Épreuve du domaine Intelligence artificielle EPSO : 10 questions au rythme de l’examen

Télécharger les 10 questions en PDF →

Ce que couvre l’épreuve du domaine — le guide complet → · Fiche du concours et délais →

Les dix questions, avec réponses et sources

Les mêmes dix questions avec réponses et sources, pour la lecture et pour les moteurs de recherche. De vraies questions de la banque EU-now, rédigées à partir des textes officiels. Sans compte.

1. 1. Une entreprise veut déployer un système d’IA qui déduit les émotions de ses employés à partir de la webcam pour mesurer leur engagement pendant les heures de travail. Selon l’article 5 du règlement (UE) 2024/1689 (règlement sur l’IA), cela est :

   • A Autorisé comme usage à haut risque de l’annexe III, sous réserve d’une évaluation de la conformité et d’un contrôle humain.
   • B Autorisé si les employés donnent leur consentement explicite au titre du RGPD et que les représentants du personnel sont consultés.
   • C Interdit : déduire les émotions sur le lieu de travail est prohibé, sauf si c’est à des fins médicales ou de sécurité.
   • D Interdit uniquement si les images servent aussi à l’identification biométrique à distance de chaque employé.
   Bonne réponse: C

   L’article 5, paragraphe 1, point f), du règlement sur l’IA interdit la mise sur le marché, la mise en service ou l’utilisation de systèmes d’IA pour déduire les émotions d’une personne physique sur le lieu de travail et dans les établissements d’enseignement, sauf lorsque le système est destiné à des fins médicales ou de sécurité. Mesurer l’engagement n’est ni l’un ni l’autre. Les interdictions de l’article 5 s’appliquent depuis le 2 février 2025. Source : règlement (UE) 2024/1689, article 5, paragraphe 1, point f), et article 113.

   • A — L’annexe III ne classe la reconnaissance des émotions à haut risque que si son usage est autorisé ; au travail, l’article 5, paragraphe 1, point f), l’interdit.
   • B — Ni le consentement au titre du RGPD ni la consultation des représentants du personnel ne lèvent une interdiction du règlement sur l’IA.
   • C — Correct : interdit sur le lieu de travail sauf pour des raisons médicales ou de sécurité.
   • D — L’interdiction ne dépend pas de l’identification biométrique ; elle vise la déduction des émotions en tant que telle.

2. 2. Selon l’article 51 du règlement sur l’IA, quand un modèle d’IA à usage général est-il présumé avoir des capacités à fort impact et donc présenter un risque systémique ?

   • A Lorsqu’il compte plus d’un milliard de paramètres et peut exécuter de manière compétente un large éventail de tâches distinctes.
   • B Lorsque le calcul cumulé utilisé pour son entraînement, mesuré en opérations en virgule flottante, dépasse 10^25.
   • C Lorsqu’il est proposé à plus de 10 000 utilisateurs professionnels dans l’Union, même s’il a été entraîné avec peu de calcul.
   • D Uniquement lorsque le Comité IA le désigne à la majorité des deux tiers, après une alerte qualifiée du groupe scientifique.
   Bonne réponse: B

   L’article 51, paragraphe 2, du règlement sur l’IA présume des capacités à fort impact lorsque le calcul cumulé d’entraînement, mesuré en opérations en virgule flottante, dépasse 10^25. La Commission peut ajuster les seuils par actes délégués et désigner un modèle sur la base des critères de l’annexe XIII. Les fournisseurs de ces modèles portent les obligations supplémentaires de l’article 55 (évaluation, tests contradictoires, signalement d’incidents, cybersécurité). Source : règlement (UE) 2024/1689, articles 51 et 55.

   • A — La généralité fait d’un modèle un modèle à usage général ; la présomption de risque systémique repose sur le calcul d’entraînement, pas sur le nombre de paramètres.
   • B — Correct : plus de 10^25 FLOP de calcul cumulé d’entraînement.
   • C — La portée est un critère de l’annexe XIII que la Commission pèse pour désigner un modèle ; elle ne déclenche pas la présomption de l’article 51, paragraphe 2.
   • D — La désignation est une décision de la Commission, d’office ou après une alerte qualifiée du groupe scientifique ; le Comité ne la vote pas.

