L’AI Act : le cadre juridique pour l’intelligence artificielle dans l’UE

L’Union européenne a adopté en 2024 le règlement européen sur l’intelligence artificielle (ou AI Act) avec l’objectif d’établir un cadre juridique unifié pour le développement et l’utilisation des systèmes d’IA. Cette première régulation mondiale complète vise à promouvoir les opportunités offertes par cette technologie tout en minimisant ses dangers potentiels.

Pourquoi la réglementation a-t-elle été introduite ?

L’AI Act a été introduit pour établir un cadre juridique clair et unifié pour l’utilisation de l’intelligence artificielle en Europe. La Commission européenne a présenté le premier projet en avril 2021. Après de longues négociations, la version finale a été adoptée en janvier 2024. Ce règlement est motivé par les progrès technologiques rapides dans le domaine de l’IA, qui apportent autant d’opportunités que de risques. Les défis sociétaux et éthiques, comme la discrimination due à des algorithmes biaisés, le manque de transparence dans les décisions automatisées ou l’utilisation abusive de l’IA pour la surveillance de masse, nécessitaient urgemment une régulation légale.

L’objectif de l’AI Act est de promouvoir l’innovation sans compromettre les valeurs européennes fondamentales telles que la protection des données, la sécurité et les droits de l’Homme. L’UE adopte une approche basée sur le risque, où les applications d’IA particulièrement dangereuses sont strictement réglementées ou même interdites. En même temps, la réglementation vise à renforcer les entreprises européennes dans la concurrence mondiale en assurant confiance et sécurité juridique.

Classification des systèmes d’IA selon les catégories de risque

La réglementation adopte une approche basée sur le risque et divise ainsi différents systèmes d’IA en quatre catégories :

1. Risque inacceptable : cette catégorie inclut tous les systèmes d’IA considérés comme une menace pour la sécurité, les moyens de subsistance ou les droits des individus. Ceux-ci sont interdits. On retrouve dans cette catégorie les systèmes de notation sociale, c’est-à-dire l’évaluation du comportement ou de la personnalité des personnes par les autorités étatiques, ou les systèmes d’IA utilisés pour la reconnaissance faciale dans l’espace public sans consentement.
2. Risque élevé : ces systèmes sont autorisés, mais soumis à des exigences strictes et entraînent des obligations étendues pour les fournisseurs et opérateurs des systèmes. Cette catégorie inclut par exemple les systèmes d’IA dans les infrastructures critiques, comme dans les transports pour garantir la sécurité. De même, l’IA dans la gestion du personnel, qui influence les décisions d’embauche ou de licenciement, est soumise à des exigences particulières.
3. Risque limité/risque de transparence : la troisième catégorie de risque comprend les systèmes d’IA avec des exigences de transparence spécifiques, destinés à l’interaction directe avec les utilisateurs. Ces derniers doivent être informés de l’interaction avec ces systèmes. La plupart des IA génératives tombent dans cette catégorie.
4. Risque minimal : la majorité des systèmes d’IA appartiennent à la quatrième catégorie et ne sont soumis à aucune exigence spécifique par l’AI Act, comme les filtres anti-spam ou les personnages contrôlés par IA dans les jeux vidéo.

Exigences et obligations pour les développeurs et fournisseurs

Pour les développeurs et fournisseurs de systèmes d’IA, en particulier ceux à haut risque, le règlement européen sur l’IA établit une série d’exigences visant à garantir l’utilisation responsable de ces technologies. Ces exigences concernent divers aspects : transparence, sécurité, précision ou encore qualité des données sous-jacentes ; elles visent à assurer la sécurité et la fiabilité des technologies d’IA sans nuire à l’innovation.

Gestion des risques

Les entreprises doivent mettre en place un système de gestion des risques continu qui identifie, évalue et minimise les dangers potentiels. Cela inclut la révision régulière des impacts du système d’IA sur les individus ainsi que sur la société dans son ensemble. L’accent est particulièrement mis sur les discriminations, les biais non intentionnels dans la prise de décision et les risques pour la sécurité publique.

Qualité des données et évitement des biais

Les données d’entraînement utilisées pour le développement d’un système d’IA doivent respecter des normes de qualité élevées. Cela signifie qu’elles doivent être représentatives, exemptes d’erreurs et suffisamment diversifiées pour éviter la discrimination et les biais. Les entreprises sont tenues d’établir des mécanismes de vérification et de correction des biais, notamment lorsque l’intelligence artificielle est utilisée dans des domaines sensibles tels que les décisions de ressources humaines ou l’application de la loi.

Documentation et enregistrements

Les développeurs doivent créer et maintenir une documentation technique complète de leurs systèmes d’IA. Cette documentation doivent non seulement décrire la structure et le fonctionnement du système, mais aussi rendre compréhensibles les processus décisionnels de l’intelligence artificielle. De plus, les entreprises doivent tenir des enregistrements du fonctionnement de leurs systèmes d’IA pour permettre une analyse ultérieure et, si nécessaire, une correction des erreurs.

