La loi sur l’IA est arrivée! Mais trouvera-t-elle le juste équilibre entre innovation et protection des droits des titulaires de droits de propriété intellectuelle et des citoyens incités à utiliser l’intelligence artificielle au quotidien? C’est un défi difficile à relever et, suite à notre analyse détaillée de la loi sur l’IA, nous sommes arrivés à la conclusion qu’elle freinera l’intelligence artificielle dans l’Union européenne, forçant les avancées et les progrès technologiques de l’IA à se produire sur d’autres continents comme les États-Unis ou l’Asie. Quelle perte d’opportunités et de progrès techniques et commerciaux pour l’Europe, qui, comme toujours, est trop conservatrice dans son esprit pour son propre bien.
1. Qu’est-ce que la Loi sur l’Intelligence Artificielle?
Le règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées en matière d’intelligence artificielle (‟Loi sur l’IA”) est un règlement de l’Union européenne (‟UE”) qui fournit un régime réglementaire complet et indépendant de tout secteur, qui constitue le fondement de la gouvernance et de la réglementation de l’Intelligence Artificielle (‟IA”) dans l’ensemble de l’UE, avec des implications en aval pour les entreprises et une législation en développement dans le monde entier.
La Loi sur l’IA fait partie d’un ‟paquet” de nouvelles règles de l’UE axées sur la réalisation des objectifs numériques de l’Europe pour 2030 et de l’écosystème numérique ‟Façonner l’avenir numérique de l’Europe”, aux côtés de la Loi sur les marchés numériques (‟Digital Markets Act”), de la Loi sur les services numériques (‟Digital Services Act”), ainsi que de la Loi sur les données personnelles (‟Data Act”) et la Loi sur la gouvernance des données personnelles (‟Data Governance Act”), qui forment un ensemble unique de règles applicables dans toute l’UE, pour mettre en œuvre les deux objectifs suivants:
- créer un espace numérique plus sûr dans lequel les droits fondamentaux de tous les utilisateurs de services numériques sont protégés en fixant des règles claires et proportionnées, et
- établir des conditions de concurrence équitables pour favoriser l’innovation, la croissance et la compétitivité, tant sur le marché unique européen qu’à l’échelle mondiale.
Plus précisément, s’étendant sur 180 considérants et 113 articles, la Loi sur l’IA est une approche à plusieurs niveaux, basée sur les risques, pour réglementer l’ensemble du cycle de vie des différents types de systèmes d’IA, avec les conséquences suivantes:
- les systèmes d’IA destinés à certaines utilisations seront interdits;
- certains systèmes d’IA seront désignés comme systèmes d’IA à haut risque (‟High-Risk AI Systems”) (‟HRAIS”) et soumis à des obligations étendues, notamment pour les fournisseurs d’IA;
- il existe des dispositions spécifiques régissant les modèles d’IA à usage général (‟General Purpose AI”) (‟GPAI”), où ces modèles GPAI sont réglementés quel que soit le cas d’utilisation, et
- d’autres systèmes d’IA sont considérés comme à faible risque et ne sont donc soumis qu’à des obligations de transparence limitées lorsqu’ils interagissent avec des individus.
La Loi sur l’IA est le résultat de négociations approfondies visant à établir un cadre juridique harmonisé ‟pour le développement, la mise sur le marché, la mise en service et l’utilisation de systèmes d’intelligence artificielle” dans l’UE.
2. Quand la loi sur l’IA entre-t-elle en vigueur?
La Loi sur l’IA a été publiée au journal officiel de l’UE le 12 juillet 2024, plus de trois ans après la publication du texte original proposé par la Commission européenne (la ‟Commission”) en avril 2021.
Le 1er août 2024, la Loi sur l’IA est entrée en vigueur.
Maintenant que la Loi sur l’IA a été publiée, ses exigences entreront en vigueur de manière continue au cours des prochaines années, comme suit:
- D’ici le 2 février 2025, les entreprises doivent cesser toute utilisation et exploitation de systèmes d’IA présentant un risque inacceptable.
- D’ici le 2 août 2025, les entreprises doivent s’assurer que toutes les exigences et obligations de transparence liées à toute utilisation de GPAI sont respectées.
- D’ici le 2 août 2026, les entreprises doivent s’assurer que toutes les procédures opérationnelles pour HRAIS sont respectées et mises en place pour les systèmes d’IA existants et futurs.
