Résumé

  • Le projet publié le 30 octobre maintient la responsabilité des résultats sur l’entité télécom autorisée, qu’elle développe ou achète le système d’IA.
  • Le dispositif proposé passe par l’approbation du conseil, la classification des risques, un inventaire, des obligations contractuelles envers les fournisseurs et le signalement des incidents.

Le bon de commande peut changer de main. La responsabilité du résultat, elle, reste chez l’opérateur. Dans son projet du 30 octobre, la TRAI prévoit que l’entité télécom autorisée répond des résultats de tout système d’IA qu’elle utilise, qu’il soit développé en interne, acheté à un fournisseur ou issu des deux (§3.8). Le texte place l’opérateur au bout de la chaîne et l’y maintient.

Le projet vise les entités titulaires des licences ou autorisations télécom concernées qui utilisent, ou prévoient d’utiliser, l’IA dans leurs réseaux ou services. Il couvre les activités de réseau et de fourniture de services, pas toute entreprise d’IA qui vendrait un modèle au secteur (§2.1). Le dispositif commence au conseil d’administration : celui-ci approuve une politique interne, classe chaque système selon sa matérialité et ses effets sur les consommateurs, puis désigne un responsable habilité à approuver son usage (§§3.1–3.2).

La TRAI veut ensuite rendre cette politique vérifiable. Chaque entité concernée doit tenir l’inventaire des systèmes actifs, inactifs et retirés, en indiquant leur source, leur finalité et leur classe de risque. Un système absent de l’inventaire ne peut pas être utilisé. Avant un déploiement ou une modification, l’entité doit procéder à la validation et examiner l’exactitude, l’explicabilité, l’équité, la résistance à la dérive et la supervision humaine (§3.5).

L’achat d’une solution ajoute une couche. L’opérateur doit examiner la crédibilité du fournisseur, la solidité et les limites du système ainsi que l’adéquation et la qualité des données d’entraînement. Les fournisseurs doivent déclarer les détails des systèmes d’IA intégrés aux équipements ou solutions télécom. Les contrats doivent donner à l’opérateur des clauses opposables sur la conformité, les droits d’audit et d’inspection, les incidents, la répartition des risques et la responsabilité (§3.5(b), (e)–(f)). C’est ainsi que le projet fait remonter le contrôle vers le fournisseur sans déplacer la responsabilité de l’opérateur.

Un comité de gouvernance et de sécurité de l’IA approuvé par le conseil et dirigé par un cadre supérieur examinerait au moins une fois par an les performances, les incidents, les vulnérabilités et les faiblesses de supervision. Le texte prévoit aussi un registre central des incidents, des procédures d’enquête et d’atténuation, un suivi des préjudices subis par les usagers et leur résolution, ainsi que des signalements à la TRAI pour les incidents critiques et graves (§§3.2, 3.6–3.10). Toute politique nouvelle ou modifiée doit être déposée dans les sept jours ouvrables suivant son entrée en vigueur.

Un élément décisif reste à écrire : le projet renvoie à une prescription ultérieure le format, la méthode et le délai de notification des incidents graves ou critiques (§§3.2(d), 3.9). La consultation se termine le 27 novembre 2026. Le futur calendrier de signalement déterminera à quelle vitesse le registre interne d’un opérateur devient un dossier exploitable par le régulateur.

Sources