3. 3. Le règlement (UE) 2026/1744 (omnibus numérique sur l’IA) a modifié le calendrier du règlement sur l’IA. À partir de quand les exigences du chapitre III, sections 1 à 3, s’appliquent-elles à un système d’IA à haut risque de l’annexe III, comme un outil de recrutement ?

   • A Le 2 août 2026, date initiale, que l’omnibus a laissée inchangée pour les systèmes de l’annexe III.
   • B Le 2 février 2025, avec les pratiques interdites et l’obligation de maîtrise de l’IA.
   • C Le 2 août 2028 pour tous les systèmes à haut risque, qu’ils relèvent de l’annexe III ou de l’annexe I.
   • D Le 2 décembre 2027 ; les systèmes intégrés à des produits de l’annexe I suivent le 2 août 2028.
   Bonne réponse: D

   L’omnibus numérique sur l’IA remplace la date d’application du chapitre III, sections 1, 2 et 3 (sauf l’article 6, paragraphe 5), par le 2 décembre 2027 pour les systèmes d’IA classés à haut risque au titre de l’article 6, paragraphe 2, et de l’annexe III, et par le 2 août 2028 pour ceux classés au titre de l’article 6, paragraphe 1, et de l’annexe I. Les pratiques interdites et l’obligation de maîtrise de l’IA s’appliquent depuis le 2 février 2025. Source : règlement (UE) 2026/1744, modifiant l’article 113 du règlement (UE) 2024/1689.

   • A — Le 2 août 2026 était la date initiale ; l’omnibus l’a reportée.
   • B — Février 2025 est la date des chapitres I et II (interdictions, maîtrise de l’IA), pas des exigences à haut risque.
   • C — 2028 ne vaut que pour les systèmes intégrés à des produits de l’annexe I.
   • D — Correct : 2 décembre 2027 (annexe III) et 2 août 2028 (annexe I).

4. 4. Un ministère utilise un système d’IA générative pour produire une vidéo réaliste d’un porte-parole lisant une déclaration, et un chatbot pour répondre aux citoyens. Quelles obligations de l’article 50 du règlement sur l’IA s’appliquent, et à qui ?

   • A Le fournisseur doit marquer les sorties comme générées par IA, le ministère doit signaler l’hypertrucage et le chatbot doit indiquer qu’il est une IA.
   • B Le ministère doit enregistrer les deux systèmes dans la base de données de l’UE pour l’IA à haut risque et mener une analyse d’impact sur les droits fondamentaux.
   • C Aucune obligation ne s’applique, car les autorités publiques qui communiquent avec les citoyens sont exemptées des obligations de transparence de l’article 50.
   • D Le ministère doit obtenir le consentement du porte-parole au titre du RGPD et signaler le chatbot ; le fournisseur du système génératif n’a aucune obligation propre.
   Bonne réponse: A

   L’article 50 répartit les obligations selon le rôle : les fournisseurs de systèmes générant des contenus audio, image, vidéo ou texte de synthèse doivent veiller à ce que les sorties soient marquées dans un format lisible par machine et détectables comme générées artificiellement ; les déployeurs d’hypertrucages doivent indiquer que le contenu a été généré ou manipulé artificiellement ; et les fournisseurs doivent veiller à ce que les personnes interagissant avec un système d’IA en soient informées, sauf évidence. Les lignes directrices de la Commission et le code de bonnes pratiques sur la transparence des contenus générés par l’IA (2026) précisent ces obligations, applicables depuis le 2 août 2026. Source : règlement (UE) 2024/1689, article 50.