- D’ici le 2 août 2027, les entreprises doivent garantir que tous les systèmes d’IA fournis et déployés sont conformes aux réglementations et normes sectorielles en matière d’IA en vigueur au sein de l’UE.
- Le 2 août 2030, le délai de grâce pour les HRAIS destinés à être utilisés par les pouvoirs publics prend fin.
Ainsi, par exemple, les organisations disposeront de six mois pour s’assurer qu’elles n’utilisent aucun système ou technologie d’IA susceptible de présenter un risque inacceptable. De même, de nombreuses organisations disposeront d’un délai de vingt-quatre mois pour s’assurer qu’elles disposent des exigences opérationnelles nécessaires pour développer, fournir et/ou déployer des HRAIS de manière conforme (sous réserve de certaines exemptions décrites ci-dessous).
Comme le montre le calendrier de mise en œuvre mentionné ci-dessus, la plupart des dispositions de la Loi sur l’IA s’appliqueront après une période de mise en œuvre de deux ans (c’est-à-dire à partir du 2 août 2026). Au cours de cette période, diverses législations déléguées, orientations et normes harmonisées élaborées par les organisations européennes de normalisation seront publiées pour faciliter la conformité à la Loi sur l’IA.
3. Qui est concerné et/ou impacté par la Loi sur l’IA? Les systèmes d’IA
3.1. Les systèmes d’IA (article 3(1) Loi sur l’IA)
La plupart des obligations en vertu de la Loi sur l’IA concernent les systèmes d’IA, qui sont définis au sens large comme des ‟systèmes basés sur des machines conçus pour fonctionner avec différents niveaux d’autonomie et qui peuvent faire preuve d’adaptabilité après déploiement et qui, pour des objectifs explicites ou implicites, déduisent, à partir des informations qu’ils reçoivent, comment générer des résultats tels que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuels”.
La Loi sur l’IA établit des obligations pour les fournisseurs, les déployeurs, les importateurs, les distributeurs et les fabricants de systèmes d’IA, avec un lien avec le marché de l’UE.
Par exemple, la Loi sur l’IA s’applique aux:
- fournisseurs qui mettent sur le marché de l’UE, ou mettent en service, des systèmes d’IA, ou mettent sur le marché de l’UE des modèles GPAI;
- déployeurs de systèmes d’IA qui ont un lieu d’établissement et/ou sont situés dans l’UE;
- fournisseurs et déployeurs de systèmes d’IA dans des pays tiers, si les résultats produits par le système d’IA sont utilisés dans l’UE (article 2 (1) Loi sur l’IA).
La Loi sur l’IA énumère également certaines exceptions à son champ d’application matériel: par exemple, la Loi sur l’IA ne s’applique pas aux systèmes d’IA ‟open source”, sauf s’ils sont interdits ou classés comme HRAIS ou systèmes d’IA utilisés aux seules fins de recherche et de développement scientifique (articles 2(3), 2(4), 2(6), 2(8), 2(10) et 2(12)).
Les états-membres de l’UE sont en mesure de maintenir ou d’introduire des réglementations nationales plus favorables aux travailleurs en termes de protection de leurs droits en ce qui concerne l’utilisation des systèmes d’IA par les employeurs, ou d’encourager ou d’autoriser l’application de conventions collectives favorables aux travailleurs (article 2 (11)).
3.2. Systèmes d’IA interdits (article 5 Loi sur l’IA)
La Loi sur l’IA interdit certaines pratiques d’IA dans l’UE, qu’elle considère comme nuisibles, abusives et contraires aux valeurs de l’UE.
Les pratiques interdites en matière d’IA comprennent:
- le déploiement de techniques d’IA subliminales au-delà de la conscience d’une personne ou de techniques délibérément manipulatrices ou trompeuses, avec pour objectif ou pour effet de déformer matériellement le comportement humain;
- les systèmes d’IA pour la catégorisation et l’identification biométriques, y compris ceux permettant la récupération non ciblée de données faciales sur Internet;
- les systèmes d’IA pour la reconnaissance des émotions dans les domaines de l’application de la loi, de la gestion des frontières, du lieu de travail et de l’éducation, et
- les systèmes d’IA pour l’évaluation ou la classification sociale de personnes physiques ou de groupes de personnes physiques sur une période donnée en fonction de leur comportement social.
