L'article 9 exige un système de gestion des risques sur tout le cycle de vie. Voici ce système sous forme de registre : 18 scénarios prérédigés, cotés, et rattachés à l'article dont ils relèvent.
Livraison immédiate par e-mail après paiement. Fichier Excel, licence nominative.
L'article 9 ne demande pas une évaluation des risques. Il demande un système : continu, documenté, couvrant tout le cycle de vie d'un système d'IA à haut risque, identifiant les risques, les estimant, les évaluant après commercialisation et adoptant des mesures.
L'écart entre ces deux choses est précisément là où se situent la plupart des programmes. Une évaluation ponctuelle produit un document. L'article 9 veut un processus qui continue à produire des preuves.
Dix-huit scénarios de risque, déjà rédigés. Données non représentatives de la population visée, biais historiques reproduits, dérive après déploiement, le relecteur qui valide sans jamais contredire, le déployeur qui devient fournisseur sans le voir au titre de l'article 25, le fournisseur qui refuse les informations de l'annexe IV, l'incident grave sans chemin vers l'article 73. Chacun porte l'article dont il relève et une mesure d'atténuation de départ.
La première revue devient alors une conversation sur votre situation plutôt qu'une page blanche et un animateur.
Une cotation qui veut dire quelque chose. Vraisemblance × impact, où l'impact désigne l'impact sur la santé, la sécurité ou les droits fondamentaux — l'article 9, paragraphe 2, ne s'intéresse pas à votre compte de résultat. Le risque résiduel est coté après atténuation et enregistré avec le nom de la personne qui l'a accepté, car c'est exactement ce qu'attend le paragraphe 2, point d).
Un onglet sur le champ de l'annexe III avec les exclusions, pour éviter de remplir le registre d'un système qui n'a jamais été à haut risque.
Un tableau de bord qui recalcule : combien de risques élevés, combien restent ouverts, et leur répartition sur les huit thèmes.
Un registre sans aucun risque résiduel accepté n'a pas terminé son travail. Le fichier le dit sur le tableau de bord. L'article 9 anticipe qu'un risque subsiste et vous demande de le juger acceptable et de le dire — pas d'atteindre zéro.
Votre organisation est-elle soumise à la fois à l'AI Act et à DORA ? Les deux règlements se croisent sur la résilience opérationnelle des systèmes d'IA financiers. Notre site jumeau regulation-dora.eu couvre DORA en profondeur — et détaille ce que l'AI Act ajoute par-dessus un programme DORA existant.
L'AI Act pour les institutions financières ↗ Explorer regulation-dora.eu ↗Un système de gestion des risques couvrant tout le cycle de vie d'un système d'IA à haut risque : identification et analyse des risques connus et prévisibles, estimation des risques susceptibles d'apparaître à l'usage, évaluation des risques issus de la surveillance après commercialisation, et adoption de mesures appropriées. C'est un processus continu, pas une évaluation ponctuelle.
Non. L'article 9, paragraphe 2, vise les risques pour la santé, la sécurité et les droits fondamentaux. L'impact financier sur votre organisation est légitime à suivre, mais ce n'est pas ce que demande cet article.
Non. L'article 9 prévoit qu'un risque résiduel subsiste et vous demande de le juger acceptable et de le communiquer. Un registre où rien n'a été accepté n'a pas achevé l'exercice.