Article 86 — Droit à l'explication des décisions individuelles (règlement IA de l'UE)

Article 86 du règlement (UE) 2024/1689 — Droit à l'explication des décisions individuelles. Texte officiel, interprétation pratique, obligations clés et implications en matière de conformité.

Résumé du texte officiel

L'article 86 du règlement (UE) 2024/1689 — le règlement IA de l'UE — établit un droit à l'explication pour les personnes physiques qui font l'objet de décisions prises avec l'intervention de systèmes d'IA à haut risque figurant à l'annexe III. Lorsqu'une telle décision produit des effets juridiques sur une personne, ou l'affecte de manière similairement significative, cette personne a le droit d'obtenir du déployeur une explication significative du rôle joué par le système d'IA dans la procédure de prise de décision.

L'explication doit englober, au minimum, les principaux paramètres pris en compte par le système et le poids que ces paramètres ont eu dans l'obtention du résultat spécifique affectant la personne. Cette obligation incombe au déployeur — l'entité qui met le système d'IA à haut risque en service — plutôt qu'au fournisseur qui a développé et mis le système sur le marché.

Le droit n'est pas absolu. L'article 86 exclut les situations dans lesquelles la décision est nécessaire à la conclusion ou à l'exécution d'un contrat, est requise ou autorisée par le droit de l'Union ou d'un État membre, ou repose sur le consentement préalable explicite de la personne concernée. Même dans ces situations d'exemption, les déployeurs sont généralement tenus de mettre en œuvre des garanties appropriées, notamment en rendant disponible un examen humain et en informant les personnes de leur possibilité de demander un tel examen. L'article fonctionne ainsi comme un instrument complémentaire au cadre des droits individuels établi par le RGPD, en particulier les articles 13 à 15 et 22 du règlement (UE) 2016/679, tout en étant adapté au contexte spécifique de la prise de décision assistée par l'IA.

Ce que cela signifie en pratique

L'article 86 a des implications opérationnelles directes pour toute organisation déployant un système d'IA à haut risque dans un contexte où des résultats individuels sont en jeu. Les scénarios typiques comprennent la notation de crédit assistée par l'IA par les établissements financiers, les outils de recrutement ou de présélection de candidats assistés par l'IA, les systèmes d'IA utilisés pour la détermination des droits aux prestations par les autorités publiques, et la classification des risques pilotée par l'IA dans la souscription d'assurances.

Dans chacun de ces cas, le déployeur doit être capable de produire — sur demande — un compte rendu suffisamment détaillé des raisons pour lesquelles une décision particulière a abouti à ce résultat pour une personne spécifique. Une description générique du fonctionnement du modèle en tant que classe est insuffisante. L'explication doit être individualisée : elle doit refléter les paramètres réellement évalués pour cette personne et la manière dont chaque paramètre a contribué au résultat.

En pratique, cela impose aux déployeurs de maintenir des capacités de journalisation et de piste d'audit au niveau de l'inférence individuelle, et pas seulement au niveau du modèle. Lorsque le système d'IA est acquis auprès d'un fournisseur tiers, le déployeur doit s'assurer que les dispositions contractuelles et techniques en place lui permettent d'obtenir et de communiquer les informations requises. Les fournisseurs sont en conséquence tenus, en vertu de l'article 13 (transparence) et de l'article 16 (obligations des fournisseurs), de fournir aux déployeurs la documentation nécessaire pour s'acquitter de cette obligation.

Les organisations devraient également examiner la manière dont l'article 86 s'articule avec leurs processus existants au titre de l'article 22 du RGPD. Lorsque la prise de décision automatisée déclenche des droits au titre de l'article 22 du RGPD, le droit à l'explication prévu par le règlement IA de l'UE peut s'appliquer de manière concurrente, et un mécanisme de réponse consolidé couvrant les deux cadres réduira la charge de conformité et améliorera l'expérience des personnes concernées.