   • A — Correct : marquage (fournisseur), mention de l’hypertrucage (déployeur), information sur le chatbot.
   • B — L’enregistrement dans la base de données de l’UE et l’analyse d’impact sur les droits fondamentaux sont des obligations à haut risque, pas des devoirs de transparence de l’article 50.
   • C — L’article 50 ne prévoit aucune exemption pour les autorités publiques.
   • D — Le consentement relève de la protection des données, et l’article 50, paragraphe 2, impose au fournisseur du système génératif une obligation de marquage.

5. 5. Depuis l’omnibus numérique sur l’IA (règlement (UE) 2026/1744), qu’exige l’article 4 du règlement sur l’IA d’une organisation qui déploie des systèmes d’IA ?

   • A Faire certifier chaque employé qui utilise l’IA par un programme de formation accrédité au plus tard le 2 août 2026.
   • B Prendre des mesures qui soutiennent la maîtrise de l’IA du personnel concerné, sans garantir un niveau pour chaque personne.
   • C Garantir que chaque membre du personnel qui s’occupe de systèmes d’IA atteigne, et conserve, un niveau suffisant de maîtrise de l’IA.
   • D Rien pour l’instant : l’article 4 ne s’applique qu’avec les exigences à haut risque, à partir du 2 décembre 2027.
   Bonne réponse: B

   L’omnibus numérique sur l’IA a remplacé l’article 4 : les fournisseurs et les déployeurs doivent prendre des mesures pour soutenir le développement de la maîtrise de l’IA de leur personnel et des autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte, en tenant compte de leurs connaissances, de leur expérience, de leur éducation et formation et du contexte d’utilisation. Cette obligation ne les oblige pas à garantir un niveau déterminé de maîtrise de l’IA de quiconque, et la Commission et les États membres doivent soutenir ces efforts, en particulier ceux des PME. L’article 4 figure au chapitre I, applicable depuis le 2 février 2025. Source : règlement (UE) 2024/1689, articles 4 et 113, tel que modifié par le règlement (UE) 2026/1744.

   • A — Aucune certification ni programme accrédité n’est exigé ; les mesures dépendent du personnel et du contexte d’utilisation.
   • B — Correct : des mesures de soutien, sans niveau de maîtrise de l’IA garanti pour quiconque.
   • C — C’était la rédaction initiale de 2024 (un niveau suffisant) ; l’omnibus l’a remplacée par une obligation de soutenir la maîtrise de l’IA.
   • D — L’article 4 figure au chapitre I, applicable depuis février 2025, indépendamment du calendrier à haut risque.

6. 6. Les lignes directrices en matière d’éthique pour une IA digne de confiance du groupe d’experts de haut niveau (2019) énumèrent sept exigences essentielles. Quel ensemble est correct ?

   • A Action humaine et contrôle humain ; robustesse technique et sécurité ; respect de la vie privée et gouvernance des données ; transparence ; diversité, non-discrimination et équité ; bien-être sociétal et environnemental ; responsabilité.
   • B Respect de l’autonomie humaine ; prévention de toute atteinte ; équité ; explicabilité ; licéité ; respect des principes et valeurs éthiques ; robustesse technique et sociale.
   • C Valide et fiable ; sûr ; sécurisé et résilient ; responsable et transparent ; explicable et interprétable ; respectueux de la vie privée ; équitable, les biais préjudiciables étant gérés.
   • D Système de gestion des risques ; données et gouvernance des données ; documentation technique ; enregistrement ; transparence et fourniture d’informations aux déployeurs ; contrôle humain ; exactitude, robustesse et cybersécurité.
   Bonne réponse: A

   Les lignes directrices dérivent sept exigences des principes de respect de l’autonomie humaine, de prévention des dommages, d’équité et d’explicabilité : action humaine et contrôle humain ; robustesse technique et sécurité ; respect de la vie privée et gouvernance des données ; transparence ; diversité, non-discrimination et équité ; bien-être sociétal et environnemental ; et responsabilité. ALTAI (2020) les transforme en liste d’auto-évaluation. Source : GEHN IA, Lignes directrices en matière d’éthique pour une IA digne de confiance, chapitre II.