La Loi sur l’IA prévoit cependant quelques exceptions à cette règle, à des fins d’application de la loi, liées à l’utilisation de l’identification biométrique à distance ‟en temps réel” dans les espaces accessibles au public (article 5(2)).
3.3. Systèmes d’IA à haut risque – HRAIS (chapitre III Loi sur l’IA)
Les obligations réglementaires les plus lourdes en vertu de la Loi sur l’IA concernent les HRAIS.
Dans le but de mettre en œuvre un ensemble de règles proportionnées et efficaces pour les systèmes d’IA, la Loi sur l’IA établit une approche de la réglementation basée sur les risques et catégorise les systèmes d’IA en fonction de l’intensité et de l’étendue des risques que chaque système d’IA peut générer.
Les HRAIS, qui sont des systèmes d’IA présentant un risque ‟élevé”, appartiennent aux deux catégories suivantes:
- Les systèmes d’IA utilisés comme composant de sécurité d’un produit (ou autrement soumis à la législation d’harmonisation de l’UE en matière de santé et de sécurité), et
- les systèmes d’IA déployés dans huit domaines spécifiques, notamment la biométrie, les infrastructures critiques (par exemple l’approvisionnement en eau, gaz et électricité), l’éducation, l’emploi, l’accès aux services publics et privés essentiels, l’application de la loi, la migration, l’administration de la justice et les secteurs de l’assurance et de la banque (articles 6(1) et (2) et annexe III Loi sur l’IA).
Un système d’IA déployé dans ces huit domaines spécifiés est toujours considéré comme à haut risque s’il effectue un profilage de personnes physiques (article 6(3)).
Par dérogation, un système d’IA qui relève de ces huit domaines spécifiques peut être considéré comme ne présentant pas un risque aussi élevé si son utilisation prévue se limite à:
- exécuter des tâches procédurales étroites;
- apporter des améliorations aux résultats d’activités humaines précédemment réalisées;
- détecter des modèles de prise de décision ou des écarts par rapport aux modèles de prise de décision antérieurs sans remplacer ou influencer les évaluations humaines, ou
- simples tâches préparatoires à une évaluation des risques (article 6(3)).
La Loi sur l’IA impose un large éventail d’obligations aux différents acteurs du cycle de vie d’un HRAIS, notamment:
- exigences en matière de formation aux données et de gouvernance des données;
- documentation technique;
- tenue de dossiers;
- robustesse technique;
- transparence;
- la surveillance humaine, et
- précision, robustesse et cybersécurité.
Par exemple, les HRAIS qui utilisent des techniques impliquant l’entraînement de modèles avec des données devront être développés sur la base d’ensembles de données d’entraînement, de validation et de test qui répondent aux critères de qualité fixés par l’article 10 de la Loi sur l’IA.
Les fournisseurs de HRAIS seront également soumis à diverses obligations procédurales avant de fournir tout HRAIS:
- marquage CE: les fournisseurs doivent s’assurer que leur HRAIS est soumis à une procédure d’évaluation de la conformité lors de la fourniture du HRAIS et apposer un marquage CE sur sa documentation;
- enregistrement dans la base de données de l’UE: les fournisseurs et les organismes publics utilisant le HRAIS doivent enregistrer le HRAIS dans une base de données européenne des systèmes d’IA, et
- obligations de déclaration: les fournisseurs HRAIS doivent signaler tout incident grave ou dysfonctionnement impliquant leur HRAIS à une autorité compétente dans un délai de 15 jours.
D’autres opérateurs de HRAIS seront soumis à des obligations plus limitées, telles que:
- réaliser des évaluations d’impact sur les droits fondamentaux;
- s’assurer qu’ils utilisent le HRAIS conformément à ses instructions d’utilisation;
- surveiller le fonctionnement du HRAIS, et
- conserver un enregistrement des journaux générés par le HRAIS (s’ils sont sous leur contrôle).
L’article 7 prévoit également un processus et certains critères pour l’ajout de nouveaux cas d’utilisation ou la modification de cas d’utilisation existants pour les systèmes HRAIS par la Commission.
Les systèmes HRAIS sont donc soumis à des obligations étendues, en particulier pour les fournisseurs. Qu’en est-il des dispositions spécifiques régissant les modèles GPAI?
