La plupart des entreprises qui font leurs premiers pas dans le domaine de l'IA ne seront pas significativement concernées par la nouvelle loi européenne sur l'IA – du moins pas dans un premier temps. Mais ils doivent tout de même y regarder de plus près, car même des utilisations de l'IA apparemment mineures pourraient être soumises à des exigences de transparence et à des évaluations des risques.
La législation relative à la « » ( ) a été adoptée par le Parlement européen le 13 mars, et son approbation par le Conseil de l'UE est attendue dans le courant de ce mois, la loi devant probablement entrer en vigueur fin mai ou début juin.
La loi européenne sur l'IA établit un cadre fondé sur les risques qui régira le développement, le déploiement et l'utilisation des systèmes d'IA « s » en Europe ; ces règles entreront en vigueur par étapes entre 2024 et 2026. Les entreprises qui ignorent ces règles ou qui les enfreignent s'exposent à des amendes pouvant atteindre 7 % de leur chiffre d'affaires mondial.
« Si vous disposez d’un système d’IA susceptible d’avoir une incidence quelconque sur l’Europe, vous devez tenir compte de la loi européenne sur l’IA », déclare Gretchen Scott, associée spécialisée dans les technologies au sein du cabinet Goodwin Law à Londres.
Quel est votre niveau de risque lié à l'IA ? La loi européenne sur l'IA prévoit que vous sachiez
Les avocats recommandent de prendre plusieurs mesures pour évaluer votre situation.
«Si vous disposez d’un système d’IA susceptible d’avoir un impact sur l’Europe de quelque manière que ce soit, vous devez tenir compte de la loi européenne sur l’IA. »Gretchen Scott, associée spécialisée dans les technologies, cabinet Goodwin Law
Tout d’abord, explique Scott, il est important de connaître votre place dans la chaîne de valeur de l’IA afin de déterminer si vous pourriez relever de l’un des rôles clés que la loi européenne sur l’IA vise à réglementer, tels que les fournisseurs, les déployeurs, les distributeurs, les fabricants et les importateurs de systèmes d’IA.
Elle ajoute ensuite que vous devriez déterminer le niveau de risque de votre système d'IA en vous basant sur les quatre niveaux définis dans la loi européenne sur l'IA.
1. Risque inacceptable
Il s'agit de la catégorie qui interdit les utilisations de l'IA que l'UE estime susceptibles de porter atteinte aux droits fondamentaux des citoyens ou d'exploiter des groupes vulnérables. Parmi les systèmes d’IA interdits figurent ceux qui : causent un préjudice important en exploitant des vulnérabilités pour fausser les comportements ; la reconnaissance des émotions sur les lieux de travail et dans les établissements scolaires ; les systèmes de catégorisation biométrique utilisant des caractéristiques sensibles ; la collecte d’images faciales sur Internet et à la télévision afin de créer des bases de données de reconnaissance faciale ; la notation sociale, la police prédictive (voir , , Minority Report, ) ; ainsi que les outils d’IA qui manipulent le comportement humain.
2. Risque élevé
Si votre entreprise relève de cette catégorie, vous devrez vous conformer à des exigences réglementaires considérables. Les systèmes d’IA relevant de la législation européenne en matière de sécurité des produits (tels que les jouets, les dispositifs médicaux et les machines) sont considérés comme présentant un risque élevé, tout comme certains systèmes d’IA destinés à être utilisés dans les domaines suivants : les infrastructures critiques, l’éducation et la formation professionnelle, l’emploi, les services essentiels privés et publics tels que les soins de santé et le secteur bancaire, ainsi que certains systèmes spécifiques utilisés dans les domaines de l’application de la loi, de la gestion des migrations et des frontières, ainsi que de la justice et des processus démocratiques.
