CRA et IA à haut risque : articulation des obligations de cybersécurité pour les fabricants

L’articulation entre le règlement sur la cyber-résilience (CRA) et le règlement européen sur l’intelligence artificielle (RIA) impose aux fabricants de produits numériques intégrant des systèmes d’IA à haut risque une double conformité réglementaire. Cette convergence est encadrée par l’article 12 du CRA et le considérant 51, qui définissent les modalités de cette articulation.

Principe de présomption de conformité

Lorsque un produit numérique incorpore un système d’IA qualifié de haut risque au sens de l’article 6 du RIA, il relève simultanément des exigences de cybersécurité du CRA et des obligations spécifiques à l’IA. Le législateur européen a introduit un mécanisme de simplification : la conformité aux exigences essentielles de cybersécurité du CRA vaut présomption de conformité aux exigences de cybersécurité énoncées à l’article 15 du RIA, sous réserve de la déclaration UE de conformité établie au titre du CRA.

Conditions cumulatives pour bénéficier de la présomption

Pour que cette présomption s’applique, trois conditions doivent être remplies :

• Le produit doit satisfaire aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, du CRA, couvrant la sécurité dès la conception, la minimisation de la surface d’attaque, la protection contre les accès non autorisés, ainsi que la confidentialité, l’intégrité et la disponibilité des données ;
• Les processus mis en place par le fabricant doivent être conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II, du CRA, incluant la gestion des vulnérabilités, la fourniture de mises à jour de sécurité et le traitement des incidents de cybersécurité tout au long du cycle de vie du produit ;
• Le niveau de cyberprotection requis à l’article 15 du RIA doit être démontré par la déclaration UE de conformité délivrée en vertu du CRA.

Cette présomption évite une double certification redondante sur des aspects identiques, mais ne dispense pas le fabricant de respecter les autres obligations du RIA, notamment en matière de qualité des données, de transparence ou de supervision humaine.

Évaluation des risques cyber spécifiques à l’IA

Le considérant 51 du CRA souligne que l’évaluation des risques de cybersécurité pour les produits intégrant des systèmes d’IA à haut risque doit intégrer les vulnérabilités propres à l’IA. Cette évaluation couvre l’ensemble du cycle de vie du produit et doit notamment prendre en compte :

• Les risques liés à l’empoisonnement des données (data poisoning) ;
• Les attaques adversaires (adversarial attacks) ;
• Les conséquences potentielles sur les droits fondamentaux en cas de défaillance ou de manipulation.

Cette approche élargie distingue les produits intégrant de l’IA des autres produits numériques, en exigeant une analyse des vulnérabilités spécifiques aux algorithmes d’apprentissage automatique et aux modèles embarqués.

Procédures d’évaluation de la conformité : principe et exception

L’article 12 du CRA prévoit que pour les produits intégrant des systèmes d’IA à haut risque, la procédure d’évaluation de la conformité pertinente prévue à l’article 43 du RIA s’applique. Les organismes notifiés compétents pour le RIA sont également compétents pour contrôler la conformité aux exigences du CRA, sous réserve de leur évaluation au titre de l’article 39 du CRA.

Cependant, une exception est formulée pour les produits importants ou critiques. Ces produits, en raison de leur criticité, sont soumis à des procédures d’évaluation renforcées au titre du CRA, impliquant l’intervention d’organismes notifiés selon des modalités strictes. Les produits importants et critiques énumérés aux annexes III et IV du CRA, lorsqu’ils intègrent des systèmes d’IA à haut risque, sont soumis aux procédures d’évaluation de la conformité prévues par le CRA pour les exigences essentielles de cybersécurité.

Source : Lexing