La plupart des entreprises qui plongent leurs orteils dans les eaux de l’IA ne seront pas affectées de manière significative par la nouvelle loi européenne sur l’IA , du moins pas au début. Mais ils doivent toujours examiner de plus près, car même les utilisations apparemment mineures de l’IA pourraient être soumises à des exigences de transparence et à des évaluations des risques.
La législation a été adoptée par le Parlement européen le 13 mars, et l’approbation du Conseil de l’UE est attendue plus tard ce mois-ci, la loi officielle étant susceptible d’entrer en vigueur fin mai ou début juin.
La loi européenne sur l’IA crée un cadre basé sur les risques qui régira le développement, le déploiement et l’utilisation des systèmes d’IA en Europe, les règles prenant effet par étapes entre 2024 et 2026. Les entreprises qui ignorent ou exécutent autrement des règles peuvent faire l’objet d’amendes pouvant atteindre 7 % de leurs revenus mondiaux.
« Si vous disposez d’un système d’IA qui va toucher l’Europe d’une quelconque manière, vous devez penser à la loi européenne sur l’IA », déclare Gretchen Scott, un partenaire technologique du bureau de Goodwin Law à Londres.
Quel est votre niveau de risque lié à l’IA ? La loi européenne sur l’IA attend de vous que vous sachiez
Les avocats recommandent de prendre plusieurs mesures pour évaluer votre position.
« Si vous disposez d’un système d’IA qui va toucher l’Europe d’une manière ou d’une autre, vous devez penser à la loi européenne sur l’IA. »Gretchen Scott, partenaire technologique, Goodwin Law
Tout d’abord, dit Scott, il est important de connaître votre place dans la chaîne de valeur de l’IA pour voir si vous pourriez vous trouver dans l’un des rôles clés que la loi européenne sur l’IA cherche à réglementer, tels que les fournisseurs, les déployeurs, les distributeurs, les fabricants et les importateurs de systèmes d’IA.
Ensuite, elle dit que vous devez déterminer le niveau de risque de votre système d’IA en fonction des quatre niveaux énoncés dans la loi européenne sur l’IA.
1. Risque inacceptable
Il s’agit de la catégorie qui interdit les utilisations de l’IA qui, selon l’UE, violerait les droits fondamentaux des citoyens ou exploiterait les groupes vulnérables. Les systèmes d’IA qui sont interdits comprennent ceux qui : causent un préjudice significatif en exploitant les vulnérabilités pour déformer le comportement ; la reconnaissance des émotions sur les lieux de travail et les écoles ; les systèmes de catégorisation biométrique utilisant des caractéristiques sensibles ; le prélèvement d’images faciales sur Internet et à la télévision pour créer des bases de données de reconnaissance faciale ; la notation sociale, la police prédictive (pensez au rapport sur les minorités) et les outils d’IA qui manipulent le comportement humain.
2. Risque élevé
Si votre entreprise relève de cette catégorie, vous devrez faire face à des exigences réglementaires considérables. Les systèmes d’IA couverts par les lois de l’UE sur la sécurité des produits (tels que les jouets, les appareils médicaux et les machines) sont considérés comme à haut risque, tout comme certains systèmes d’IA qui sont destinés à être utilisés dans le cadre d’ infrastructures critiques, d’ éducation et de formation professionnelle, d’emploi, de services privés et publics essentiels tels que les soins de santé et les services bancaires, de systèmes particuliers d’application de la loi, de migration et de gestion des frontières, ainsi que de justice et de processus démocratiques.
[Lire également : les 3 plus grandes menaces GenAI (plus 1 autre risque) et comment les repousser]
Les entreprises fournissant des systèmes d’IA à haut risque doivent mettre en œuvre des processus et systèmes complets de gestion des risques et de la qualité , évaluer et réduire les risques, tenir des journaux d’utilisation, être transparents et précis, assurer la supervision humaine et établir des systèmes de surveillance post-commercialisation. Pendant ce temps, ceux qui utilisent des systèmes d’IA à haut risque ont également des obligations solides d’utiliser le système d’IA conformément aux instructions du fournisseur, de mener des évaluations d’impact, d’assurer la supervision et la transparence humaines, et de surveiller le système pour détecter les risques.
3. IA à usage général (GPAI)
De nombreux noms connus dans l’espace de l’IA seront couverts par cette catégorie, notamment OpenAI, Google et Microsoft. Dans la plupart des cas, ces applications sont considérées comme à faible risque. Mais comme les modèles GPAI constituent la base de nombreux systèmes d’IA en aval, les fournisseurs GPAI sont soumis à des obligations, telles que la transparence, de reconnaître leur rôle et leurs responsabilités au sein de l’écosystème d’IA.
Une série de litiges en propriété intellectuelle basés aux États-Unis a souligné que la formation des modèles GPAI est similaire au Wild West en ce moment, en particulier en ce qui concerne l’ emprunt présumé des données d’autres personnes pour rendre l’IA intelligente. L’UE exige que les fournisseurs de GPAI mettent en œuvre des politiques pour respecter la législation régionale sur les droits d’auteur et publient des résumés détaillés du contenu utilisé pour la formation. Les modèles open source gratuits sont exemptés de ces exigences. Les modèles GPAI plus puissants qui comportent un risque systémique sont soumis à des exigences plus strictes. Scott déclare que si vous créez et distribuez des modèles linguistiques de grande taille (LLM) avec des capacités à fort impact, vous devrez également prouver que vous effectuez des évaluations régulières des modèles, que vous évaluez et atténuez les risques liés aux systèmes, et que vous signalez tout incident qui se produit, y compris les cyberattaques.
