IA, juristes en droit du numérique, DPO, responsables de la conformité et équipes produit. Ils interprètent le texte et planifient les échéances.

À ne pas confondre : Le règlement s'applique aussi à des organisations établies hors de l'UE. C'est le cas lorsqu'elles mettent un système d'IA sur le marché de l'Union. C'est aussi le cas lorsque les sorties de leur système y sont utilisées (article 2, paragraphe 1).

Voir aussi : Système d'IA à haut risque ; fournisseur ; déployeur ; évaluation de la conformité ; maîtrise de l'IA.

Responsabilité (accountability)

Ce que recouvre le terme : Le fait de devoir répondre des décisions et des actions qui impliquent l'IA. Les responsabilités sont attribuées, et des preuves montrent comment elles ont été assumées. Cette responsabilité suit les personnes et les organisations sur tout le cycle de vie d'un système d'IA. Le RGPD emploie le même mot pour le principe que l'anglais appelle accountability (article 5, paragraphe 2). Au considérant 27, le règlement sur l'IA range aussi la responsabilité parmi sept principes éthiques. Ces principes ont été formulés en 2019 par un groupe d'experts de haut niveau constitué par la Commission.

En pratique : Une banque désigne qui valide un outil d'IA de recrutement et qui en suit les performances. Elle désigne aussi qui répond lorsqu'un candidat signale un problème. Elle consigne ces décisions.

Dans quels postes : Responsables de la gouvernance de l'IA, directeurs des risques, responsables métier et responsables de la conformité. Ils définissent les responsabilités, documentent les validations et suivent les points en suspens.

À ne pas confondre : Confier une tâche à quelqu'un ne suffit pas à établir sa responsabilité. Cette personne a aussi besoin de l'autorité nécessaire, d'un rattachement hiérarchique clair et d'un moyen de démontrer ce qui s'est passé.

Voir aussi : Gouvernance de l'IA ; contrôle humain ; transparence.

Risque tiers lié à l'IA (third-party AI risk)

Ce que recouvre le terme : Le risque qui vient de l'IA conçue ou exploitée par des prestataires et des partenaires. Il inclut les fonctions d'IA ajoutées à des logiciels que l'organisation utilise déjà.

En pratique : Le service des achats d'une collectivité complète son questionnaire fournisseurs. Il demande sur quelles données le modèle a été entraîné et si les données de la collectivité servent à l'améliorer. Il demande aussi qui répond des erreurs et comment le prestataire signalera les incidents.

Dans quels postes : Analystes des risques tiers, acheteurs, DPO et équipes de gouvernance de l'IA. Ils évaluent les prestataires et négocient les clauses contractuelles.

À ne pas confondre : Les engagements d'un prestataire ne transfèrent pas les responsabilités de l'organisation. Au titre du règlement sur l'IA, le déployeur reste tenu de ses propres obligations (article 26). Au titre du RGPD, le responsable du traitement ne peut faire appel qu'à des sous-traitants qui présentent des garanties suffisantes (article 28, paragraphe 1).

Voir aussi : Inventaire des systèmes d'IA ; déployeur ; responsabilité.

Surveillance des modèles et dérive (model monitoring and drift)

Ce que recouvre le terme : Le suivi du comportement d'un système d'IA après sa mise en service, pour repérer une baisse d'exactitude ou d'équité. La dérive désigne l'écart progressif qui apparaît quand les données réelles s'éloignent de celles qui ont servi à concevoir et à tester le système. Le règlement sur l'IA impose aux fournisseurs de systèmes à haut risque une « surveillance après commercialisation » (article 72). Les déployeurs, eux, surveillent le fonctionnement du système sur la base de la notice d'utilisation (article 26, paragraphe 5).

En pratique : Six mois après son lancement, le modèle antifraude d'une banque signale beaucoup plus de transactions faites avec un nouveau moyen de paiement. Le tableau de bord de suivi fait apparaître le phénomène. L'équipe teste à nouveau le modèle avant de se fier encore à ses scores.

Dans quels postes : Responsables du risque de modèle, ingénieurs en apprentissage automatique, analystes des risques liés à l'IA et responsables opérationnels. Ils fixent les seuils d'alerte et décident quand un système doit être testé à nouveau.

À ne pas confondre : Réussir les tests avant le lancement ne règle pas la question. Un système performant au départ peut perdre en exactitude ou en équité quand le contexte change.