   • A — Correct : les sept exigences du groupe d’experts.
   • B — Ce sont les quatre principes éthiques et les trois composantes d’une IA digne de confiance (licite, éthique, robuste), dont découlent les sept exigences.
   • C — Ce sont les sept caractéristiques d’une IA digne de confiance du cadre de gestion des risques de l’IA 1.0 du NIST, un autre cadre.
   • D — Ce sont les intitulés des exigences à haut risque du règlement sur l’IA, articles 9 à 15 (chapitre III, section 2).

7. 7. Dans le cadre de gestion des risques de l’IA 1.0 du NIST, comment les fonctions de base s’articulent-elles ?

   • A Sept exigences héritées des lignes directrices éthiques de l’UE, appliquées l’une après l’autre dans un ordre fixe.
   • B Six fonctions — Gouverner, Identifier, Protéger, Détecter, Répondre et Rétablir — appliquées aux systèmes d’IA.
   • C Trois phases séquentielles — conception, déploiement et retrait — chacune avec un audit obligatoire.
   • D Quatre fonctions — Gouverner, Cartographier, Mesurer et Gérer — Gouverner étant transversale aux trois autres.
   Bonne réponse: D

   Le noyau du cadre organise les activités de gestion des risques en quatre fonctions : Gouverner, Cartographier, Mesurer et Gérer. La gouvernance est conçue comme une fonction transversale qui informe et imprègne les trois autres ; les fonctions ne forment pas une séquence fixe. Le profil IA générative (NIST AI 600-1) ajoute des risques et actions propres à la GenAI sur la même structure. Source : NIST AI 100-1, section 5.

   • A — Les sept exigences sont celles du groupe d’experts de l’UE, un autre cadre.
   • B — Ces six fonctions sont celles du Cybersecurity Framework 2.0.
   • C — Le cadre est organisé par fonctions, non par phases auditées obligatoires.
   • D — Correct : quatre fonctions, Gouverner transversale.

8. 8. Selon l’avis 28/2024 du CEPD, quand un modèle d’IA entraîné avec des données à caractère personnel peut-il être considéré comme anonyme, et comment un responsable du traitement doit-il justifier l’intérêt légitime comme base juridique de l’entraînement ?

   • A Tout modèle est anonyme une fois l’entraînement terminé, car les poids ne sont pas des données personnelles ; l’intérêt légitime s’applique alors automatiquement à la recherche scientifique.
   • B Un modèle est anonyme si les données d’entraînement ont été pseudonymisées avant usage, et le consentement de chaque personne concernée est la seule base juridique valable pour l’entraînement.
   • C L’anonymat s’apprécie au cas par cas, selon la probabilité d’extraire des données personnelles ou de les obtenir par des requêtes ; l’intérêt légitime exige le test en trois étapes.
   • D L’anonymat est certifié par le Bureau de l’IA au titre du règlement sur l’IA, et une fois le modèle certifié, son entraînement échappe entièrement au RGPD.
   Bonne réponse: C

   L’avis indique que les modèles d’IA entraînés avec des données à caractère personnel ne peuvent pas être considérés comme anonymes dans tous les cas : les allégations d’anonymat s’apprécient au cas par cas, au regard de la probabilité d’extraction directe de données personnelles du modèle et de leur obtention par des requêtes. Pour l’intérêt légitime, il rappelle le test en trois étapes : identifier l’intérêt légitime, analyser la nécessité du traitement et le mettre en balance avec les intérêts et droits des personnes concernées. Source : avis 28/2024 du CEPD du 17 décembre 2024.

   • A — L’avis n’admet ni anonymat automatique ni intérêt légitime automatique.
   • B — La pseudonymisation n’est pas une anonymisation, et le consentement n’est pas la seule base.
   • C — Correct : anonymat au cas par cas et test en trois étapes.
   • D — Le Bureau de l’IA ne certifie pas l’anonymat ; le RGPD s’applique à l’entraînement sur des données personnelles.

