Article 95 de l'AI Act Codes de conduite volontaires

Analyse juridique de l'article 95

Encouragement des codes de conduite pour systèmes non haut risque

L'article 95, paragraphe 1, prévoit que « la Commission et les États membres encouragent et facilitent l'élaboration de codes de conduite destinés à favoriser l'application volontaire, par les fournisseurs ou déployeurs de systèmes d'IA autres que les systèmes d'IA à haut risque, d'au moins une partie des exigences énoncées au titre III, chapitre 2 ». Cette disposition vise les systèmes d'IA qui, n'étant pas classés à haut risque, ne sont pas soumis aux obligations contraignantes du Titre III, Chapitre 2 (articles 9-15 : gestion des risques, qualité des données, documentation technique, transparence, surveillance humaine, exactitude, robustesse, cybersécurité).

« Encouragent et facilitent » : La Commission et les États membres ne créent pas eux-mêmes les codes de conduite, mais jouent un rôle de catalyseur et de soutien. Ils peuvent lancer des consultations publiques sur les thématiques prioritaires, fournir des plateformes de dialogue et de co-élaboration réunissant industrie, société civile, académie, offrir des ressources méthodologiques (guides sur l'élaboration de codes de conduite, exemples de bonnes pratiques), reconnaître publiquement les codes de conduite élaborés (certification, label), ou financer des initiatives d'élaboration de codes (subventions, appels à projets).

« Application volontaire » : L'adhésion aux codes de conduite est libre. Les fournisseurs et déployeurs choisissent de s'y conformer sans y être légalement contraints. Toutefois, une fois qu'un acteur s'engage publiquement à respecter un code, cet engagement peut créer des attentes légitimes et potentiellement des responsabilités contractuelles ou réputationnelles en cas de non-respect.

« D'au moins une partie des exigences énoncées au titre III, chapitre 2 » : Les codes de conduite peuvent ne pas reprendre l'intégralité des exigences des systèmes à haut risque (ce qui pourrait être disproportionné pour certains systèmes à risque limité), mais au moins une partie. Par exemple, un code pourrait se concentrer sur la transparence et la documentation sans imposer l'ensemble du système de gestion des risques complet, ou se limiter à certaines exigences de qualité des données. Cette flexibilité permet une proportionnalité adaptée aux différents niveaux de risque des systèmes non haut risque.

Codes de conduite pour systèmes à haut risque allant au-delà des obligations

L'article 95, paragraphe 2, prévoit que « la Commission et les États membres facilitent l'élaboration de codes de conduite concernant l'application volontaire d'exigences spécifiques aux systèmes d'IA à haut risque par les fournisseurs de ces systèmes, sur la base des spécifications techniques disponibles et en coopération avec les parties prenantes concernées ». Cette disposition vise les fournisseurs de systèmes à haut risque qui, au-delà du respect des obligations minimales contraignantes, souhaitent démontrer un engagement renforcé.

« Exigences spécifiques aux systèmes d'IA à haut risque » allant au-delà des obligations peuvent inclure des niveaux de performance ou d'exactitude supérieurs aux minima requis, des mesures de transparence renforcées (explications détaillées des décisions au-delà des exigences de base), des tests et audits plus fréquents ou plus approfondis que le minimum requis, des engagements environnementaux (réduction de l'empreinte carbone de l'entraînement), ou des garanties sociales (engagement de diversité dans les équipes de développement, consultation de groupes affectés).

« Sur la base des spécifications techniques disponibles » : Les codes de conduite doivent s'appuyer sur l'état de l'art technique et scientifique, garantissant qu'ils sont réalistes et fondés sur des méthodologies éprouvées. Les spécifications techniques peuvent provenir de normes harmonisées, de travaux d'organismes de normalisation, de recherches académiques, ou de bonnes pratiques industrielles.

« En coopération avec les parties prenantes concernées et leurs organisations représentatives, y compris les organisations de consommateurs et les organisations sociales et environnementales » : L'élaboration des codes doit être inclusive, intégrant les perspectives non seulement des fournisseurs mais aussi des utilisateurs (organisations de consommateurs), de la société civile (organisations sociales préoccupées par les impacts sur les droits, l'équité, l'inclusion), et d'acteurs environnementaux. Cette approche multi-parties prenantes garantit l'équilibre et la légitimité des codes.

