L'intelligence artificielle transforme les produits numériques, mais où se situe la frontière entre le Cyber Resilience Act et l'EU AI Act ? Si votre produit intègre des composants d'IA ou de ML, voici comment naviguer entre ces deux réglementations majeures.

1. Le CRA s'applique-t-il aux produits IA ?

Oui, si le produit IA est un produit comportant des éléments numériques au sens du CRA. Cela inclut :

  • Les applications logicielles intégrant des modèles de ML
  • Les appareils IoT utilisant l'IA embarquée
  • Les plateformes SaaS avec fonctionnalités d'IA générative
  • Les API de modèles de langage commercialisées comme produits

En revanche, un modèle d'IA distribué uniquement comme service (via API) sans être intégré dans un produit peut relever de cadres différents.

2. Articulation avec l'EU AI Act

L'EU AI Act et le CRA sont complémentaires mais distincts :

  • EU AI Act : Régule les risques liés à l'utilisation de l'IA elle-même (transparence, supervision humaine, biais algorithmique)
  • CRA : Régule la cybersécurité du produit numérique qui embarque ou utilise l'IA

Un produit IA peut donc être soumis aux deux réglementations simultanément. Par exemple, un dispositif médical intégrant un algorithme de diagnostic par IA doit respecter à la fois le CRA (pour la sécurité du dispositif) et l'AI Act (pour l'équité et la transparence de l'algorithme).

3. Obligations CRA spécifiques pour les produits IA

3.1 Sécurité des données d'entraînement

Le CRA exige que les produits soient résilients face aux tentatives de corruption des données. Pour les produits IA, cela implique :

  • Protection des jeux de données d'entraînement contre l'empoisonnement
  • Validation de l'intégrité des pipelines de données
  • Journalisation des accès aux données d'entraînement

3.2 Sécurité des inférences

Les attaques par inférence ou par extraction de modèle doivent être prises en compte :

  • Protection contre les attaques par extraction de modèle (model stealing)
  • Protection contre les attaques adversariales (entrées modifiées pour tromper le modèle)
  • Mécanismes de détection d'utilisation anormale de l'API

3.3 SBOM pour composants IA

Le SBOM doit inclure les frameworks, bibliothèques et modèles d'IA utilisés, avec leurs versions et licences respectives. Les modèles pré-entraînés doivent être tracés avec leur source et leur version exacte.

4. Recommandations pratiques

  1. Audit croisé CRA / AI Act : Ne traitez pas ces réglementations séparément. Identifiez les exigences qui se chevauchent et mutualisez les preuves.
  2. Documentez vos pipelines IA : La traçabilité des données, des modèles et des décisions est une exigence commune aux deux textes.
  3. Anticipez l'évolution : Les cadres réglementaires continuent d'évoluer. L'articulation CRA / AI Act fera l'objet de précisions dans les années à venir.
La frontière entre sécurité du produit (CRA) et éthique de l'IA (AI Act) est parfois floue, mais la conformité aux deux est indispensable pour commercialiser des produits IA innovants en Europe.