Utilisations interdites, amendes et autres clés de la règle
« AFFAIRE ! AFFAIRE ! AFFAIRE ! » Ainsi, avec les majuscules, exclamations et répétitions comprises, célébré hier soir la présidence espagnole du Conseil de l’UE le dernier accord trouvé entre les 27 États du club européen et le Parlement communautaire. Et bien qu’il y ait beaucoup de rhétorique dans l’annonce, dans ce cas, cela semble raisonnablement justifié : ce sur quoi les deux organisations viennent de se mettre d’accord, c’est la première norme d’intelligence artificielle au monde, une réglementation qui a encore un chemin administratif à parcourir et qui n’est pas attendue. être ne prend pas pleinement effet dans plusieurs années, mais il représente en tout cas une étape importante.
L’accord intervient également juste avant les élections européennes de juin 2024, un rendez-vous avec les urnes qui aurait pu compliquer encore davantage leurs négociations.
Grosses affaires, longues négociations. Personne n’a dit qu’ouvrir des routes était facile. L’UE se vante du caractère pionnier de sa norme et souligne qu’elle offrira « le premier cadre juridique complet sur l’IA au monde », mais elle a eu du mal à la faire décoller. La fumée blanche a nécessité une négociation marathon, avec un bras de fer intense et deux séances interminables, de 22 et 14 heures, qui se sont terminées de la meilleure des manières : avec un coup de pouce levé, un photo de groupe avec des visages souriants, la célébration publique des dirigeants européens, avec Ursula von der Leyen à la barre, et des déclarations séparées de la Commission et du Parlement.
Une étape clé, mais pas la dernière. L’accord entre le Parlement européen et l’organisme qui représente les 27 États de la communauté représente une étape cruciale, mais pas définitive. La présidence espagnole du Conseil de l’UE souligne que l’accord est « provisoire » et le texte a encore un chemin administratif à parcourir : les deux parties devront le ratifier et, même si certaines mesures seront activées auparavant, il ne devrait pas entrer pleinement en vigueur avant plusieurs années, vers la fin de 2026. Cela ne veut pas dire que la mesure prise hier n’est pas pertinente, comme le prouvent les félicitations publiques lancées par les plus hauts dirigeants européens.
L’accord n’a pas été facile. La recherche d’un équilibre complexe entre sécurité, respect des valeurs européennes, promotion de l’innovation et même « risques identifiables » a nécessité de longs débats, avec des séances marathon et techniques. Qu’un consensus ait été atteint est également important pour une question strictement stratégique… et de . L’accord est annoncé à l’approche d’élections européennes dans six mois, un rendez-vous qui aurait pu compliquer encore davantage une loi délicate en discussion depuis un certain temps.
Un voyage de plus de deux ans. La loi sur l’IA, mieux connue sous le nom d’IA Act, a été présentée pour la première fois il y a près de trois ans, en avril 2021, comme l’a rappelé hier soir von der Leyen. Le président de la Commission a insisté sur la valeur et les possibilités qu’ouvre la nouvelle loi. « L’accord concentre la norme sur les risques identifiables, apporte une sécurité juridique et ouvre la voie à l’innovation dans une IA fiable », affirme le dirigeant. En garantissant la sécurité et les droits des personnes et des entreprises, la loi accompagnera le développement, le déploiement et l’adoption de L’IA dans l’UE est centrée sur les personnes, transparente et responsable.
Séparer par « risques ». L’une des clés de la nouvelle législation est qu’elle classe l’IA en fonction du risque qu’elle représente. Dans la déclaration dans laquelle elle détaille la norme, la Commission parle de quatre niveaux, allant du plus bas au plus inabordable. La majorité des IA relèveront de la première, celle du « risque minimal », un package qui inclut par exemple des systèmes de recommandation. Dans ces cas-là, ils « bénéficieront d’un laissez-passer gratuit et de l’absence d’obligations ».
Cependant, lorsque l’intelligence artificielle est considérée comme « à haut risque », comme celles liées aux infrastructures critiques, comme les installations d’eau, de gaz et d’électricité ou les dispositifs médicaux, la technologie doit se conformer à des « exigences strictes », qui incluent des systèmes d’atténuation des risques, une activité registre, supervision et fourniture d’informations claires, entre autres mesures.
