Comment auditer les jeux de données pour la conformité aux exigences de l'UE relatives à l'IA à haut risque

Le Bureau européen de l'intelligence artificielle a récemment publié son premier acte délégué dans le cadre de la loi sur l'IA de l'UE, fournissant les spécifications techniques tant attendues pour la qualité des données, la gouvernance et la documentation. Pour les propriétaires et les acheteurs de données, cette décision transforme la conformité d'une abstraction juridique en une exigence opérationnelle concrète. Si votre ensemble de données est destiné à être utilisé dans des systèmes d'IA « à haut risque » — tels que ceux utilisés dans le recrutement, la notation de crédit ou les infrastructures critiques — le respect de ces normes n'est plus facultatif ; c'est la condition préalable à l'entrée sur le marché.

Identification des exigences de données « à haut risque »

Dans le cadre de la loi sur l'IA de l'UE, la classification « à haut risque » est déterminée par l'application, et non par les données elles-mêmes. Cependant, la charge de la preuve incombe lourdement aux données d'entraînement. Conformément à l'article 10 de la loi sur l'IA de l'UE, les ensembles de données utilisés pour l'entraînement, la validation et les tests d'IA à haut risque doivent être soumis à des « pratiques strictes de gouvernance et de gestion des données ». Cela inclut tout, des choix de conception initiaux à l'examen final des biais.

Pour un propriétaire de données, cela signifie que la valeur de votre actif est désormais intrinsèquement liée à sa piste d'audit. Pour un acheteur, l'acquisition de données non conformes pour une application à haut risque représente une responsabilité catastrophique. Le non-respect peut entraîner des amendes administratives allant jusqu'à 35 000 000 € ou 7 % du chiffre d'affaires annuel mondial total (https://artificialintelligenceact.eu/fines/), le montant le plus élevé étant retenu. Par conséquent, la capacité à acquérir des données d'entraînement rares et conformes dans le cadre de la loi sur l'IA de l'UE est devenue une priorité stratégique majeure pour les laboratoires d'IA.

La liste de contrôle de conformité de l'article 10

Pour préparer un ensemble de données à des cas d'utilisation à haut risque, les organisations doivent mettre en œuvre un cadre de gouvernance à plusieurs niveaux. Les critères suivants sont désormais obligatoires pour tout ensemble de données entrant dans la chaîne d'approvisionnement à haut risque :

• Choix de conception et collecte de données : Vous devez documenter la justification de la sélection des données et les méthodes spécifiques utilisées pour la collecte. Cela inclut la vérification de la base juridique du traitement, en particulier dans le cadre du RGPD.
• Opérations de traitement des données : Chaque étape — nettoyage, transformation et étiquetage — doit être documentée. Dans les scénarios à haut risque, la « provenance » d'une étiquette (qui l'a attribuée et selon quelles directives) est aussi importante que l'étiquette elle-même.
• Représentativité et analyse des écarts : La loi sur l'IA exige que les ensembles de données soient « pertinents, représentatifs et, dans la mesure du possible, exempts d'erreurs ». Cela nécessite une analyse formelle des écarts pour identifier les données démographiques manquantes ou les cas limites qui pourraient entraîner une défaillance du système.
• Détection et atténuation des biais : C'est l'exigence la plus exigeante techniquement. Les propriétaires de données doivent effectuer des tests statistiques pour détecter les biais qui pourraient entraîner une discrimination interdite. Si des biais sont détectés, l'ensemble de données doit être « rééquilibré » ou les biais doivent être atténués par des moyens techniques avant la vente.

Le coût de la conformité par rapport à la prime du marché

La préparation d'un ensemble de données pour la conformité à haut risque nécessite des ressources importantes. L'évaluation d'impact initiale de la Commission européenne estimait que les coûts de conformité pour les PME pourraient varier de 6 000 € à 7 000 € (chiffre divulgué : https://digital-strategy.ec.europa.eu/en/library/impact-assessment-report-and-executive-summary-proposal-laying-down-harmonised-rules-artificial) spécifiquement pour les exigences de gouvernance des données des systèmes à haut risque. Cependant, les analystes de l'industrie suggèrent maintenant que pour les ensembles de données multimodaux complexes, le coût d'un audit complet de l'article 10 peut dépasser 50 000 € par actif.

Bien que ces coûts soient importants, ils créent une « barrière de conformité ». Les données qui sont pré-audités et « prêtes pour le déploiement à haut risque » commandent une prime significative sur le marché secondaire. Nous constatons que les ensembles de données « prêts pour l'article 10 » pour les soins de santé et les services financiers se négocient à 2 à 3 fois le prix des alternatives standard non auditées dans notre catalogue d'ensembles de données sélectionnés.

Documentation : Le « Passeport de données »

La dernière exigence est la création d'une documentation technique complète. Ce « Passeport de données » doit permettre à un auditeur tiers de comprendre exactement comment les données ont été traitées. Il doit inclure l'origine des données, leurs caractéristiques et les mesures prises pour garantir qu'elles répondent aux normes de qualité du Bureau européen de l'intelligence artificielle. Sans cette documentation, les données sont effectivement « toxiques » pour tout développeur d'IA à haut risque, car il ne peut pas remplir ses propres obligations de transparence en vertu de la loi.

Ce que cela signifie pour vous

Pour les propriétaires de données, le message est clair : l'ère de la vente de données « brutes » dans des industries sensibles est révolue. Pour maximiser la valeur de vos actifs, vous devez investir dans la couche de gouvernance. Un ensemble de données audité n'est plus seulement une collection de points ; c'est un actif financier certifié.

Pour les acheteurs de données, l'accent doit être mis sur l'acquisition « axée sur la gouvernance » plutôt que sur le volume. Avant de signer un accord de licence, exigez le rapport d'audit de l'article 10. Si un fournisseur ne peut pas fournir un rapport clair sur la lignée et l'atténuation des biais, les données constituent une responsabilité qui pourrait entraîner la mise hors service forcée de votre modèle d'IA par les régulateurs européens.