Intelligence artificielle. Big brother ne sera pas européen

La démarche de l’ONU fait écho à la proposition de règlement européen sur l’IA qui date seulement d’avril 2021.

Ce règlement sera d’application directe en France sans qu’il y ait besoin de loi de transposition. Il faut donc que les entreprises se préparent à son adoption et qu’elles essaient, le cas échéant, d’en influencer le contenu. Pour les entreprises concernées – et il y en aura de nombreuses – les contraintes seront beaucoup plus importantes que celles issues du RGPD.

La Commission européenne a comme souci principal de défendre les droits fondamentaux et de rassurer les citoyens de l’Union sur l’usage de l’IA de telle manière qu’elle se développe.

Aucune date d’adoption de ce règlement n’est encore prévue : en effet, celle-ci résultera du trilogue, c’est-à-dire d’un accord entre la Commission, le Conseil et le Parlement, ce qui est parfois long.

Le futur règlement distingue plusieurs systèmes d’IA :

Le futur règlement interdit la mise sur le marché, la mise en service ou l’utilisation :

• d’un système d’IA qui a recours à des techniques subliminales;

• d’un système d’IA qui exploite les éventuelles vulnérabilités dues à l’âge ou au handicap physique ou mental d’un groupe de personnes donné pour altérer substantiellement le comportement d’un membre de ce groupe d’une manière qui cause ou est susceptible de causer un préjudice physique ou psychologique à cette personne ou à un tiers ;

• d’un système de notation sociale « à la chinoise » exploité par les pouvoirs publics ;

• des systèmes d’identification biométriques à distance en « temps réel » dans des espaces accessibles au public à des fins répressives. Avec cependant des exceptions que déplorent nombre d’associations, mais qui apparaissent nécessaires dans un environnement insécurisé que nous connaissons.

Le futur règlement définit les systèmes d’IA à haut risque et donne quelques exemples dans son annexe III. Parmi ceux-ci, la gestion et l’exploitation des infrastructures critiques, les systèmes d’IA destinés à être utilisés pour le recrutement ou la sélection de personnes physiques, ou ceux utilisés pour la prise de décisions de promotion et de licenciement dans le cadre de relations professionnelles contractuelles, pour l’attribution des tâches et pour le suivi et l’évaluation des performances et du comportement de personnes dans le cadre de telles relations.

Pour qu’un système d’IA à haut risque puisse être utilisé, certaines exigences doivent être respectées, et notamment :

• organiser et documenter la gestion des risques que pourrait générer le système d’IA ;

• de manière quasi symétrique, les jeux de données d’entraînement, de validation et de test sont assujettis à des pratiques appropriées en matière de gouvernance et de gestion des données;

• une documentation technique relative à un système d’IA à haut risque est établie, avant que ce système ne soit mis sur le marché ou mis en service, et elle est tenue à jour ;

• prévoir l’enregistrement automatique des événements pendant le fonctionnement des systèmes d’IA ;

• le fonctionnement de ces systèmes doit être suffisamment transparent pour permettre aux utilisateurs d’interpréter les résultats du système et de l’utiliser de manière appropriée ;

• prévoir une supervision effective réalisée par des personnes physiques pendant la période d’utilisation du système d’IA ;

• les systèmes d’IA doivent atteindre un niveau approprié d’exactitude, de robustesse et de cybersécurité, et fonctionner de manière cohérente à cet égard tout au long de leur cycle de vie.

Les systèmes d’IA qui présentent un risque minimal sont soumis à des obligations d’information et de transparence.

La proposition de règlement ne prévoit aucune autre restriction ou obligation légale supplémentaire pour les systèmes d’IA ne présentant qu’un risque minimal.

Il sera possible de faire certifier les systèmes d’IA avec un marquage de type CE pour faciliter la commercialisation dans l’Union.

Les obligations des fabricants, commercialisateurs, importateurs et utilisateurs ne sont pas identiques et font l’objet de développements distincts dans la proposition.

Enfin, la proposition de règlement se termine par un véritable droit à l’expérimentation, appelé « bac à sable » dans le texte, et par la création d’un Comité européen de l’intelligence artificielle.

Comme cela arrive souvent, la proposition de règlement européen est un bon compromis entre les besoins d’encadrer l’IA pour éviter des dérives anti démocratiques et le souhait que notre réglementation ne freine pas le développement d’outils indispensables à notre économie et aux sources de progrès.

Elle comporte cependant un manque important : celui de la responsabilité civile du fait des dommages provoqués par l’IA. Cette omission sera peut-être comblée à l’occasion de la révision prochaine de la directive machine ou de celle concernant les produits défectueux.