Acteurs de l'élaboration des codes

L'article 95, paragraphe 2, alinéa 2, précise que « les codes de conduite peuvent être élaborés par des fournisseurs ou déployeurs individuels ou par des organisations les représentant ou par les deux, y compris avec la participation de toutes les parties prenantes intéressées et de leurs organisations représentatives ». Cette formulation reconnaît la diversité des modalités d'élaboration possibles.

Des « fournisseurs ou déployeurs individuels » peuvent élaborer leurs propres codes internes, publiquement engageants, démontrant leur approche responsable de l'IA. Ces codes uniques permettent aux entreprises pionnières de se différencier. Des « organisations les représentant » (associations professionnelles, fédérations sectorielles, chambres de commerce) peuvent élaborer des codes collectifs adoptés par leurs membres, mutualisant les efforts et harmonisant les pratiques au sein d'un secteur. Une « combinaison » fournisseurs/déployeurs individuels et organisations permet des initiatives hybrides (par exemple, un consortium temporaire réunissant quelques grandes entreprises et une association sectorielle).

« Y compris avec la participation de toutes les parties prenantes intéressées » : Bien que les fournisseurs/déployeurs ou leurs organisations soient les porteurs des codes, la participation d'autres parties prenantes (académiques, ONG, syndicats, représentants d'utilisateurs) enrichit les codes et renforce leur légitimité sociale. Les codes co-construits ont généralement une meilleure acceptabilité que ceux élaborés unilatéralement par l'industrie.

Contenu potentiel des codes

L'article 95, paragraphe 3, énumère de manière non exhaustive (« notamment ») trois domaines que les codes de conduite peuvent couvrir.

Point a) Exigences renforcées et enjeux environnementaux : « L'application d'exigences allant au-delà des obligations prévues au titre III, chapitre 2, y compris par la prise en compte des spécifications techniques et des solutions disponibles visant à mesurer et à réduire la consommation d'énergie et de ressources des systèmes d'IA et leur empreinte environnementale globale, y compris celle du modèle d'IA et du processus d'entraînement. »

Cette mention explicite des enjeux environnementaux est significative : l'AI Act reconnaît que l'entraînement de grands modèles d'IA peut avoir une empreinte carbone et énergétique substantielle (notamment pour les modèles de deep learning nécessitant des calculs massifs sur GPU). Les codes de conduite peuvent encourager la mesure et la transparence de cette empreinte (reporting de l'empreinte carbone de l'entraînement), l'utilisation d'énergies renouvelables pour les centres de données, l'optimisation algorithmique réduisant les besoins en calcul, le partage de modèles pré-entraînés évitant des entraînements redondants, ou la prise en compte du cycle de vie complet (fabrication du matériel, utilisation, fin de vie).

Cette dimension environnementale, absente des obligations contraignantes de l'AI Act, peut devenir un axe de différenciation pour les fournisseurs responsables et un levier de pression pour les parties prenantes soucieuses de durabilité.

Point b) Application volontaire aux systèmes non haut risque : « L'application volontaire des exigences énoncées au titre III, chapitre 2, aux systèmes d'IA autres que les systèmes d'IA à haut risque. » Cette disposition reprend et précise le paragraphe 1 : les codes peuvent encourager les fournisseurs de systèmes non haut risque à appliquer volontairement tout ou partie des exigences strictes des systèmes à haut risque (gestion des risques, documentation, tests, etc.), démontrant un engagement proactif envers la qualité et la sécurité au-delà du strict minimum légal.

Point c) Mécanismes de gouvernance : « La mise en place de mécanismes de gouvernance adéquats pour garantir le respect des codes de conduite. » Cette dimension est essentielle pour l'effectivité des codes : sans mécanismes de vérification et de responsabilisation, les codes risquent de rester des déclarations d'intention sans portée réelle. Les mécanismes de gouvernance peuvent inclure des procédures de contrôle interne (audits réguliers de conformité au code), des vérifications par des tiers indépendants (certification par des organismes externes), des mécanismes de plainte et de recours (permettant aux parties prenantes de signaler des violations), des sanctions ou des conséquences en cas de non-respect (exclusion d'une association, retrait d'un label, publication du non-respect), et un reporting public sur la conformité au code (transparence).

