AI Act : des nuances au sein des entreprises sur les leviers de mise en conformité / La crainte d’une pénurie de compétences, au sens large, rassemble néanmoins

Le déploiement de l’Artificial Intelligence (AI) Act suit son cours. Après l’entrée en vigueur d’un premier volet de ce règlement européen en février dernier, de nouveaux points clés du texte sont devenus effectifs au tout début du mois d’août. Parmi eux : ceux qui concernent les systèmes d’intelligence artificielle à usage général, dont font partie les modèles de génération d’image ou de texte. Le cheminement de déploiement du texte est encore loin d’être terminé, avec de nouvelles échéances d'application qui s'étaleront jusqu'en 2027.

En attendant, les entreprises françaises sont déjà forcément (et depuis quelque temps) sur le qui-vive pour s’y conformer – avec également des divergences, en leur sein, sur l’art et la manière de s’y prendre. Une enquête menée par KPMG en amont de l’entrée en vigueur de ce deuxième volet de mesures fait en effet ressortir que certaines différences se dessinent entre les fonctions dites "risques" (comme l’audit, la conformité, le contrôle interne, la cybersécurité ou les services juridiques, entre autres) et les "praticiens de l’IA" (comme les responsables des données, de la technologie, les directions innovation et R & D, des systèmes d’information ou de la transformation numérique). Une étude ayant été menée auprès de grands groupes – majoritaires dans les réponses -, d’ETI et plus marginalement de PME et TPE.

Les praticiens de l’IA sont par exemple près de la moitié à estimer que les ressources humaines doivent faire partie des fonctions à mobiliser en priorité pour se conformer à l’AI Act, "sans doute dans une optique de formation, mais aussi parce que les cas d’usage RH sont vus comme particulièrement sensibles par cette population", tandis que la part retombe à 28 % pour les fonctions risques, explique le rapport du cabinet de conseil. Si les deux catégories s’accordent sur un certain nombre de plébiscites, comme la nécessité de mobiliser les services conformité ou juridiques pour s’atteler au chantier de l’AI Act, les fonctions risques mettent aussi davantage l’accent sur l’implication de ceux de confidentialité, de la gestion des risques, de l’audit, etc. À l’inverse, les praticiens de l’IA portent un peu plus d’intérêt, en matière de levier de conformité, aux collaborateurs œuvrant dans le digital, par exemple.

Souvenirs du RGPD

Certaines différences se font aussi jour s’agissant de classer les chantiers de l’AI Act par ordre d’exigence. "Les fonctions risque anticipent globalement plus de difficultés que les praticiens de l’IA dans les chantiers de mise en conformité à l’AI Act, ce qui pourrait s’expliquer par leur expérience avec d’autres cadres réglementaires comme le RGPD. Les écarts sont particulièrement marqués sur les sujets structurels (formation, gestion des sous-traitants, référentiel)", indique l’étude de KPMG, poursuivant : "Les seuls chantiers où les deux populations s’accordent globalement sont l’inventaire, les définitions communes et la communication, sans doute car les praticiens de l’IA sont plus confrontés d’ores et déjà à ces problématiques".

Les fonctions risques anticipent également des difficultés importantes dans certains chantiers, comme la gestion des sous-traitants (à hauteur de 75 %) ou les analyses d’écart, à la lumière, de nouveau, de leur expérience sur d’autres cadres réglementaires européens, remarque KPMG. De leur côté, confrontés à une plus forte pression opérationnelle, les praticiens de l’IA soulignent surtout un besoin d’outillage adapté à l’inventaire et à la classification des systèmes d’IA, "des exigences nouvelles pour eux", observe le rapport.

Pour autant, les deux catégories de fonctions s’accordent sur un point : la pénurie de compétences, qu’il s’agisse d’expertises, de ressources, ou de formations adaptées, représente le premier frein à la mise en conformité à ce texte. En revanche, les délais pour ce faire, tout comme le nombre de systèmes d’IA à prendre en compte, ne représentent pas de nuage d’inquiétudes. "Les fonctions risque redoutent en priorité le manque d’expertise, la complexité des outils, la qualité des formations et les contraintes budgétaires. De leur côté, les praticiens de l’IA, confrontés à un grand nombre de projets en cours et à des objectifs ambitieux, pointent surtout le manque de ressources et la difficulté à cartographier les systèmes d’IA concernés", précise l’étude de KPMG.