Sommes-nous fournisseur ou déployeur ?
Cela dépend de chaque système. Qui développe un système d’IA ou le met sur le marché sous son propre nom est fournisseur. Qui utilise un système tiers sous sa propre responsabilité est déployeur. Beaucoup d’entreprises sont les deux. Dans Sightadel, vous consignez le rôle pour chaque système. La qualification définitive est une question juridique pour votre conseil.
Notre produit repose sur un modèle de langage tiers. Qu’est-ce qui s’applique à nous ?
Pour le modèle lui-même, c’est son fournisseur qui porte les obligations relatives aux modèles à usage général. Pour votre système qui utilise le modèle, vous êtes en règle générale vous-même fournisseur. Vous avez alors besoin de documents du fournisseur du modèle pour remplir vos propres obligations. Gérez-le dans Sightadel comme fournisseur avec évaluation.
Quelles échéances s’appliquent actuellement ?
Interdictions et maîtrise de l’IA depuis février 2025, règles relatives aux modèles d’IA à usage général depuis août 2025, obligations de transparence depuis août 2026. Les obligations relatives aux systèmes à haut risque ont été reportées en 2026 : à décembre 2027 pour les systèmes autonomes, à août 2028 pour l’IA intégrée à des produits réglementés.
Avons-nous besoin d’ISO/IEC 42001 pour respecter le règlement ?
Non. La norme est volontaire. Elle fournit toutefois le socle organisationnel que le règlement suppose : inventaire, responsabilités, évaluation des risques, analyse d’impact. Les étapes légales comme l’évaluation de la conformité, l’enregistrement et certaines obligations de transparence sont à vérifier séparément.
Pouvons-nous utiliser des données clients pour l’entraînement ?
Pas sans examen. Il vous faut une base juridique pour cette finalité précise, une information des personnes concernées et souvent une analyse d’impact relative à la protection des données. Des engagements contractuels envers les clients peuvent en outre l’exclure. Sightadel vous guide à travers les questions et consigne le résultat, l’appréciation juridique revient à votre délégué à la protection des données (DPO) ou à votre conseil.
Qui nous audite, et Sightadel certifie-t-il ?
Sightadel ne certifie pas. Une certification ISO/IEC 42001 est délivrée par un organisme accrédité. Pour les systèmes à haut risque, l’évaluation de la conformité se fait, selon le système, en interne ou par un organisme notifié. Vous choisissez les auditeurs dans notre réseau de partenaires indépendant ou vous-même. Aucune commission n’est versée pour les audits, ni à nous ni aux partenaires.
L’IA de Sightadel remplit-elle la classification à notre place ?
Non, et c’est voulu. Elle fournit des projets à partir de modèles et aide à la rédaction. Rôle, classe de risque et risques résiduels, c’est vous qui en décidez, car vous devez pouvoir défendre ces décisions devant les autorités et les clients. Pour les cas difficiles, vous pouvez réserver du conseil sous forme de forfait dans l’application.
Où sont stockés nos documents ?
Sightadel est développé en Allemagne et exploité en Allemagne. Nous concluons avec chaque client un accord de sous-traitance (art. 28 RGPD). Les données d’entraînement et les modèles n’ont pas leur place dans Sightadel, seule la documentation qui s’y rapporte.