Les entreprises fournissant des systèmes d'IA à haut risque doivent mettre en œuvre des processus complets de gestion des risques et de la qualité ainsi que des systèmes, évaluer et réduire les risques, tenir des registres d'utilisation, faire preuve de transparence et de précision, garantir un contrôle humain et mettre en place des systèmes de surveillance après commercialisation. Par ailleurs, les utilisateurs de systèmes d'IA à haut risque sont également soumis à des obligations strictes : ils doivent utiliser le système d'IA conformément aux instructions du fournisseur, réaliser des analyses d'impact, garantir une supervision humaine et la transparence, et surveiller le système afin d'identifier les risques.
3. IA à usage général (GPAI)
Cette catégorie regroupera de nombreux acteurs de renom du secteur de l'IA, notamment OpenAI, Google et Microsoft. Dans l'ensemble, ces applications sont considérées comme présentant un faible risque. Cependant, dans la mesure où les modèles d'IA générale (GPAI) constituent la base de nombreux systèmes d'IA en aval, les fournisseurs de GPAI sont soumis à certaines obligations, telles que la transparence, afin de reconnaître leur rôle et leurs responsabilités au sein de l'écosystème de l'IA.
Une vague de litiges en matière de propriété intellectuelle aux États-Unis a mis en évidence le fait que l’entraînement des modèles d’IA générale (GPAI) s’apparente actuellement à la « Foule de l’Ouest » – notamment en ce qui concerne l’utilisation prétendument « » des données d’autrui pour rendre l’IA plus performante. L'Union européenne exige des prestataires de GPAI qu'ils mettent en œuvre des politiques visant à respecter la législation régionale en matière de droit d'auteur et qu'ils publient des résumés détaillés des contenus utilisés à des fins de formation. Les modèles libres et open source sont exemptés de ces exigences. Les modèles GPAI plus puissants qui comportent un risque systémique sont soumis à des exigences plus strictes. Selon Scott, si vous développez et diffusez des modèles linguistiques à grande échelle (LLM) dotés de capacités à fort impact, vous devrez également démontrer que vous procédez à des évaluations régulières de ces modèles, que vous évaluez et atténuez les risques liés aux systèmes, et que vous signalez tout incident survenant, y compris les cyberattaques.
4. Risque limité
Les systèmes d'IA qui n'entrent dans aucune des autres catégories seront soumis à des exigences de transparence visant à garantir que les utilisateurs sachent qu'ils interagissent avec une IA ou que le contenu qu'ils consultent est généré artificiellement. Par exemple, les images artificielles ou manipulées, les contenus audio et vidéo issus de l' ation (tels que les « deepfakes ») doivent être clairement identifiés comme tels. Les entreprises qui développent ou déploient des technologies d'intelligence artificielle devront également veiller à ce que leur personnel dispose d'un niveau suffisant de connaissances en la matière.
Faire le point sur vos obligations au titre de la loi européenne sur l’IA (et sur la gouvernance de l’IA)
Une fois que vous aurez compris votre rôle dans la chaîne de valeur de l'IA et la classification des risques de vos systèmes d'IA, vous serez en mesure de déterminer vos obligations réglementaires. Selon M. Scott, la plupart des systèmes d'IA ne feront pas l'objet d'une interdiction ni ne seront considérés comme présentant un risque élevé au titre de la loi européenne sur l'IA. « Nous pensons toutefois que l’impact de la loi européenne sur l’IA se fera largement sentir, car nous constatons que les entreprises prennent des mesures pour atténuer les risques liés au développement et au déploiement de systèmes d’IA soumis à la charge réglementaire la plus lourde », déclare-t-elle.
«Mettez en place un groupe de travail ou un comité dédié à l’IA afin d’évaluer le développement ou l’utilisation de l’IA au sein de l’organisation et veillez à ce que les principales parties prenantes de l’organisation y soient associées. »Ana Hadnes Bruder, associée chez Mayer Brown
« La mise en place d'un niveau minimal de gouvernance en matière d'IA est essentielle pour garantir la conformité », affirme Ana Hadnes Bruder, associée au sein du cabinet d'avocats Mayer Brown. Et les entreprises dont l'IA relève d'une catégorie à haut risque devraient mettre en place une gouvernance solide en matière d'IA.
