Quelles sont les exigences de résilience dans l’IA Act ?
Publié sur LinkedIn le 24 juillet 2026
D’abord, petite précision : l’IA Act n’est pas une norme ISO. C’est un règlement européen.
Et il ne parle pas de résilience IT comme DORA, NIS 2 ou ISO 22301.
Il parle de résilience des systèmes d’IA, des systèmes classés à haut risque.
L’objectif n’est pas seulement que l’IA “fonctionne”.
L’objectif est qu’elle reste fiable, robuste, maîtrisable et sécurisée pendant tout son cycle de vie.
Le cœur du sujet est l’article 15 : exactitude, robustesse et cybersécurité.
Pour un système d’IA à haut risque, il faut atteindre un niveau approprié d’exactitude, de robustesse et de cybersécurité, et maintenir ce niveau dans le temps.
Cela implique plusieurs choses concrètes.
D’abord, mesurer la performance.
Pas juste dire : “le modèle est bon”.
Il faut définir des métriques, des seuils, des tests, et documenter le niveau attendu.
Ensuite, gérer les erreurs.
Un système d’IA doit être aussi résilient que possible face aux fautes, incohérences, biais, dérives ou conditions d’usage imprévues.
Cela peut passer par des mécanismes de contrôle, de redondance, de repli, d’arrêt sécurisé ou de supervision humaine.
Troisième exigence : la cybersécurité.
L’IA Act vise explicitement les attaques propres à l’IA :
empoisonnement des données,
empoisonnement du modèle,
exemples adversariaux,
évasion du modèle,
atteintes à la confidentialité,
failles du système.
Autrement dit, il ne suffit pas de sécuriser le serveur.
Il faut sécuriser le comportement du système d’IA, ses données, son apprentissage, ses sorties, ses accès et ses usages.
Mais la résilience ne s’arrête pas à l’article 15.
L’article 9 impose un système de gestion des risques continu.
Il faut identifier les risques connus et raisonnablement prévisibles, évaluer les usages détournés possibles, réduire les risques et tester le système avant mise en service.
Les articles 12, 13 et 14 ajoutent aussi des briques essentielles :
journalisation,
transparence,
instructions d’usage,
supervision humaine.
En clair : une IA résiliente n’est pas seulement un modèle performant.
C’est un système gouverné, testé, surveillé, explicable à son niveau, sécurisé et contrôlable.
Pour les DSI, RSSI et responsables résilience, le message est simple :
l’IA Act oblige à penser l’IA comme un actif critique.
Pas comme un gadget.
Pas comme une boîte noire magique.
Pas comme un chatbot branché vite fait sur des données métier.
La vraie question devient :
si cette IA se trompe, dérive, est attaquée ou devient indisponible, que se passe-t-il ?
Et surtout :
qui le voit, qui décide, qui corrige, qui arrête, qui reprend ?
La résilience dans l’IA Act, c’est cela :
maîtriser l’IA quand tout va bien,
et garder la main quand elle se comporte mal.
PS : Si vous découvrez mon contenu (veille CERT, Post), je vous invite à me suivre ici sur LinkedIn
#IAAct #IntelligenceArtificielle #CyberRésilience #RésilienceIT #RSSI #DSI
