Glossaire IA Act : 50 termes clés

A

ACPR: Autorité de contrôle prudentiel et de résolution (France). Régulateur des banques et assurances. Compétente sur les systèmes IA financiers.
AI Office: Office européen de l'IA, organe de la Commission européenne en charge du suivi du règlement, particulièrement pour les modèles GPAI à risque systémique.
AI literacy Article 4: Maîtrise de l'IA. Article 4 du règlement, en vigueur depuis le 2 février 2025. Obligation de former tous les collaborateurs concernés à l'usage des outils IA.
Annexe III Annexe III: Liste des 8 catégories de systèmes IA classés haut risque (recrutement, scoring crédit, biométrie, etc.).
Annexe IV Annexe IV: Documentation technique attendue d'un fournisseur de système IA haut risque (description, données d'entraînement, performances, limites, gestion des risques).
ARCOM: Autorité de régulation de la communication audiovisuelle et numérique (France). Compétente sur certaines catégories de systèmes IA, notamment les contenus générés.
Article 4 Article 4: Obligation de formation des collaborateurs (AI literacy). En vigueur depuis le 2 février 2025.
Article 5 Article 5: Liste des 8 pratiques IA interdites (social scoring, manipulation cognitive, reconnaissance d'émotions au travail/école, etc.). En vigueur depuis le 2 février 2025.
Article 12 Article 12: Tenue de logs (record-keeping) pour les systèmes haut risque. Conservation 6 mois minimum.
Article 14 Article 14: Supervision humaine effective des systèmes haut risque. Quatre capacités du superviseur : comprendre, surveiller, interpréter, arrêter.
Article 22 RGPD: Droit pour une personne de ne pas faire l'objet d'une décision exclusivement automatisée à effets significatifs.
Article 26 Article 26: Obligations des déployeurs (entreprises utilisatrices) de systèmes haut risque : supervision humaine effective, conservation des logs, information des personnes concernées, signalement des incidents au fournisseur.
Article 27 Article 27: Évaluation d'impact sur les droits fondamentaux (FRIA). Obligatoire pour (a) les organismes publics, (b) les entités privées chargées d'un service public, (c) les déployeurs de scoring crédit (Annexe III §5b) ou d'assurance vie/santé (§5c). Pour une PME privée ordinaire (recrutement assisté par IA, par exemple), la FRIA n'est pas une obligation légale : c'est une bonne pratique recommandée, pouvant être imposée contractuellement par les grands comptes.
Article 49 Article 49: Inscription au registre européen des systèmes IA haut risque.
Article 50 Article 50: Obligation de transparence : informer la personne qu'elle interagit avec une IA, marquer les contenus générés, disclore les deepfakes.
Article 73 Article 73: Obligation de notification d'incident grave à l'autorité de surveillance (pour les systèmes haut risque).
Auto-évaluation: Démarche par laquelle un déployeur évalue lui-même la conformité de son dispositif. Différente d'un audit externe.

B

Biométrie Annexe III: Identification ou catégorisation d'une personne physique sur la base de caractéristiques biologiques (empreinte, voix, visage, iris). Annexe III §1.

C

CE marking (marquage CE): Marquage de conformité européen requis pour les systèmes IA haut risque mis sur le marché.
CNIL: Commission nationale de l'informatique et des libertés (France). Autorité de protection des données, et autorité de surveillance pour de nombreux aspects de l'IA Act.
Code of Practice GPAI: Code de conduite volontaire pour les fournisseurs de modèles d'IA à usage général (GPAI). Publié en juillet 2025.
CSE: Comité social et économique. Instance de représentation du personnel. La consultation du CSE est obligatoire (Art. L2312-38 du Code du travail) avant la mise en service de tout outil de surveillance ou de mesure de la charge de travail des salariés. Il s'agit d'une consultation (avis rendu), pas d'une simple information.

D

Déployeur: Entreprise utilisatrice d'un système IA. À distinguer du fournisseur. La PME standard est déployeuse, pas fournisseur.
DGCCRF: Direction générale de la concurrence, de la consommation et de la répression des fraudes (France). Compétente pour la protection des consommateurs face aux systèmes IA.
Digital Omnibus: Proposition de la Commission européenne (novembre 2025) pour ajuster certains délais d'application du règlement IA Act. Au 7 mai 2026, accord politique provisoire entre Parlement et Conseil repoussant les échéances haut risque à décembre 2027 (Annexe III) et août 2028 (Annexe I). Adoption définitive non encore actée à la date de publication.
DPIA: Data Protection Impact Assessment. Analyse d'impact RGPD requise pour les traitements à risque élevé pour les personnes.
DPO: Délégué à la Protection des Données (RGPD). Obligatoire pour les organismes publics et les entreprises traitant à grande échelle des données sensibles.

F

FLOPs: Floating-point operations. Mesure de la puissance de calcul d'un modèle IA. Seuil de 10²⁵ FLOPs au-delà duquel un modèle GPAI est considéré à risque systémique.
Fournisseur: Entité qui développe et met sur le marché un système IA. À distinguer du déployeur. Une PME peut devenir fournisseur en fine-tunant un modèle pour un usage spécifique.
FRIA Article 27: Fundamental Rights Impact Assessment. Évaluation d'impact sur les droits fondamentaux (Article 27). Légalement obligatoire uniquement pour (a) les organismes publics, (b) les entités privées chargées d'un service public, (c) les déployeurs de scoring crédit (Annexe III §5b) ou d'assurance vie/santé (§5c). Pour une PME privée ordinaire (recrutement par ATS, par exemple), la FRIA n'est pas une obligation légale stricte : bonne pratique fortement recommandée, pouvant être requise contractuellement par un donneur d'ordre grand compte.

