Le registre des incidents (article 73)
La trace écrite des problèmes liés à l'IA, pour corriger et pour montrer.
Le registre des incidents consigne les problèmes liés à vos usages de l'IA. Ce module est réservé au palier Business.
Ce qu'est un incident lié à l'IA
Un incident est un fait, pas une impression. Un système d'IA a produit un résultat problématique, ou son usage a mal tourné.
Exemples courants en PME :
- Un document client envoyé avec une information fausse produite par l'IA.
- Des données confidentielles saisies dans un outil grand public.
- Un tri de candidatures assisté par IA au résultat discutable.
- Un contenu à caractère discriminatoire généré puis publié.
- Un outil indisponible qui bloque une activité devenue dépendante de lui.
L'article 73 de l'EU AI Act encadre le signalement des incidents graves. Il vise les systèmes à haut risque, pas tous les usages d'IA.
La plupart des PME ne sont pas fournisseurs de systèmes à haut risque. Tenir un registre reste utile, et prépare l'échéance du 2 décembre 2027 pour l'annexe III.
Le délai supplémentaire sur le haut risque est du temps pour structurer. Ce n'est pas une raison de ne rien faire.
Ce qu'on y consigne
Un registre utile tient en une ligne par incident. L'objectif est de retrouver le fait, pas de rédiger un rapport.
Pour chaque incident, notez :
- La date et l'heure de la découverte.
- L'outil ou le système concerné.
- La personne qui signale.
- Les faits, en langage simple, sans jugement.
- Les données et les personnes touchées.
- La mesure prise immédiatement.
- La correction durable, et la date de clôture.
Consignez aussi les incidents évités de justesse. Ce sont les plus instructifs, et les moins coûteux.
Restez factuel dans la description. Un registre qui cherche un coupable se remplit mal, ou pas du tout.
Un module réservé au palier Business
Tous les paliers incluent l'audit et la classification annexe III. Ils couvrent aussi les documents de gouvernance, l'Attestation de Maturité, le suivi continu et la littératie article 4.
Le registre des incidents ne fait pas partie de ce socle commun. Il est réservé au palier Business (dans le menu, cet écran s'appelle encore Incidents IA).
Si votre palier ne l'inclut pas, tenez ce registre en dehors de l'outil. Un simple fichier partagé suffit pour démarrer, avec les mêmes colonnes.
L'important est qu'une seule personne en soit responsable. Sans responsable nommé, un registre se vide de lui-même.
Et ensuite
Indiquez dans votre charte d'usage à qui signaler un incident. Sans point de contact identifié, le registre reste vide alors que les incidents existent.