Acte AI de l'UE pour les entreprises américaines : Guide de conformité extraterritoriale

L'acte AI de l'UE s'applique-t-il à votre entreprise américaine ?

Oui, dans l'un de ces scénarios :

• Vous placez un système d'IA sur le marché de l'UE (vente, licence ou mise à disposition aux clients de l'UE)
• Vous fournissez un système d'IA dont l'output est utilisé en UE
• Vous déployez un système d'IA dans l'UE, quel que soit l'hébergement du système
• Vous êtes un fournisseur américain dont le modèle est intégré dans un produit de downstream de l'UE

Les SaaS hébergés en nuage comptent. Les outils web d'IA accessibles aux utilisateurs de l'UE comptent. Il n'y a pas de seuil de déminimis pour l'exposition à l'UE.

Exigence de représentant de l'UE

L'article 22 exige que les fournisseurs non-UE désignent un représentant autorisé :

Les fournisseurs non-UE de systèmes d'IA à haut risque doivent désigner un représentant établi en UE avant de placer le système sur le marché de l'UE. Le représentant est le point de contact pour les régulateurs de l'UE et doit détenir la documentation technique.

Qu'est-ce que les entreprises américaines doivent faire

Un plan de conformité pratique pour les organisations américaines :

• Inventorier les systèmes d'IA avec toute exposition à l'UE
• Classer chaque système en fonction de l'article 6 / annexe III
• Mettre en œuvre les contrôles de l'article 9-14 pour les systèmes à haut risque
• Désigner un représentant de l'UE si vous êtes un fournisseur non-UE de systèmes d'IA à haut risque
• Effectuer l'évaluation de conformité et le marquage CE
• S'inscrire dans la base de données de l'IA de l'UE
• Déterminer laquelle est votre superviseur principal (généralement le pays de votre représentant de l'UE)

Interaction avec les cadres américains

Les entreprises américaines peuvent utiliser leurs programmes de conformité existants :

• NIST AI RMF s'aligne bien sur l'article 9 de la gestion des risques et constitue un bon point de repère
• NYC LL144 (audits de biais de l'IA) se chevauche avec les obligations de l'annexe III sur l'emploi et l'IA
• Lois d'état (CO AI Act, CT, IL) convergent vers un modèle de risque similaire — un programme interne unique peut servir plusieurs juridictions
• SOC 2 / ISO 27001 ne constituent pas des substituts pour la conformité de l'acte AI de l'UE mais les contrôles s'alignent bien