Il y aurait deux niveaux supplémentaires : celui de la « transparence spécifique », qui établit que dans le cas des chatbots, les utilisateurs doivent être conscients qu’ils interagissent avec une machine ; et le « risque inacceptable », une catégorie qui inclurait les IA qui « manipulent le comportement humain pour contourner le libre arbitre des utilisateurs ». Dans ces cas, la Commission européenne parle d’une interdiction.
Applications interdites. Le Parlement européen va un peu plus loin et détaille certaines applications interdites en raison de « la menace potentielle » qu’elles représentent tant pour les droits des citoyens que, insiste-t-il, pour la démocratie. Plus précisément et entre autres utilisations, il cite des systèmes de catégorisation biométrique basés sur des « caractéristiques sensibles », telles que la race, l’orientation sexuelle ou la croyance ; « l’extraction non ciblée » d’images faciales depuis Internet ou depuis des caméras de surveillance (CCTV) pour constituer des bases de données de reconnaissance ; ou des systèmes de notation sociale basés sur le comportement social ou les caractéristiques personnelles.
La norme prévoit également des mesures de soutien à l’innovation, certaines obligations pour les systèmes d’IA « à haut risque » et, plus important encore, pour garantir que la loi ne reste pas lettre morte : des sanctions. La Chambre précise que le non-respect des lignes directrices établies dans la norme peut coûter cher aux entreprises, avec des amendes allant de 7,5 millions d’euros ou 1,5% du volume d’affaires à d’autres qui augmentent la pénalité à 35 millions ou 7% du volume d’affaires. Le montant dépendra du type d’infraction ou de la taille de l’entreprise.
IA et surveillance. Le fait que les négociations aient duré si longtemps, avec de telles séances marathon, montre que tous les points n’ont pas généré le même consensus. L’un des plus controversés a été celui des systèmes d’identification biométrique (RBI), comme la reconnaissance faciale. La raison : les divergences sur une technologie qui suscite de fortes suspicions en raison des possibilités de contrôle qu’elle offre aux gouvernements et de la manière dont celles-ci se heurtent aux droits des citoyens. Après les négociations, les députés européens et le Conseil sont parvenus à un point d’accord : une « limitation » de l’utilisation de l’outil.
« Les négociateurs se sont mis d’accord sur une série de garanties et d’exceptions restreintes pour l’utilisation de systèmes d’identification biométrique dans les espaces accessibles au public à des fins policières, sous réserve d’une autorisation judiciaire et de listes d’infractions strictement définies », note le Parlement européen dans son évaluation de la norme. : « Le RBI ‘post-à distance’ sera utilisé strictement dans le cadre de la recherche sélective d’une personne reconnue coupable ou soupçonnée d’avoir commis un crime grave. »
Son application « en temps réel » sera également soumise à des « conditions strictes », avec une utilisation « limitée dans le temps et dans l’espace » et toujours avec un objectif bien défini : « Recherches spécifiques de victimes, prévention d’une menace terroriste précise et actuelle ou la localisation ou l’identification d’un suspect d’avoir commis l’un des crimes spécifiques mentionnés dans le Règlement ». Cette liste comprendrait, par exemple, le terrorisme, le trafic, le meurtre ou le viol.
IA à usage général. Une autre clé de la négociation était la manière de réglementer les modèles d’IA générative, tels que ChatGPT. La loi introduit des « règles spécifiques » pour cette technologie visant à « garantir la transparence ». « Pour les modèles très puissants susceptibles de présenter des risques systémiques, il y aura des obligations contraignantes supplémentaires liées à la gestion des risques et au suivi des incidents graves, à la réalisation d’évaluations de modèles et de tests anormaux », détaille-t-il.
Le Parlement se targue également d’avoir obtenu des « obligations plus strictes » pour les modèles GPAI « à fort impact ». « Si ces modèles répondent à certains critères, ils devront procéder à des évaluations, évaluer et atténuer les risques systémiques, effectuer des tests contradictoires, signaler les incidents graves, assurer la cybersécurité et rendre compte de leur efficacité énergétique. »
À propos du droit d’auteur. La législation aborde également l’une des questions les plus délicates : la conjugaison complexe de l’IA et du droit d’auteur des œuvres sur lesquelles elle repose. La loi établit que « les systèmes GPAI et les modèles sur lesquels ils sont basés devront répondre aux exigences de transparence initialement proposées par le Parlement », qui incluent « l’élaboration de la documentation technique, le respect de la réglementation européenne sur le droit d’auteur et la diffusion de résumés détaillés ». du contenu utilisé dans la formation.