4. Risque limité
Les systèmes d’IA qui ne relèvent d’aucune des autres catégories seront soumis à des exigences de transparence pour s’assurer que les utilisateurs sont conscients qu’ils interagissent avec l’IA ou que le résultat qu’ils lisent est généré artificiellement. Par exemple, les images artificielles ou manipulées, le contenu audio et vidéo (comme les deepfakes) doivent être clairement étiquetés comme tels. Les entreprises qui développent ou déploient l’IA devront également garantir un niveau suffisant d’alphabétisation en IA au sein de leur organisation.
Trier vos obligations en vertu du EU AI Act (et gouvernance de l’IA)
Une fois que vous aurez compris votre rôle dans la chaîne de valeur de l’IA et la classification des risques de vos systèmes d’IA, vous serez en mesure de déterminer vos obligations réglementaires. Scott déclare que la plupart des systèmes d’IA ne seront pas interdits ou considérés comme à haut risque en vertu de la loi européenne sur l’IA. « Mais nous pensons que l’impact de la loi européenne sur l’IA sera largement ressenti alors que nous voyons les entreprises prendre des mesures pour atténuer les risques associés au développement et au déploiement de systèmes d’IA qui portent le plus grand fardeau réglementaire », déclare-t-elle.
« Disposer d’un groupe de travail ou d’un comité d’IA pour évaluer le développement ou l’utilisation de l’IA par l’organisation et s’assurer que les parties prenantes clés au sein de l’organisation sont impliquées. »Ana Hadnes Bruder, partenaire, Mayer Brown
Établir au moins un niveau minimal de gouvernance de l’IA est essentiel à la conformité, déclare Ana Hadnes Bruder, un partenaire du cabinet d’avocats Mayer Brown. Et les entreprises dont l’IA relève de n’importe quelle catégorie à haut risque doivent mettre en œuvre une gouvernance robuste de l’IA.
« En termes pratiques, cela signifie que vous devez avoir un groupe de travail ou un comité d’IA pour évaluer le développement ou l’utilisation de l’IA par l’organisation et vous assurer que les parties prenantes clés au sein de l’organisation sont impliquées », déclare Bruder, qui est basé à Francfort, en Allemagne, et est spécialisé dans la confidentialité des données , la cybersécurité et les questions d’IA. « Et vous devez essayer de rendre ce groupe aussi diversifié que possible parce que différentes personnes ont des points de vue différents, et c’est vraiment utile pour vous assurer d’éviter les préjugés dans votre IA. »
La loi européenne sur l’IA suscite plus de débats : se conformer ou non à la loi
Bruder déclare que l’une des questions clés que la plupart des comités d’IA soulèveront invariablement est de savoir si leurs mises en œuvre d’IA atteignent réellement un niveau où ils doivent essayer d’atteindre la conformité avec la loi européenne sur l’IA. Après tout, se conformer à toute réglementation peut être chronophage et coûteux. Mais Bruder pense que l’écriture est sur le mur : cette réglementation n’est que le début.
« J’ai conseillé à mes clients de s’attendre à ce que cela prenne de l’ampleur », déclare Bruder.
En fait, bien que les avocats ne s’attendent pas à ce que la loi européenne sur l’IA soit répliquée ailleurs, comme l’a été le Règlement général sur la protection des données (RGPD), de nombreux gouvernements cherchent à ralentir l’expansion sans entrave de l’IA. Par exemple, l’administration Biden a signé un décret l’année dernière exigeant que les développeurs de systèmes d’IA qui pourraient menacer la sécurité nationale, l’économie, la santé publique ou la sécurité des États-Unis divulguent les résultats des tests de sécurité avant de publier leurs produits. Les régulateurs chinois ont également établi des règles régissant l’IA générative. En octobre dernier, 31 pays auraient adopté la législation sur l’IA et 13 autres débattaient des lois sur l’IA.
Dans la plupart des cas, les grandes entreprises d’IA ont accordé une attention timide à ces réglementations, car elles reconnaissent qu’elles ne peuvent pas échapper à ces lois et espèrent établir des règles de base pour les maintenir en activité. En même temps, certains leaders de l’IA ont publiquement exprimé leurs inquiétudes quant au potentiel de perte de contrôle de l’IA sans limites.
Pourtant, il y a également eu des préoccupations concernant les réglementations étouffant l’innovation, ce que les législateurs ont cherché à éviter lorsqu’ils ont négocié des éléments de la loi européenne sur l’IA au cours des cinq dernières années environ.
Evi Fuelle, directeur des politiques mondiales pour CredoAI, une plateforme de gouvernance de l’IA, pense que la législation finale s’est établie à un bon endroit à cet égard.
« La loi sur l’IA de l’UE n’étouffe pas l’innovation ; elle l’encourage », déclare-t-elle. « Nous disons souvent qu’un manque de confiance est un plus grand obstacle dans cet écosystème que la conformité. »
La loi européenne sur l’IA donne aux entreprises la certitude de savoir quelles utilisations de l’IA sont interdites, à haut risque ou minimes, voire sans risque, et les obligations de transparence correspondantes pour chacune d’entre elles, explique Fuelle.
« Cela donne aux entreprises la possibilité d’investir avec certitude dans une IA responsable par conception, car elles savent que ce marché majeur a clairement convenu qu’il n’acceptera pas l’utilisation ou la disponibilité de modèles d’IA à haut risque qui ne sont pas transparents et fiables », déclare-t-elle.
