Conformité au règlement IA : relier la documentation des modèles à l'origine des données
L'annexe IV du règlement IA demande de décrire les données d'entraînement, de validation et d'essai d'un système d'IA à haut risque. Voici une méthode en cinq étapes, fondée sur leur généalogie.
Les équipes data parlent de " généalogie des données " (data lineage) : savoir d'où vient une donnée et ce qu'elle a subi avant d'entraîner un modèle. Le règlement IA n'emploie pas cette expression. Il parle de " provenance " et de " gouvernance des données ". L'écart n'est pas qu'une affaire de mots. Un graphe de flux montre un chemin ; une autorité attend une trace écrite, datée, rattachée à une version du modèle.
1. Partir de l'annexe IV, point 2 d)
C'est l'endroit où la documentation du modèle rencontre les données. Ce point vise, le cas échéant, " les jeux de données d'entraînement utilisés, y compris une description générale de ces jeux de données et des informations sur leur provenance, leur portée et leurs principales caractéristiques; la manière dont les données ont été obtenues et sélectionnées ". Il couvre aussi l'étiquetage et le nettoyage des données. Pour la validation et les essais, le point 2 g) demande " les informations sur les données de validation et d'essai utilisées et leurs principales caractéristiques ". Ces deux points fixent la liste des champs à remplir.
2. Rattacher chaque jeu de données à une pratique écrite
L'article 10, paragraphe 2, soumet ces trois familles de jeux de données " à des pratiques en matière de gouvernance et de gestion des données appropriées à la destination du système d’IA à haut risque ". Trois points de sa liste concernent directement l'origine des données. Le point b) vise " les processus de collecte de données et l’origine des données ". Le point c) vise les opérations de préparation : annotation, étiquetage, nettoyage, mise à jour, enrichissement, agrégation. Le point h) vise " la détection de lacunes ou déficiences pertinentes dans les données " et la manière de les combler. Un outil de traçage des flux éclaire b) et c). Il ne sait pas quelles lacunes votre équipe a constatées : ce point-là s'écrit à la main.
3. Versionner le lien
L'article 11, paragraphe 1, ajoute une contrainte de temps : la documentation technique " est établie avant que ce système ne soit mis sur le marché ou mis en service et est tenue à jour ". Un export ponctuel ne suffit donc pas. Pour chaque version du modèle, une fiche rassemble : les jeux de données utilisés ; leur provenance et leur portée ; la façon dont ils ont été obtenus et sélectionnés ; l'étiquetage et le nettoyage ; ce qui a servi à valider et à tester ; la date. Quand le modèle change, la fiche change avec lui.
4. Ne pas confondre provenance et journaux
L'article 12, paragraphe 1, est une exigence de conception : " Les systèmes d’IA à haut risque permettent, techniquement, l’enregistrement automatique des événements (journaux) tout au long de la durée de vie du système. " Ces journaux servent à suivre le fonctionnement du système une fois en service. La provenance répond à une autre question : d'où viennent les données qui ont servi à entraîner le modèle. Les deux se documentent, mais pas dans la même rubrique.
5. Conserver
L'article 18, paragraphe 1, fixe la durée : le fournisseur garde la documentation technique accessible aux autorités nationales compétentes pendant dix ans, à compter de la commercialisation ou de la mise en service du système. Le lien entre la documentation et les données doit donc rester lisible pendant dix ans, même si les outils de l'équipe changent entre-temps.
Le calendrier
Le règlement (UE) 2026/1744 a décalé les échéances. D'après l'article 113, les articles 10 à 12 s'appliquent le 2 décembre 2027 aux systèmes à haut risque de l'annexe III, et le 2 août 2028 à ceux de l'annexe I. Les PME, jeunes pousses comprises, et les petites entreprises à moyenne capitalisation peuvent présenter ces éléments sous une forme simplifiée. Si elles le font, elles utilisent un formulaire dédié, que la Commission doit encore établir. Le délai paraît long. Mais la provenance se documente au moment de la collecte : une source oubliée aujourd'hui ne se reconstitue pas après coup.