3.4. IA à usage général – GPAI – modèles (chapitre V Loi sur l’IA)
Les technologies d’IA qui ne sont pas interdites ou à haut risque seront soumises à des exigences réglementaires beaucoup moins contraignantes.
Les autres exigences les plus contraignantes prévues par la Loi sur l’IA concernent les modèles GPAI. Les exigences pour la plupart des modèles GPAI, qui comprennent les modèles de base et les modèles d’IA génératifs, sont principalement axées sur la transparence.
Un modèle GPAI est défini comme ‟un modèle d’IA, y compris lorsqu’un tel modèle d’IA est formé avec une grande quantité de données en utilisant l’auto-supervision à grande échelle, qui présente une généralité significative et est capable d’exécuter avec compétence un large éventail de tâches distinctes, quelle que soit la manière dont le modèle est mis sur le marché et qui peut être intégré dans une variété de systèmes ou d’applications en aval, à l’exception des modèles d’IA qui sont utilisés pour des activités de recherche, de développement ou de prototypage avant leur mise sur le marché” (article 3(63)). Cette définition est vague et laisse une marge d’interprétation aux régulateurs compétents, aux législateurs nationaux et aux tribunaux (en particulier ce que signifie ‟généralité significative”).
La Loi sur l’IA ne s’appliquera pas aux systèmes ou modèles d’IA (y compris les modèles GPAI et leurs résultats) lorsqu’ils sont spécifiquement développés et mis en service aux seules fins de recherche et développement scientifiques (article 2(6)).
La classification des modèles GPAI présentant un risque systémique est abordée à l’article 51: un modèle GPAI est classé comme modèle GPAI présentant un risque systémique s’il présente des capacités d’impact élevées (évaluées sur la base d’outils et de méthodologies techniques appropriés, y compris des indicateurs et des repères) ou s’il est identifié comme tel par la Commission. Par exemple, un modèle GPAI est présumé avoir des capacités d’impact élevées si la quantité de puissance de calcul, mesurée en opérations à virgule flottante (‟Floating Point Operations”) (‟FLOPs”), est supérieure à 10 (article 51(2)).
Le fournisseur d’un modèle GPAI doit informer la Commission s’il prend connaissance qu’un modèle GPAI est ou sera qualifié de modèle présentant un risque systémique sans délai, et en tout état de cause dans un délai de deux semaines (article 52(1)). Une liste de modèles d’IA présentant un risque systémique sera publiée et fréquemment mise à jour par la Commission, sans préjudice de la nécessité de respecter et de protéger les droits de propriété intellectuelle et les informations commerciales confidentielles ou les secrets d’affaires conformément au droit de l’UE et/ou des états-membres (article 52(6)).
Tous les fournisseurs de modèles GPAI sont soumis à certaines obligations (article 53), telles que:
- mettre à disposition et maintenir à jour la documentation technique, y compris son processus de formation et de test, ou fournir des informations aux fournisseurs de systèmes d’IA qui ont l’intention d’utiliser le modèle GPAI;
- coopérer avec la Commission et les autorités nationales compétentes, et
- se conformer aux lois nationales sur le droit d’auteur et les droits voisins.
Les fournisseurs de modèles GPAI présentant un risque systémique ont des obligations supplémentaires, notamment celles de réaliser des évaluations de modèles standardisées, d’évaluer et d’atténuer les risques systémiques, de suivre et de signaler les incidents et d’assurer la protection de la cybersécurité (article 55).
3.5. Autres systèmes d’IA
Hormis ce qui précède, et lorsque deux exceptions spécifiques s’appliquent (militaire ou défense; recherche et innovation), la seule exigence contraignante pour les autres systèmes d’IA est une obligation limitée de transparence. Les fournisseurs doivent s’assurer que les systèmes d’IA destinés à interagir avec des individus sont conçus et développés de manière à ce que les utilisateurs individuels sachent qu’ils interagissent avec un système d’IA.
Il existe cependant une obligation générale pour tous les déployeurs et fournisseurs de systèmes d’IA de s’assurer que leur personnel chargé de l’exploitation et de l’utilisation des systèmes d’IA possède des connaissances suffisantes en IA. Le niveau approprié de connaissances en IA dépend de la formation, de l’expertise et des connaissances techniques du personnel, ainsi que du contexte dans lequel les systèmes d’IA concernés doivent être utilisés.
