L’Union européenne se dote d’une réglementation visant à promouvoir le développement de l’intelligence artificielle tout en assurant la protection des citoyens.

Le règlement européen sur l’intelligence artificielle (AI Act) a été adopté juin 2024.

À l’instar du règlement général sur la protection des données (RGPD), l’AI Act crée un cadre juridique aux services utilisant l’intelligence artificielle (AI) avec l’ambition de promouvoir le développement de cette technologie tout en assurant la protection des citoyens (santé, sécurité, droits fondamentaux…).

Il concerne les entreprises qui développent et commercialisent des produits ou services comprenant des composantes d’intelligence artificielle, du moteur de recherche aux systèmes de prise de décision.

Il concerne aussi les utilisateurs à titre professionnel des systèmes d’intelligence artificielle (« déployeurs » de systèmes d’IA).

Systèmes au risque inacceptable

Le régime juridique applicable aux systèmes d’IA dépend du niveau de risque. Les systèmes qui présentent un risque inacceptable sont interdits. Il s’agit des systèmes portant atteinte aux droits fondamentaux, à la démocratie ou à l’État de droit.

Ces systèmes permettent de manipuler ou d’influencer le comportement des utilisateurs. Il s’agit notamment des systèmes de notation sociale gérés par les gouvernements, des systèmes d’identification biométrique ou de reconnaissance faciale en temps réel et à distance dans l’espace public (sauf autorisation judiciaire pour prévenir une atteinte à la vie des personnes, une menace d’attentat, la poursuite des suspects, la recherche de personnes disparues…).

Systèmes à haut risque

Le règlement définit un ensemble de systèmes présentant un haut risque en matière de sécurité et d’atteinte aux droits fondamentaux.

Sont ainsi visés, les systèmes d’identification biométrique ou de catégorisation des personnes, les systèmes permettant de contrôler l’accèsà certains services ou droits en matière d’éducation, d’emploi, de crédit, d’aides sociales, d’immigration… Sont ainsi considérés à haut risque les systèmes d’analyse des CV permettant de classer les candidats à l’emploi, la notation des examens, l’orientation des parcours professionnels. Sont également concernés les systèmes aidant les autorités judiciaires dans l’analyse des faits et de la loi applicable ou la recherche de décisions de justice.

Une deuxième catégorie concerne les systèmes déployés sur les infrastructures critiques (transports par exemple) ou pour certains produits soumis à des exigences européennes de sécurité (jouets, ascenseurs, etc.). Ces systèmes d’IA doivent satisfaire à des obligations strictes pour pouvoir être mis sur le marché :
– Gestion des risques (identification, évaluation, prévention)
– Haut niveau de robustesse, de précision et de sécurité (cybersécurité notamment) ;
– Gestion des données alimentant et entraînant le système permettant d’assurer leur qualité et leur pertinence et de réduire les erreurs et les résultats discriminatoires ;
– Traçabilité des événements et des résultats ;
– Documentation technique fournissant les informations permettant aux autorités de contrôler le respect des obligations ;
– Information aux déployeurs permettant la transparence du fonctionnement du système ;
– Mesures permettant un contrôle humain pour réduire les risques.

Système à risque faible

Les autres systèmes ne présentant pas de risque important ne sont soumis qu’à des obligations de transparence.

Il s’agit des systèmes qui permettent le dialogue en langage naturel (chatbots, ChatGPT, Gemini…) ou permettent d’obtenir des textes, images ou vidéos (IA générative, deepfakes). Les fournisseurs doivent s’assurer que l’utilisateur est conscient d’interagir avec une intelligence artificielle. Ils doivent garantir le respect des droits d’auteur, notamment en identifiant, dans un format lisible par machine, les résultats comme étant issus de l’intelligence artificielle. Ils doivent enfin mettre à disposition une documentation plus ou moins détaillée selon qu’il s’agit ou non d’un modèle open source.

Entrée en vigueur

L’AI Act est entré en vigueur le 2 août 2024 mais son application est échelonnée jusqu’en 2027.

L’interdiction des systèmes à risque inacceptable s’applique à compter du 2 février 2025 et les règles applicables aux systèmes à haut risque à compter du 2 août 2027. Les règles applicables aux modèles d’intelligence artificielle à usage général s’appliqueront à compter du 2 août 2025 Toutes les dispositions s’appliqueront aux États membres de l’Union européenne à compter du 2 août 2027.

Référence : Règlement UE 2024/1689 du 13 juin 2024