Résumé

  • Le projet publié le 30 octobre par TRAI rend l’entité autorisée responsable des résultats de ses systèmes d’IA, y compris lorsqu’un fournisseur les a développés.
  • Chaque opérateur devrait faire approuver sa politique d’IA par son conseil, inventorier les systèmes, évaluer les déploiements et organiser une supervision senior.
  • TEC 57090:2025 fournit des niveaux qualitatifs de gravité et des exemples; le texte de TRAI autorise aussi une taxonomie équivalente.
  • Les incidents graves et critiques doivent être signalés à TRAI, mais le projet ne fixe ni formulaire ni délai de notification.

Le fournisseur livre le modèle; l’opérateur garde la responsabilité

La clause 3.8 du projet de directives de TRAI tranche une question que les contrats fournisseurs brouillent souvent: qui répond du résultat quand l’IA entre dans un réseau? L’entité autorisée reste comptable du résultat, que le système soit développé en interne, acheté à un tiers ou assemblé à partir des deux. Les clauses de conformité, d’audit, de gestion des incidents et de partage des risques doivent figurer dans les contrats. Elles organisent la relation commerciale; elles ne déplacent pas la responsabilité réglementaire prévue par le projet.

Le texte vise les titulaires d’une licence ou d’une autorisation pour fournir un service de télécommunication, ainsi que les entités autorisées à établir, exploiter, maintenir ou étendre un réseau. Le lien avec l’IA doit concerner le réseau ou le service. TRAI a publié ce projet le 30 octobre et invite les parties prenantes à commenter jusqu’au 27 novembre 2026. La page de consultation et un communiqué du ministère des Communications indiquent cette échéance.

TRAI propose une chaîne de contrôles plutôt qu’une promesse abstraite de confiance. Le conseil d’administration, ou l’organe équivalent, approuve une politique interne. Chaque système reçoit une classe de risque — élevée, moyenne ou faible — selon son importance pour le réseau ou le service, notamment ses effets financiers, opérationnels et ses conséquences possibles pour les consommateurs. Un responsable désigné autorise l’usage; la délégation de cette approbation peut varier selon la classe.

Avant le déploiement d’un nouveau système ou la modification d’un système existant, l’opérateur doit procéder à la validation, à l’évaluation de conformité et à l’analyse d’impact. Le projet cite l’exactitude, l’explicabilité, l’équité, la résistance à la dérive et la supervision humaine. Pour un achat externe, l’entreprise doit examiner le fournisseur, les limites du système et la qualité des données d’entraînement. Elle tient un inventaire des systèmes actifs, inactifs et retirés, avec leur source, leur finalité et leur classe de risque; un système absent de l’inventaire ne peut être utilisé.

Cette liste donne au conseil un travail concret. Le texte prévoit un comité de gouvernance et de sécurité de l’IA avec des représentants des opérations réseau, des services, de l’informatique, des données, des affaires réglementaires et des relations consommateurs. Un cadre dirigeant, l’AI Governance and Safety Officer, le préside. Le comité examine les performances au moins une fois par exercice financier et peut demander une modification ou un retrait. La politique est revue chaque année et déposée auprès de TRAI dans les sept jours ouvrables suivant son entrée en vigueur.

Un vocabulaire commun, une procédure inachevée

Le projet distingue deux échelles. La classe élevée/moyenne/faible qualifie chaque système d’IA et repose sur la matérialité définie dans la politique de l’entreprise. La classe critique/élevée/modérée/faible qualifie un incident. Tous les incidents doivent être consignés, étudiés et analysés; les deux niveaux les plus graves déclenchent un signalement à TRAI.

La gravité n’est pas laissée entièrement à l’imagination de chaque opérateur. Le projet renvoie à TEC 57090:2025, ou à une taxonomie équivalente. Le standard donne des repères: panne nationale majeure ou défaillance complète pour le niveau critique; perturbation importante ou forte dégradation pour le niveau élevé; panne régionale ou dégradation partielle au niveau modéré; interruption mineure ou ralentissement bref au niveau faible. TEC a inscrit ce document parmi ses standards notifiés au Journal officiel, avec une notification datée du 24 avril 2026. La liste officielle des notifications confirme ce statut.

Ces exemples bornent la discussion sans la fermer. TEC propose des niveaux et des situations types, pas une formule chiffrée. TRAI autorise en outre une taxonomie équivalente. Surtout, le projet demande un signalement dans un format, selon une manière et dans un délai « prescrits », sans inclure le formulaire ou le nombre d’heures ou de jours dans le texte soumis à consultation.

La procédure interne est plus détaillée que la porte de sortie réglementaire. Chaque entité doit tenir une base centrale des incidents, y compris ceux détectés pendant des tests, ainsi qu’une base des préjudices signalés par les utilisateurs. Les plaintes liées à l’IA doivent être résolues dans un délai « raisonnable », selon le mécanisme de l’entité. TRAI peut utiliser les rapports pour l’apprentissage sectoriel et demander des pièces de conformité. Le projet ne commande pas la publication des bases opérateur ni celle d’un agrégat national.

Le registre peut donc être complet à l’intérieur de l’entreprise sans permettre au public de comparer deux classifications.

Aucune base publique d’incidents entre opérateurs n’était disponible dans les documents examinés pour mesurer ces différences. La consigne que TRAI prescrira — déclencheur, champs obligatoires et délai — dira si un incident grave produit un avis comparable d’un fournisseur à l’autre.

La responsabilité a besoin d’une horloge commune

Le partage des tâches proposé est défendable: l’autorité fixe l’obligation sectorielle, l’entreprise choisit ses systèmes et dirige leur fonctionnement. La loi TRAI de 1997 lui confie notamment des fonctions relatives aux normes de qualité de service et à la protection des consommateurs. Les India AI Governance Guidelines identifient les régulateurs sectoriels, dont TRAI, et ouvrent la voie à des règles propres à chaque secteur. La chronologie officielle reste à éclaircir: le projet de TRAI et un communiqué du PIB du 30 octobre 2026 situent la publication en février 2026, tandis qu’un communiqué du 5 novembre 2025 annonce leur dévoilement ce jour-là et un aperçu publié le 15 février 2026 décrit leur publication lors de l’AI Impact Summit; un historique public des versions permettrait de savoir s’il s’agit d’éditions distinctes.

TRAI devrait fixer ce qui doit rester comparable entre opérateurs: le déclencheur d’un signalement, le délai qui commence à partir d’un événement défini, les champs minimaux et le contrôle des taxonomies équivalentes. Les choix opérationnels peuvent rester locaux: le niveau de supervision d’un système, le contrôle d’un fournisseur, l’équipe qui valide une mise à jour et la procédure adaptée au réseau. La diversité des réseaux justifie des contrôles différents. Elle ne justifie pas dix réponses à la question de savoir quand un incident grave doit être déclaré.

Les commentaires se ferment le 27 novembre. Le texte final montrera si TRAI conserve sa clause la plus nette — l’opérateur répond aussi des systèmes construits par un tiers — et écrit la procédure qui rend cette responsabilité vérifiable.

Sources