1Ce que l'article 10 réclame
L'AI Act · art. 10 encadre les données d'entraînement, de validation et de test des systèmes d'IA à haut risque (recrutement, crédit, éducation, assurance… annexe III). Les jeux doivent être :
- pertinents, suffisamment représentatifs, et dans la mesure du possible exempts d'erreurs et complets au regard de la finalité ;
- dotés des propriétés statistiques appropriées (y compris pour les groupes de personnes visés) ;
- encadrés par des pratiques de gouvernance : collecte, préparation, hypothèses, examen des biais et de leurs effets, identification des lacunes.
2Le dossier : 8 rubriques
Un dossier traduit l'article 10 en 8 points vérifiables. L'expert les parcourt un à un (ph1→ph8) :
Signer, c'est attester que les huit tiennent. Un seul point qui cède, le dossier repart (palier 4).
3Acteurs et périmètre : qui est concerné
L'AI Act distingue plusieurs acteurs le long de la chaîne :
- Fournisseur — met le système sur le marché ou le met en service sous son nom. C'est lui qui porte l'article 10.
- Déployeur — utilise le système. Il a ses propres obligations (surveillance humaine, usage conforme à la notice, information des personnes) mais pas l'article 10.
- Importateur / distributeur — font entrer ou circuler le système dans l'UE ; ils vérifient que le fournisseur est en règle avant la mise sur le marché.
Modèles généralistes. Quand un grand modèle généraliste est intégré dans un système à haut risque (ex. un outil de tri de CV), le dossier art. 10 vise les données de ce système — c'est le fournisseur du système à haut risque qui le constitue, pas celui du modèle de base (qui a ses propres obligations).
Qu'est-ce qui est « à haut risque » ?
Le champ de l'article 10 est le haut risque de l'annexe III : emploi (tri de candidatures), crédit (évaluation de solvabilité), éducation (évaluation/accès), services essentiels, etc. À distinguer : le risque limité (chatbots, deepfakes → obligation de transparence), le risque minimal (anti-spam, recommandation de films → libre), et l'inacceptable (notation sociale généralisée → interdit). Savoir qualifier le risque conditionne tout le reste : pas de haut risque, pas de dossier art. 10.
4Les données, en détail
Trois jeux, trois rôles
L'article 10 vise l'entraînement (le modèle apprend), la validation (on règle les hyperparamètres) et le test (on évalue la performance finale sur des données jamais vues). Confondre validation et test est une erreur classique.
Les qualités exigées
- Pertinent (utile à la finalité) ≠ représentatif (couvre la population et les sous-groupes visés) : deux exigences distinctes. Une donnée peut être pertinente et pourtant mal couvrir certains groupes.
- Exempt d'erreurs « dans la mesure du possible » — pas « zéro erreur ». Ce qui compte est la démarche documentée (comment on a cherché et traité les erreurs), pas une proclamation de perfection. Méfiance devant « notre jeu est parfait ».
- Complet = couvre les cas et sous-populations pertinents, sans trou majeur — pas « toutes les données du monde » ni « zéro valeur manquante » (ça, c'est la qualité, ph4).
- Propriétés statistiques appropriées, y compris pour les groupes de personnes visés (la distribution reflète correctement les sous-populations).
À noter : l'article 10 ne réclame pas une anonymisation intégrale — au contraire, certaines données sensibles doivent pouvoir être traitées pour mesurer les biais (rubrique ph5 ; le fondement, l'art. 10 §5, est détaillé au thème RGPD).
La gouvernance des données art. 10(2)
Au-delà de l'état des données, l'article demande d'encadrer et documenter : les choix de conception et hypothèses de collecte ; la collecte et l'origine (provenance, droits/licences — un jeu acheté à un courtier n'est pas « légal parce que payé » : on vérifie provenance et base légale) ; les opérations de préparation (annotation, nettoyage, dédoublonnage, traitement des manquants) ; l'examen des biais et l'identification des lacunes. La gouvernance (le dispositif) se distingue de la qualité (l'état des données à l'instant T).
5Preuve, documentation et durée
Se démontrer, pas s'affirmer
Un dossier doit être documenté et auditable : la conformité doit pouvoir être démontrée à un tiers (autorité, client), pas seulement affirmée. Le fournisseur tient à cet effet une documentation technique — le dossier de données en fait partie. Respecter les normes harmonisées applicables donne une présomption de conformité (un raccourci de preuve), pas une exemption.
La conformité vieillit
La représentativité se dégrade dans le temps (dérive, obsolescence) : la population et les usages évoluent. D'où la rubrique gouvernance & mise à jour (ph8) : fréquence de revue, suivi, et re-certification quand un changement substantiel (données, finalité, réglementation) l'exige.