Transparence et information des utilisateurs

Le règlement exige que les utilisateurs soient clairement informés lorsqu’ils interagissent avec une IA. Par exemple, les chatbots ou les assistants virtuels doivent préciser qu’ils ne sont pas des interlocuteurs humains. Dans les cas où des systèmes d’IA prennent des décisions ayant un impact important sur les individus (par exemple, des demandes de crédit ou des procédures de candidature), les personnes concernées ont le droit à une explication sur la manière dont la décision a été prise.

Supervision humaine et possibilités d’intervention

Les systèmes d’IA à haut risque ne doivent pas fonctionner de manière totalement autonome. Les entreprises doivent s’assurer que des éléments de contrôle humain sont intégrés, permettant aux personnes d’intervenir et de faire des corrections si le système se comporte de manière incorrecte ou inattendue. Cela est particulièrement important dans des domaines comme le diagnostic médical ou la mobilité autonome, où les mauvaises décisions peuvent avoir des conséquences graves.

Précision, robustesse et cybersécurité

Le règlement européen sur l’IA exige que les systèmes d’IA soient fiables et robustes pour minimiser les erreurs de décision et les risques de sécurité. Les développeurs doivent prouver que leurs systèmes fonctionnent de manière stable dans diverses conditions et ne sont pas facilement affectés par des attaques ou des manipulations externes. Cela inclut des mesures de cybersécurité, comme la protection contre les fuites de données ou la manipulation non autorisée des algorithmes.

Évaluation de conformité et certification

Avant qu’un système d’IA à haut risque ne soit mis sur le marché, il doit subir une évaluation de conformité pour vérifier qu’il répond à toutes les exigences réglementaires. Dans certains cas, un audit externe par un organisme désigné est nécessaire. Le règlement prévoit également une surveillance continue et une réévaluation régulière des systèmes afin de garantir qu’ils continuent de respecter les normes.

Impacts et défis pour les entreprises

L’AI Act établit un cadre juridique clair pour les entreprises, visant à promouvoir l’innovation et la confiance dans les technologies de l’IA, mais entraîne également un accroissement des efforts en matière de conformité, d’adaptations techniques et de stratégies de marché. Les entreprises qui développent ou utilisent des technologies d’IA doivent prendre au sérieux ces nouvelles exigences, pour éviter les risques juridiques et rester compétitives à long terme.

Coûts plus élevés et démarches bureaucratiques

L’un des plus grands défis pour les entreprises réside dans les coûts supplémentaires engendrés par le respect des nouvelles réglementations. En particulier, les fournisseurs et utilisateurs de systèmes d’IA à haut risque doivent mettre en œuvre des mesures importantes qui nécessitent des investissements dans de nouvelles technologies, du personnel qualifié et éventuellement des conseillers ou organismes d’audit externes. Les petites et moyennes entreprises (PME) pourraient avoir du mal à mobiliser les ressources financières et humaines nécessaires pour respecter toutes les exigences réglementaires.

Les entreprises qui ne se conforment pas aux réglementations risquent de lourdes amendes, comme c’est déjà le cas pour le Règlement général sur la protection des données (RGPD).

Promotion de l’innovation

Malgré les réglementations supplémentaires, le règlement peut contribuer à long terme à renforcer la confiance dans les systèmes d’IA et à promouvoir l’innovation. Les entreprises qui s’adaptent rapidement aux nouvelles exigences et développent des solutions d’IA transparentes, sûres et éthiques peuvent acquérir un avantage concurrentiel.

L’introduction de règles claires crée un cadre juridique unifié au sein de l’UE, réduisant les incertitudes dans le développement et l’utilisation de l’IA. Les entreprises peuvent commercialiser leurs technologies plus facilement au sein de l’UE, sans avoir à faire face à des réglementations nationales différentes. L’AI Act est également l’un des premiers de ce type au monde et établit des normes élevées. Les entreprises qui s’y conforment peuvent se positionner comme des fournisseurs de confiance sur le marché, se donnant ainsi un avantage par rapport aux concurrents soumis à des réglementations moins strictes.

Effet extraterritorial et impacts sur les entreprises internationales

L’AI Act concerne les entreprises basées dans l’UE, mais aussi les sociétés internationales qui proposent des systèmes d’IA dans l’Union européenne ou utilisent des données collectées là-bas pour des applications d’IA. Ainsi, une entreprise américaine proposant dans l’UE un logiciel de recrutement basé sur l’IA devra se conformer aux réglementations européennes.

Cet effet extraterritorial oblige de nombreuses entreprises en dehors de l’UE à adapter leurs produits et services aux nouvelles normes si elles souhaitent servir le marché européen. Bien que cela puisse conduire à une approche mondiale plus uniforme des réglementations sur l’IA, cela pourrait également constituer un obstacle pour les entreprises non européennes souhaitant entrer sur le marché de l’UE.

Cependant, il y a aussi des craintes que les entreprises européennes puissent être désavantagées sur le plan international. Alors qu’aux États-Unis et en Chine, les innovations dans le domaine de l’intelligence artificielle progressent souvent avec peu de restrictions, les réglementations strictes de l’UE pourraient ralentir le développement et la mise en œuvre de nouvelles technologies par les entreprises européennes. Cela pourrait représenter un défi particulier pour les startups et les PME lorsqu’elles doivent rivaliser avec des géants technologiques disposant de ressources beaucoup plus importantes.