Ces mécanismes renforcent la crédibilité des codes et les distinguent de simples déclarations marketing.

Attention aux PME et aux jeunes pousses

L'article 95, paragraphe 4, impose que « la Commission et les États membres tiennent compte des intérêts et des besoins spécifiques des PME, y compris des jeunes pousses, lors de l'encouragement et de la facilitation de l'élaboration de codes de conduite ». Cette disposition reconnaît que les PME et les startups disposent de ressources limitées et peuvent rencontrer des difficultés pour participer à l'élaboration de codes ou pour s'y conformer si ceux-ci sont trop exigeants.

« Tenir compte » des besoins des PME peut impliquer de prévoir des versions simplifiées ou allégées des codes adaptées aux PME, de fournir des outils et des ressources d'accompagnement gratuits ou subventionnés, d'accorder des délais de mise en conformité plus longs pour les PME adhérant à un code, de favoriser la participation des représentants de PME dans les instances d'élaboration des codes, ou d'éviter des coûts de certification ou de contrôle prohibitifs pour les petites structures.

Cette attention aux PME reflète la volonté de ne pas créer de barrières disproportionnées à l'entrée et de garantir que les codes de conduite bénéficient à l'ensemble de l'écosystème, pas uniquement aux grands acteurs disposant de ressources substantielles.

Exemples concrets d'application

Articulation avec les autres dispositions de l'AI Act

L'article 95 complète l'approche réglementaire de l'AI Act en offrant un mécanisme volontaire pour les systèmes non soumis aux obligations les plus strictes. Alors que le Titre III établit des obligations contraignantes pour les systèmes à haut risque, l'article 95 encourage une élévation volontaire des standards pour l'ensemble de l'écosystème de l'IA.

L'article 95 s'articule avec les travaux du Comité européen de l'IA (articles 65-66) et du Forum consultatif (article 67) : ces organes peuvent contribuer à l'élaboration de codes de conduite en fournissant de l'expertise, en facilitant le dialogue entre parties prenantes, et en reconnaissant les codes conformes aux objectifs de l'AI Act.

L'article 95 peut également s'articuler avec l'article 40 de l'AI Act relatif aux normes harmonisées : les codes de conduite peuvent s'appuyer sur des normes techniques en cours d'élaboration, créant un pont entre autorégulation volontaire et normalisation technique.

Pour les systèmes d'IA relevant d'autres réglementations (RGPD, législation consommateurs, réglementations sectorielles), les codes de conduite de l'article 95 peuvent intégrer et articuler ces différentes obligations, offrant une vision cohérente et holistique de la conformité.

Implications pratiques pour les organisations

Pour les fournisseurs et déployeurs de systèmes d'IA non haut risque, l'article 95 offre une opportunité de démontrer volontairement leur engagement envers l'IA responsable. L'adhésion à un code de conduite peut constituer un avantage compétitif (différenciation positive, confiance des clients), une anticipation réglementaire (préparation à d'éventuelles futures obligations), une mutualisation des coûts de conformité (via des ressources collectives), et une protection réputationnelle (démonstration proactive de responsabilité).

Toutefois, les organisations doivent être conscientes que l'adhésion à un code crée des attentes et potentiellement des responsabilités : le non-respect d'engagements publics peut entraîner des conséquences réputationnelles, des sanctions par les pairs (exclusion d'associations), ou des actions en justice (publicité mensongère si l'adhésion au code est utilisée à des fins marketing sans respect effectif). Les organisations ne doivent adhérer qu'aux codes qu'elles sont réellement capables et déterminées à respecter.

Pour les PME et les startups, l'article 95, paragraphe 4, garantit que leurs besoins spécifiques doivent être pris en compte. Les PME devraient rechercher des codes offrant des versions simplifiées, des outils d'accompagnement, et des délais de mise en conformité adaptés. Elles peuvent également se regrouper au sein d'associations pour mutualiser les efforts d'élaboration et de respect des codes.

Pour les associations professionnelles et les organisations sectorielles, l'article 95 constitue une opportunité de leadership et de valorisation : en prenant l'initiative d'élaborer des codes de conduite, elles démontrent la maturité et la responsabilité de leur secteur, contribuent à façonner les standards éthiques et techniques de leur domaine, et peuvent influencer positivement les futures évolutions réglementaires en démontrant la capacité d'autorégulation.