4. Pénalités et sanctions (chapitre XII Loi sur l’IA)
Les organisations doivent déterminer si elles sont soumises à la Loi sur l’IA et, si tel est le cas, comment elles entendent se conformer à leurs obligations.
Si une organisation ne met pas en œuvre les changements imposés par la Loi sur l’IA, ou ne respecte pas ses obligations une fois la Loi sur l’IA pleinement en vigueur, elle peut être soumise à de lourdes sanctions pour non-conformité, telles que:
- des amendes pouvant aller jusqu’à 35 millions d’euros ou 7 pour cent du chiffre d’affaires annuel mondial de l’exercice précédent (le montant le plus élevé étant retenu), pour non-respect des obligations relatives aux systèmes d’IA interdits (article 99(3));
- des amendes pouvant aller jusqu’à 15 millions d’euros ou 3 pour cent du chiffre d’affaires annuel mondial de l’exercice précédent (le montant le plus élevé étant retenu), pour non-respect des obligations relatives au GPAI ou au HRAIS (article 101), et
des amendes pouvant aller jusqu’à 7,5 millions d’euros ou 1 pour cent du chiffre d’affaires annuel mondial de l’exercice précédent (le montant le plus élevé étant retenu), pour avoir fourni des informations inexactes, incomplètes ou trompeuses aux organes directeurs et/ou aux autorités en réponse à leurs demandes (article 99(5)).
Pour les PME et les start-ups, les amendes pour toutes les infractions susmentionnées sont soumises aux mêmes pourcentages ou montants maximaux, mais selon le montant le plus bas (article 99(6)).
Les articles 85 à 87 de la Loi sur l’IA prévoient également le droit des personnes physiques et morales de déposer une plainte auprès d’une autorité de surveillance du marché, d’obtenir des explications sur les décisions individuelles et de signaler les cas de non-conformité.
5. Loi sur l’IA: ‟promouvoir” l’innovation avec beaucoup de prudence
Bien que la Loi sur l’IA soit principalement axée sur la gouvernance des organisations et des individus au sein des frontières de l’UE, elle a une large portée internationale. Les organisations situées loin de l’Europe, comme celles qui opèrent aux États-Unis ou en Asie, peuvent être soumises aux exigences de la Loi sur l’IA même si elles n’ont pas de présence dans un état-membre de l’UE.
Ainsi, au-delà de sa portée internationale, l’approche de l’UE en matière de réglementation de l’IA apparaît de plus en plus comme la norme pour les gouvernements et les régulateurs du monde entier. Par exemple, les états du Colorado et de Californie, aux États-Unis, et d’autres juridictions internationales comme le Canada, ont ouvertement déclaré qu’ils souhaitaient aligner leurs approches sur celles de leurs pairs de l’UE.
Bien que la Loi sur l’IA affirme ouvertement qu’elle aborde la réglementation de l’IA en mettant l’accent sur la prévention des atteintes à la santé, à la sécurité et aux droits fondamentaux des individus au sein de l’UE, elle étouffe secrètement la créativité, l’innovation et la prise de risques. Par conséquent, aucune entreprise et/ou aucun système d’IA ne proviendra de l’UE, en vertu des règles imposées par la Loi sur l’IA. Tous les systèmes d’IA victorieux viendront des États-Unis et d’Asie, où les réglementations seront beaucoup plus faibles, voire inexistantes.
Peut-être que tous les citoyens de l’UE se sentiront ‟ultra-confortables” et bien protégés par leur état-providence, mais, en attendant, les États-Unis et la Chine se battront pour remporter cette guerre actuelle sur la domination mondiale de l’IA. Parfois, ce n’est qu’en sortant de sa zone de confort et en prenant des risques que l’on peut réaliser des progrès et des bonds de croissance substantiels. L’UE n’a pas adopté cette approche: je ne veux pas entendre de gémissements ni de plaintes, dans cinq ans, lorsque les États-Unis et l’Asie seront tellement en avance sur les européens que leurs avancées technologiques attireront toute la richesse, le progrès, la créativité et les opportunités économiques.
Crefovi met à jour régulièrement ses réseaux de médias sociaux, tels que Linkedin, Twitter, Instagram, YouTube et Facebook. Vérifiez nos dernières nouvelles ici!