Obligations clés

• Les déployeurs de systèmes d'IA à haut risque figurant à l'annexe III doivent fournir, sur demande, une explication individualisée des principaux paramètres d'une décision produite avec l'intervention de l'IA et le poids relatif de ces paramètres dans le résultat spécifique.
• Les explications doivent être spécifiques à la personne concernée, et non une description générique de la logique globale du système ou de sa méthodologie d'entraînement.
• Les déployeurs doivent maintenir une infrastructure technique et documentaire — y compris des journaux au niveau de l'inférence — suffisante pour reconstituer et communiquer les paramètres de décision pertinents après coup.
• Les déployeurs doivent informer les personnes concernées de leur droit à demander une explication et, le cas échéant, de leur droit à demander un examen humain d'une décision, de manière claire et accessible.
• Lorsque des exemptions s'appliquent (nécessité contractuelle, obligation légale, consentement explicite), les déployeurs doivent néanmoins s'assurer que des garanties adéquates sont en place, notamment un mécanisme d'examen humain effectif.
• Les fournisseurs qui mettent à disposition des systèmes d'IA à haut risque auprès des déployeurs doivent fournir une documentation technique et des instructions suffisantes en vertu des articles 13 et 16 pour permettre aux déployeurs de satisfaire à leurs obligations au titre de l'article 86 en aval.

Articulation avec d'autres articles

L'article 86 ne fonctionne pas de manière isolée et doit être lu conjointement avec plusieurs dispositions interconnectées du règlement IA de l'UE et d'instruments externes.

Au sein du règlement, l'article 86 dépend directement de la classification à l'annexe III des systèmes d'IA à haut risque ; le droit n'est déclenché que lorsqu'un système relève de ce champ d'application. Il est étroitement lié à l'article 13 (transparence et fourniture d'informations aux déployeurs), à l'article 14 (exigences de surveillance humaine), à l'article 26 (obligations des déployeurs) et à l'article 72 (obligations d'évaluation de l'impact sur les droits fondamentaux pour certains déployeurs publics).

À l'extérieur du règlement, l'article 86 est explicitement conçu pour compléter l'article 22 du RGPD, qui limite les décisions exclusivement automatisées produisant des effets significatifs sur les personnes, et les articles 13 à 15 du RGPD, qui régissent les droits à l'information. Lorsque les deux instruments s'appliquent, le droit à l'explication prévu par le règlement IA ajoute une couche de granularité spécifique à l'IA au cadre de transparence existant du RGPD. Les praticiens devraient également envisager l'interaction avec la directive sur la responsabilité en matière d'IA proposée, où les dossiers d'explication peuvent devenir déterminants pour établir la causalité dans les demandes d'indemnisation découlant de décisions assistées par l'IA.

Calendrier de conformité

Le règlement IA de l'UE est entré en vigueur le 1er août 2024, vingt jours après sa publication au Journal officiel de l'Union européenne. L'application est progressive :

• Février 2025 : Les dispositions relatives aux pratiques d'IA interdites (Art. 5) sont devenues applicables.
• Août 2025 : Les règles régissant les modèles d'IA à usage général (titre VIII, Art. 51 à 56) et les structures de gouvernance sont devenues applicables.
• Août 2028 : Les règles applicables aux systèmes d'IA à haut risque couverts par la législation d'harmonisation de l'Union existante (annexe I) ont commencé à s'appliquer.
• 2 décembre 2027 / 2 août 2028 : L'ensemble des obligations applicables aux systèmes d'IA à haut risque au titre du titre III — y compris les obligations des déployeurs en vertu de l'article 26 et le droit à l'explication prévu à l'article 86 — s'applique à compter du 2 décembre 2027 pour les systèmes figurant à l'annexe III, avec une période transitoire pour certains systèmes à haut risque déjà en service qui s'étend jusqu'au 2 août 2027.

Les organisations qui déploient des systèmes d'IA à haut risque relevant de l'annexe III et qui ne sont pas encore conformes à l'article 86 devraient traiter décembre 2026 comme une échéance ferme et donner la priorité à la mise en place d'une infrastructure d'explication et de flux de traitement des demandes de droits individuels bien avant cette date.