La loi n° 243-FZ sur l'IA répartit les entreprises en trois rôles : ce qu'il faut vérifier dès maintenant

La loi n° 243-FZ introduit dans la réglementation russe de l'IA une logique de rôles : les obligations d'une entreprise dépendent de ce qu'elle fait précisément d'un réseau de neurones. RB.RU, avec des experts, distingue trois scénarios de base. Premier cas : l'entreprise développe son propre modèle. Deuxième cas : elle fournit à ses clients l'accès à un modèle existant. Troisième cas : ses employés utilisent simplement des réseaux de neurones dans leur travail quotidien. L'annonce publiée ne cite ni articles précis, ni délais, ni sanctions. Ce qui suit présente donc la structure du sujet et une méthode de vérification, et non un résumé des normes.

Trois rôles, trois jeux d'exigences

Cette répartition par rôles sera familière à tous ceux qui ont travaillé avec la réglementation sur les données personnelles ou la sécurité de l'information. La loi n'évalue pas « l'IA en général ». Elle demande qui se trouve où dans la chaîne : le créateur de la technologie, l'intermédiaire ou l'utilisateur final. La réponse détermine l'étendue des obligations.

• Développeur de modèle. Il entraîne ou affine le système, et définit son architecture, ses données et ses limites. C'est généralement sur lui que pèse la charge la plus lourde : documentation, sources de données, évaluation des risques.
• Fournisseur d'accès. Il intègre un modèle, le sien ou celui d'un tiers, dans un produit et vend l'accès à ses clients : chatbot de support, API, assistant dans une application. Il répond devant le client du fonctionnement du service.
• Utilisateur. Il emploie des réseaux de neurones en interne pour les textes, l'analyse, le code ou le traitement des demandes. Les exigences à son égard sont en règle générale moins nombreuses, mais elles ne sont pas nulles.

Les frontières entre ces rôles sont floues. Une entreprise qui a affiné un modèle ouvert sur ses propres données et l'a déployé dans un service client peut se retrouver dans deux catégories à la fois.

Le type de modèle compte aussi

Les experts de RB.RU soulignent un second facteur : outre le rôle, le modèle utilisé entre en ligne de compte. Concrètement, la question « quel réseau de neurones utilisez-vous ? » cesse d'être purement technique. Un développement interne, un modèle commercial russe, un service étranger ou un modèle ouvert déployé en local donnent un tableau différent en matière d'origine des données, de maîtrise du traitement et de responsabilité.

Pour les juristes, c'est un problème de classification. Pour les développeurs, il s'agit de savoir quels artefacts conserver et présenter : description des données, versions des modèles, journaux de fonctionnement. Pour l'entreprise, la question porte sur les contrats : qui est responsable si le modèle produit un résultat erroné ?

Ce qui manque pour l'instant

L'annonce ne permet pas de savoir quelles obligations la loi attribue précisément à chaque rôle, comment la responsabilité sera organisée et quand les normes commenceront à s'appliquer. Ces détails détermineront le coût réel de la mise en conformité. Mieux vaut ne pas se fier aux résumés : il faut le texte de la loi lui-même, ainsi que les actes d'application, s'ils sont prévus.

Ce qu'il faut vérifier dès maintenant

On peut commencer par un inventaire interne, qui ne nécessite pas de connaître tous les détails de la loi.

1. Dresser un registre des outils d'IA. Quels réseaux de neurones sont utilisés, dans quels services, sur quels comptes.

L'usage officieux par les employés est généralement plus étendu que ne le pense la direction. 2. **Déterminer le rôle pour chaque scénario.

** Développement, fourniture d'accès ou usage interne. Le rôle peut différer d'un produit à l'autre. 3.

Identifier l'origine des modèles. Modèles propres, sous licence, ouverts, services étrangers. Consigner les conditions des licences et celles du traitement des données.

4. Revoir les contrats avec les clients et les sous-traitants. Contiennent-ils une section sur l'IA ?

La responsabilité des résultats du modèle y est-elle répartie ? 5. **Désigner un responsable.

Une personne, ou un petit groupe réunissant juriste, informatique et sécurité, qui suivra les actes d'application et les clarifications. 6. Commencer à tenir une documentation.

** Versions des modèles, jeux de données, prompts et politiques d'utilisation : il est plus simple de les rassembler maintenant que de les reconstituer a posteriori.

Les entreprises qui construisent tout juste des produits d'IA ont intérêt à intégrer ces pratiques à leur processus de développement dès le départ. Pour celles qui utilisent les réseaux de neurones comme un outil bureautique, une politique interne et des règles claires pour les employés suffisent. Les exigences exactes ne seront connues qu'après l'étude du texte de la loi n° 243-FZ, mais de l'ordre dans ses propres processus d'IA sera utile dans tous les cas de figure.