« Concrètement, cela signifie que vous devriez disposer d’un groupe de travail ou d’un comité dédié à l’IA afin d’évaluer le développement ou l’utilisation de l’IA au sein de l’organisation et de veiller à ce que les principales parties prenantes de celle-ci soient impliquées », explique M. Bruder, basé à Francfort, en Allemagne, et spécialisé dans l’ la protection des données, la cybersécurité et les questions liées à l’IA. « Et vous devriez vous efforcer de rendre ce groupe aussi diversifié que possible , car chacun a son propre point de vue, ce qui est vraiment précieux pour vous assurer d'éviter tout biais dans votre IA. »
La loi européenne sur l’IA suscite de nouveaux débats : faut-il s’y conformer ou non ?
Selon M. Bruder, l'une des questions clés que la plupart des comités chargés de l'IA ne manqueront pas de soulever est de savoir si leurs déploiements d'IA atteignent réellement un niveau tel qu'ils doivent s'efforcer de se conformer à la loi européenne sur l'IA. Après tout, se conformer à une réglementation, quelle qu'elle soit, peut s'avérer chronophage et coûteux. Mais M. Bruder estime que la tendance est claire : cette réglementation n'est qu'un début.
« Je dis à mes clients qu’ils doivent s’attendre à ce que la situation s’améliore », déclare M. Bruder.
En effet, bien que les juristes ne s’attendent pas à ce que la loi européenne sur l’IA soit reproduite ailleurs, comme cela a été le cas pour le règlement général sur la protection des données (RGPD) , de nombreux gouvernements cherchent à freiner l’expansion effrénée de l’IA. Par exemple, l'administration Biden a signé l'année dernière un décret intitulé « » () , qui impose aux développeurs de systèmes d'IA susceptibles de menacer la sécurité nationale, l'économie, la santé publique ou la sécurité des États-Unis de divulguer les résultats des tests de sécurité avant de commercialiser leurs produits. Les autorités de régulation chinoises ont également établi des règles régissant l'IA générative. En octobre dernier, 31 pays auraient adopté une législation relative à l'IA et 13 autres seraient en train d'examiner des projets de loi sur l'IA.
Dans l'ensemble, les grandes entreprises du secteur de l'IA ont accueilli ces réglementations avec un enthousiasme mitigé, car elles reconnaissent qu'elles ne peuvent y échapper et espèrent établir des règles de base leur permettant de poursuivre leurs activités. Parallèlement, certains responsables du secteur de l'IA ont publiquement fait part de leurs inquiétudes quant au risque que les humains perdent le contrôle d'une IA sans limites.
Cependant, certains craignent également que la réglementation ne freine l'innovation – ce que les législateurs ont cherché à éviter lorsqu'ils ont négocié les différents éléments de la loi européenne sur l'IA au cours des cinq dernières années environ.
Evi Fuelle, directrice des politiques internationales chez CredoAI, une plateforme dédiée à la gouvernance de l'IA, estime que la législation finale a trouvé un juste équilibre à cet égard.
« La loi européenne sur l’IA n’étouffe pas l’innovation ; elle l’encourage », affirme-t-elle. « On dit souvent que le manque de confiance constitue un obstacle plus important dans cet écosystème que la conformité. »
« La loi européenne sur l'IA apporte une certitude aux entreprises en précisant quelles utilisations de l'IA sont interdites, à haut risque ou présentant un risque minime, voire nul, ainsi que les obligations de transparence correspondantes pour chacune d'entre elles », explique Mme Fuelle.
« Cela permet aux entreprises d’investir en toute confiance dans une IA responsable dès sa conception, car elles savent que cette importante place de marché s’est fermement engagée à ne pas accepter l’utilisation ou la mise à disposition de modèles d’IA à haut risque qui ne soient ni transparents ni fiables », explique-t-elle.