9. 9. Un assistant de génération augmentée par récupération (RAG) lit des documents d’un lecteur partagé pour répondre aux questions du personnel. Un attaquant y dépose un document contenant des instructions cachées que l’assistant suit ensuite. Dans le Top 10 OWASP pour les applications LLM 2025, quelles catégories de risque ce scénario illustre-t-il ?

   • A L’injection indirecte d’instructions via le contenu récupéré, et les faiblesses des vecteurs et des embeddings dans la chaîne RAG.
   • B Le vol de modèle et le déni de service, puisque le document déposé permet à l’attaquant de copier et de saturer le modèle.
   • C Une simple violation de données RGPD, à traiter par le délégué à la protection des données, hors du champ de la sécurité applicative.
   • D L’empoisonnement des données et du modèle, puisque le document déposé est intégré aux poids du modèle lorsqu’il est récupéré.
   Bonne réponse: A

   L’OWASP classe l’injection d’instructions en LLM01:2025, y compris l’injection indirecte lorsque les instructions arrivent par un contenu que le modèle traite, et les faiblesses des vecteurs et embeddings en LLM08:2025 pour les risques des chaînes de génération augmentée par récupération. Le contenu récupéré ne modifie pas les poids du modèle : ce n’est donc pas un empoisonnement des données d’entraînement. Le NIST AI 100-2 (2025) fait la même distinction entre attaques à l’inférence et à l’entraînement. Source : OWASP Top 10 for LLM Applications 2025 ; NIST AI 100-2e2025.

   • A — Correct : injection indirecte plus faiblesses des vecteurs et embeddings du RAG.
   • B — Rien n’est volé ni saturé dans ce scénario.
   • C — Ce peut être aussi une question de protection des données, mais les catégories de sécurité s’appliquent toujours.
   • D — L’empoisonnement vise les données d’entraînement ou d’ajustement ; un document récupéré agit à l’inférence et ne modifie pas les poids.

10. 10. Quelle paire de mesures correspond correctement aux documents de politique de l’IA de la Commission de 2025 ?

    • A Les deux sont des recommandations du Conseil de 2024, sur les compétences en IA à l’école et sur l’IA dans l’administration publique.
    • B Plan d’action pour le continent de l’IA : l’interdiction de la reconnaissance des émotions ; stratégie Apply AI : le seuil de 10^25 FLOP pour les modèles à risque systémique.
    • C Plan d’action pour le continent de l’IA : création du Bureau de l’IA ; stratégie Apply AI : le code de bonnes pratiques pour les modèles d’IA à usage général.
    • D Plan d’action pour le continent de l’IA : usines et gigafactories d’IA ; stratégie Apply AI : une politique « AI first » fondée sur des solutions européennes.
    Bonne réponse: D

    Le plan d’action pour le continent de l’IA du 9 avril 2025 vise à développer l’infrastructure publique d’IA, en renforçant le réseau des usines d’IA et en créant des gigafactories d’IA inspirées du modèle du CERN, avec des mesures sur les données, les compétences et l’adoption. La stratégie Apply AI du 8 octobre 2025 promeut une politique « AI first » pour que les entreprises et les organisations du secteur public intègrent une IA bâtie sur des solutions européennes. Les interdictions, le seuil de FLOP, le Bureau de l’IA et le code de bonnes pratiques relèvent du cadre du règlement sur l’IA. Source : COM(2025) 165 final ; COM(2025) 723 final.

    • A — Les deux sont des communications de la Commission de 2025, pas des recommandations du Conseil.
    • B — Ce sont des dispositions du règlement sur l’IA, pas des communications politiques.
    • C — Le Bureau de l’IA a été créé par décision de la Commission en 2024 et le code de bonnes pratiques est un instrument du règlement sur l’IA.
    • D — Correct : usines et gigafactories d’IA ; « AI first ».

Chaque explication cite le texte officiel dont elle est tirée : l’avis de concours C/2026/4668 et les règlements et publications du NIST et de l’ENISA listés dans le guide du domaine.