Développer avec une IA dans un secteur réglementé : quelles obligations ?

Introduction

Certains secteurs imposent une maîtrise du processus de développement bien supérieure au droit commun. Cette exigence, plus que toute interdiction, encadre l’usage des outils génératifs.

Le principe : la maîtrise du processus

Les réglementations sectorielles n’interdisent généralement pas un outil déterminé.

Elles imposent que le processus de développement soit défini, documenté, tracé et vérifiable.

Chaque exigence doit pouvoir être rattachée à une conception, à une réalisation, à un test et à une validation.

Chaque changement doit être analysé, autorisé, testé et tracé.

Chaque composant tiers doit être identifié, évalué et suivi.

Un usage non encadré d’outils génératifs, sans traçabilité de l’apport humain ni revue formalisée, est incompatible avec ces exigences.

Les exigences les plus fréquentes

Un cycle de développement documenté, avec des jalons et des livrables définis.

Une traçabilité bidirectionnelle entre exigences, conception, code et tests.

Une revue formalisée, réalisée par une personne distincte de l’auteur, avec un enregistrement.

Une gestion des configurations et des versions.

Une gestion des changements, avec analyse d’impact.

Une maîtrise des composants tiers, avec évaluation et suivi des vulnérabilités.

Une gestion des risques, révisée à chaque évolution significative.

Une conservation des enregistrements pendant une durée déterminée.

L’incidence sur l’usage d’outils génératifs

Elle est indirecte mais déterminante.

La revue formalisée devient obligatoire, ce qui exclut l’acceptation de propositions sans vérification.

La traçabilité impose d’identifier l’origine de chaque élément, ce qui suppose de documenter le processus.

La maîtrise des composants tiers impose de détecter les portions reproduites, non seulement les composants déclarés.

La gestion des changements impose une analyse d’impact, incompatible avec des modifications massives non examinées.

L’usage demeure donc possible, mais dans un cadre nettement plus contraignant.

Les secteurs concernés

Ceux dont les produits intègrent des logiciels soumis à une réglementation harmonisée, notamment les dispositifs médicaux, les transports, l’énergie et l’aéronautique.

Ceux soumis à des exigences propres de maîtrise des risques opérationnels, notamment les services financiers.

Ceux soumis à des exigences de sécurité des réseaux et des systèmes d’information, selon leur activité et leur taille.

Ceux dont les produits relèvent des domaines à haut risque au sens du règlement européen sur l’intelligence artificielle.

Le règlement européen sur la cyberrésilience

Il ajoute, pour les produits comportant des éléments numériques, des exigences de sécurité dès la conception et de gestion des vulnérabilités.

Ses obligations de signalement sont applicables depuis le 11 septembre 2026, avec un calendrier exigeant : alerte précoce dans les vingt-quatre heures, notification complète dans les soixante-douze heures, rapport final dans les quatorze jours suivant la disponibilité d’une mesure corrective.

Sa pleine application, comprenant notamment la nomenclature des composants dans la documentation technique, interviendra en décembre 2027.

Ces exigences renforcent la nécessité d’un inventaire automatisé et d’une maîtrise des composants.

Les obligations contractuelles

Les clients de ces secteurs imposent leurs propres exigences.

Questionnaires détaillés sur les méthodes de développement.

Droit d’audit sur le processus.

Engagements de conformité à des référentiels.

Obligation d’information préalable en cas de changement de méthode.

Interdiction ou encadrement du recours à des outils externes.

Ces exigences contractuelles sont souvent plus contraignantes que la réglementation elle-même.

La démarche

Identifier les exigences applicables au produit et au secteur.

Cartographier les écarts entre le processus actuel et ces exigences.

Formaliser le processus : revues, traçabilité, gestion des changements, maîtrise des composants.

Adopter une politique interne encadrant l’usage des outils, cohérente avec ces exigences.

Documenter, l’ensemble de ces exigences reposant sur la démonstration.

Se conformer au processus, pas à une interdiction

Ce qui est exigé est la maîtrise, non l’abstention. Notre expertise en droit du numérique conduit ces mises en conformité.

En résumé

• Les réglementations sectorielles imposent la maîtrise du processus, non l’interdiction d’un outil.
• Revue formalisée, traçabilité et gestion des changements deviennent obligatoires.
• La maîtrise des composants impose de détecter les portions reproduites, non seulement les déclarées.
• Le règlement sur la cyberrésilience ajoute des obligations applicables depuis le 11 septembre 2026.
• Les exigences contractuelles des clients sont souvent plus contraignantes que la réglementation.