Loi européenne sur l'IA pour les entreprises américaines : guide de la conformité extraterritoriale

La loi européenne sur l'IA s'applique-t-elle à votre entreprise américaine ?

Oui, dans l'un ou l'autre de ces scénarios :

• Vous mettez un système d'IA sur le marché de l'UE (vous le vendez, vous le concédez en licence ou vous le mettez à la disposition des clients de l'UE)
• Vous fournissez un système d'IA dont la sortie est utilisée dans l'UE
• Vous déployez un système d'IA dans l'UE, quel que soit l'endroit où le système est hébergé
• Vous êtes un fournisseur américain dont le modèle est intégré dans un produit de l'UE

Les SaaS hébergés dans le cloud sont pris en compte. Les outils d'IA basés sur le Web accessibles aux utilisateurs de l'UE sont pris en compte. Il n'y a pas de seuil de minimis pour l'exposition à l'UE.

Exigence de désignation d'un représentant dans l'UE

L'article 22 exige que les fournisseurs non européens désignent un représentant autorisé :

Les fournisseurs non européens de systèmes d'IA à haut risque doivent désigner un représentant autorisé établi dans l'UE avant de mettre le système sur le marché de l'UE. Le représentant est le point de contact pour les autorités de réglementation de l'UE et doit détenir la documentation technique.

Ce que les entreprises américaines doivent faire

Une feuille de route pratique pour la conformité des organisations dont le siège social est situé aux États-Unis :

• Inventaire des systèmes d'IA présentant une exposition quelconque à l'UE
• Classification de chaque système en vertu de l'article 6 / de l'annexe III
• Mise en œuvre des contrôles visés aux articles 9 à 14 pour les systèmes à haut risque
• Désignation d'un représentant dans l'UE si vous êtes un fournisseur non européen de systèmes d'IA à haut risque
• Réalisation de l'évaluation de la conformité et apposition du marquage CE
• Enregistrement dans la base de données de l'IA de l'UE
• Détermination de l'autorité qui sera votre superviseur principal (généralement le pays de votre représentant dans l'UE)

Interaction avec les cadres américains

Les entreprises américaines peuvent tirer parti des programmes de conformité existants :

• NIST AI RMF s'aligne bien avec l'article 9 sur la gestion des risques et constitue une référence utile.
• NYC LL144 (audits sur les biais de l'IA en matière de RH) recoupe l'annexe III sur les obligations en matière d'emploi et d'IA.
• Les lois des États (CO AI Act, CT, IL) convergent vers un modèle similaire basé sur les risques — un programme interne unique peut répondre aux besoins de plusieurs juridictions.
• SOC 2 / ISO 27001 ne sont pas des substituts à la conformité à la loi sur l'IA, mais les contrôles sont bien structurés.