G

GPAI: General Purpose AI Model. Modèle d'IA à usage général (modèle de fondation). Exemples : GPT-4, Claude, Gemini, Mistral Large, Llama.

H

Haut risque Annexe III: Niveau de risque correspondant aux 8 catégories de l'Annexe III. Ensemble d'obligations renforcées (FRIA, registre européen, supervision systématique, etc.).
Human in the loop Article 14: Expression anglaise souvent mal comprise. Le règlement parle de supervision humaine effective (Article 14), pas de validation systématique de chaque sortie.

I

IA Act: Règlement européen 2024/1689 sur l'intelligence artificielle. Adopté en juin 2024, application progressive 2025-2027.
Interaction directe Article 50: Quand une IA dialogue avec une personne physique. Déclenche l'obligation de transparence Article 50.

L

Logs Article 12: Enregistrements automatiques des événements d'un système IA. Tenue obligatoire pour les systèmes haut risque (Article 12).

M

Manipulation cognitive Article 5: Pratique IA interdite (Article 5 §1 b) qui exploite les vulnérabilités d'une personne pour altérer son comportement de façon à lui causer un préjudice.
Marketplace: Plateforme commerciale (Amazon, eBay) sur laquelle des produits sont vendus. Certaines pratiques de scoring vendeur ou client sur ces plateformes peuvent relever de l'IA Act.
Mise en demeure: Décision officielle d'une autorité de contrôle (CNIL, DGCCRF) ordonnant à une entreprise de se mettre en conformité dans un délai.
Modèle de fondation: Synonyme de GPAI. Modèle entraîné sur de larges corpus, utilisable pour de multiples tâches.
Modification substantielle: Changement significatif d'un système IA qui peut affecter sa conformité. À notifier au déployeur par le fournisseur.

N

Notification 72h: Délai pour notifier la CNIL en cas de violation de données personnelles (RGPD). À ne pas confondre avec la notification d'incident IA Act (Article 73).

P

Personne raisonnablement avisée Article 50: Notion juridique utilisée à l'Article 50. Sert à apprécier si l'usage d'une IA ressort clairement à un utilisateur moyen.
Politique publique IA: Document accessible publiquement décrivant les systèmes IA déployés par une entreprise et la manière dont elle les supervise.
Pratique interdite Article 5: L'une des 8 pratiques IA listées à l'Article 5 (social scoring, reconnaissance d'émotions au travail/école, etc.). Interdiction absolue depuis le 2 février 2025.

R

Registre européen Article 49: Base de données de la Commission listant les systèmes IA haut risque. Inscription obligatoire (Article 49).
Registre IA: Document interne d'entreprise listant tous les systèmes IA déployés. Non explicitement nommé dans le règlement, mais incontournable en pratique.
Risque inacceptable Article 5: Catégorie regroupant les pratiques interdites (Article 5).
Risque limité Article 50: Catégorie correspondant aux systèmes interagissant avec des personnes ou générant du contenu (Article 50).
Risque minimal: Catégorie regroupant tous les systèmes ne tombant pas dans les autres catégories. Pas d'obligation IA Act spécifique.
Risque systémique: S'applique aux modèles GPAI dépassant 10²⁵ FLOPs (modèles très puissants). Obligations renforcées pour leurs fournisseurs.

S

Schrems II: Arrêt de la Cour de Justice européenne encadrant les transferts de données personnelles hors UE. Impacte les usages d'outils IA américains traitant des données européennes.
Score: Note attribuée par un système IA à une personne ou une entité. Peut basculer en haut risque selon l'effet de la décision qui en découle.
Seuil de risque systémique: 10²⁵ FLOPs pour les modèles GPAI. Au-delà, obligations renforcées (red-teaming, évaluations).
Shadow IT IA: Outils IA déployés par des utilisateurs sans validation centralisée. Représente 30 à 50 % des outils IA d'une PME standard.
Social scoring Article 5: Pratique consistant à attribuer une note sociale aux personnes selon leur comportement. Pratique interdite par l'Article 5 §1 c.
Supervision humaine Article 14: Capacité d'une personne physique à comprendre, surveiller, interpréter et arrêter un système IA (Article 14).
Surveillance post-marché: Suivi continu d'un système IA après sa mise en production, pour détecter dérives, biais, dysfonctionnements.
Système d'IA Article 3: Selon l'Article 3 §1, système basé sur une machine, conçu pour fonctionner avec différents niveaux d'autonomie, qui infère à partir d'entrées comment générer des sorties (prédictions, recommandations, décisions, contenus).

T

Transparence Article 50: Obligation centrale de l'Article 50. Informer la personne, marquer les contenus, disclore les deepfakes.

U

Utilisateur final: Personne physique qui interagit avec un système IA déployé par une entreprise.

W

Watermark Article 50: Marquage technique invisible dans un contenu généré par IA, lisible par algorithme. Obligation Article 50 §2.