Voir aussi : Gestion des risques liés à l'IA ; gestion du risque de modèle ; biais des systèmes d'IA.

Système d'IA à haut risque (high-risk AI system)

Ce que recouvre le terme : Au sens du règlement sur l'IA, un système utilisé dans un domaine où une erreur peut gravement affecter la santé, la sécurité ou les droits fondamentaux des personnes. L'annexe III dresse la liste de ces domaines. On y trouve notamment la biométrie, les infrastructures critiques, l'éducation et l'emploi. La liste comprend aussi l'accès aux services essentiels (dont le crédit), la répression, la migration et l'administration de la justice. Un système d'IA qui sert de composant de sécurité à certains produits réglementés relève aussi du haut risque (article 6, paragraphe 1, et annexe I). Parmi ces produits figurent les machines et les dispositifs médicaux.

En pratique : Une école d'ingénieurs envisage un outil d'IA pour noter les dossiers de candidature. Elle vérifie s'il relève de l'annexe III, point 3, a), qui vise l'accès et l'admission aux établissements d'enseignement. Si c'est le cas, elle détermine ses obligations de déployeur.

Dans quels postes : Responsables de la gouvernance de l'IA, responsables de la conformité réglementaire et juristes. Ils classent les systèmes et planifient les contrôles qu'impose le haut risque.

À ne pas confondre : Le classement dépend de l'usage. Le même modèle peut être à haut risque quand il trie des candidatures, et à risque minimal quand il rédige un texte publicitaire.

Voir aussi : Règlement européen sur l'IA ; évaluation de la conformité ; déployeur ; fournisseur.

Système de management de l'IA, ISO/IEC 42001 (AI management system)

Ce que recouvre le terme : L'ensemble des politiques, des objectifs, des rôles et des processus qu'une organisation utilise pour gouverner ses activités d'IA de façon cohérente et reproductible. La norme internationale ISO/IEC 42001 en fixe les exigences. Elle est publiée par l'Organisation internationale de normalisation (ISO) et la Commission électrotechnique internationale (IEC). L'Association française de normalisation (AFNOR) la diffuse sous la référence NF EN ISO/IEC 42001, parue en mars 2026. En France, on parle de « système de management », comme dans l'intitulé de la norme, plutôt que de « système de gestion ».

En pratique : Une entreprise de services numériques déjà certifiée ISO/IEC 27001 pour la sécurité de l'information étend ses politiques et ses audits internes aux fonctions d'IA qu'elle vend. Elle prépare ensuite un audit de certification.

Dans quels postes : Responsables de la gouvernance de l'IA, responsables de programmes de certification ISO, auditeurs internes et consultants GRC. Ils rédigent les politiques et conduisent les audits internes dont dépend la certification.

À ne pas confondre : La certification ISO/IEC 42001 atteste que le système de management d'une organisation est conforme à la norme. Elle ne certifie pas qu'un système d'IA donné est sûr ou licite. Elle ne remplace pas non plus l'évaluation de la conformité prévue par le règlement sur l'IA.

Voir aussi : Gouvernance de l'IA ; gestion des risques liés à l'IA ; évaluation de la conformité.

Transparence (transparency)

Ce que recouvre le terme : Mettre les informations utiles sur un système d'IA et sur son usage à la disposition des personnes qui en ont besoin. Il s'agit par exemple de signaler qu'une IA intervient, ou de faire connaître ses capacités et ses limites. Le règlement sur l'IA y consacre deux articles. L'article 13 porte sur la « Transparence et fourniture d'informations aux déployeurs ». L'article 50 fixe les « Obligations de transparence pour les fournisseurs et les déployeurs de certains systèmes d'IA ».

En pratique : Un employeur indique aux candidats à quelles étapes du recrutement il utilise l'IA. Il en explique le but et prévoit une voie pour poser des questions ou contester. En France, le Code du travail l'exige déjà en partie. Le candidat doit être informé, avant leur mise en œuvre, des méthodes et techniques d'aide au recrutement utilisées à son égard (article L1221-8).

Dans quels postes : Professionnels de la gouvernance, de la protection des données, de la conformité, de la communication et du produit. Ils rédigent les mentions d'information, la documentation et les procédures de signalement.

À ne pas confondre : La transparence n'oblige pas forcément à publier le code source ou à divulguer des informations confidentielles. L'information doit avoir du sens pour son public et convenir au contexte.

Voir aussi : Responsabilité ; explicabilité ; interprétabilité.