L'AI Act adopté : Ce que cela signifie pour l'innovation et la sécurité numérique
Le Conseil de l'UE a adopté l'Artificial Intelligence Act (AI Act), la première réglementation complète au monde sur l'IA.
Cette législation établit des règles uniformes pour l'utilisation des systèmes d'IA au sein de l'Union, en adoptant une approche fondée sur les risques.
Le processus législatif de l'AI Act a subi un retard en décembre 2022 à la suite de l'introduction de ChatGPT.
En conséquence, le projet de texte a été révisé pour inclure des règles spécifiques pour l'IA générative. La loi devrait être finalisée et votée lors d'une session plénière prévue les 10 et 11 avril 2024.
Voici les points saillants :
1. Définition élargie de l'IA : focus sur l'autonomie et l'adaptabilité dans les environnements physiques et virtuels
Le champ des systèmes d'intelligence artificielle a été largement défini, en se concentrant sur l'autonomie et la capacité d'adaptation.
La définition englobe tout système basé sur une machine qui démontre différents niveaux d'autonomie, peut s'adapter après son déploiement et influence des environnements physiques ou virtuels.
2. Il existe une liste fermée de pratiques d'IA interdites, notamment :
L'utilisation de techniques subliminales ou manipulatrices pour modifier de manière significative un comportement.
L'exploitation des vulnérabilités d'individus ou de groupes, provoquant des préjudices graves.
Les systèmes de catégorisation biométrique qui classent les personnes sur la base d'informations sensibles, à l'exception des finalités d'application de la loi.
Les systèmes de notation sociale.
Les systèmes d'identification biométrique à distance en temps réel utilisés dans les espaces publics à des fins répressives.
La police prédictive basée exclusivement sur le profilage ou les traits de personnalité, sauf si elle soutient des évaluations humaines fondées sur des faits objectifs liés à la criminalité.
Les bases de données de reconnaissance faciale créées par scraping non ciblé.
L'inférence d'émotions sur les lieux de travail ou dans les établissements scolaires, sauf pour des raisons médicales ou de sécurité.
La loi introduit une double définition des systèmes d'IA à haut risque, les classant en deux catégories :
L'intelligence artificielle destinée à être utilisée comme produit ou composant de sécurité réglementé par une législation spécifique de l'UE.
3. Double définition des systèmes d'intelligence artificielle à haut risque
Une partie importante de la loi sur l'intelligence artificielle prévoit une réglementation rigoureuse et extensive des systèmes d'intelligence artificielle à haut risque.
En pratique, il sera donc de la plus haute importance pour une entreprise engagée dans le secteur de l'intelligence artificielle de déterminer si le système d'intelligence artificielle qu'elle développe, importe, distribue ou déploie constitue un système d'intelligence artificielle à haut risque.
La loi sur l'IA considère deux types de systèmes d'IA à haut risque :
L'intelligence artificielle destinée à être utilisée comme produit (ou composant de sécurité d'un produit) régi par une réglementation spécifique de l'UE, comme l'aviation civile, la sécurité des véhicules, les équipements maritimes, les jouets, les ascenseurs, les équipements sous pression et les équipements de protection individuelle.
Les systèmes d'IA énumérés à l'annexe III, comme les systèmes d'identification biométrique à distance, l'IA utilisée comme composant de sécurité dans les infrastructures critiques et l'IA utilisée dans l'éducation, l'emploi, la notation du crédit, l'application de la loi, la migration et le processus démocratique.
Nous pouvons nous attendre à des lignes directrices précisant la mise en œuvre pratique de la classification des systèmes d'IA, complétées par une liste complète d'exemples pratiques de cas d'usage à haut risque et non à haut risque pour les systèmes d'IA, au plus tard 18 mois après l'entrée en vigueur de la loi sur l'IA.
4. Il existe une importante exception à la deuxième catégorie de systèmes d'IA à haut risque.
Si le système est conçu pour effectuer une tâche procédurale limitée, améliorer les résultats d'activités humaines antérieures ou détecter des modèles décisionnels sans remplacer l'évaluation humaine, il ne sera pas considéré comme à haut risque.
5. Les fournisseurs de systèmes d'IA à haut risque doivent garantir que leurs systèmes sont fiables, transparents et responsables.
Ils sont tenus de mener des évaluations des risques, d'utiliser des données de haute qualité, de documenter leurs choix, de conserver les journaux système, d'informer les utilisateurs, de permettre la supervision humaine et de garantir l'exactitude, la robustesse et la cybersécurité.
6. Les obligations s'étendent tout au long de la chaîne de valeur, y compris les « importateurs », « distributeurs » et « déployeurs » de systèmes d'IA à haut risque.
Les importateurs et distributeurs doivent vérifier la conformité de ces systèmes. Les déployeurs sont tenus de respecter les instructions du fournisseur et de garantir la supervision et l'intervention humaine.
7. La nécessité d'évaluations d'impact sur les droits fondamentaux pour le déploiement de systèmes d'IA à haut risque dans les secteurs public et privé
Les entités du secteur public et les entités privées fournissant des services publics sont tenues de mener une évaluation d'impact sur les droits fondamentaux avant de déployer des systèmes d'IA à haut risque.
Cette évaluation porte sur les risques, les mesures de supervision, les personnes concernées et la fréquence d'utilisation.
8. La responsabilité tout au long de la chaîne de valeur peut changer.
Si une entité autre que le fournisseur modifie le système d'IA ou en change la finalité prévue, le rendant ainsi à haut risque, elle peut être considérée comme fournisseur et soumise aux obligations associées.
9. Systèmes d'IA à haut risque
Pour les systèmes d'IA à haut risque, les personnes ont le droit à une explication sur le rôle du système dans les processus décisionnels.
Cela pourrait créer des conflits avec les fournisseurs qui protègent leurs secrets commerciaux.
10. Droit des individus
Les individus ont un large droit de signaler les violations potentielles de la loi sur l'IA aux autorités de surveillance du marché, sans obligation de démontrer leur légitimité.
11. Les modèles General Purpose AI (GPAI) sont réglementés séparément.
Les modèles GPAI présentant des risques systémiques entraînent des obligations supplémentaires, comme la réalisation d'évaluations des modèles et la résolution des problèmes de cybersécurité.
12. Obligations de transparence et d'étiquetage pour les systèmes d'IA et les modèles GPAI dans l'interaction homme-machine et dans la génération de contenus synthétiques
Certains systèmes d'intelligence artificielle et modèles GPAI sont soumis à des obligations de transparence particulières, notamment les systèmes destinés à interagir avec des êtres humains et ceux qui génèrent des contenus synthétiques.
Dans ces cas, les utilisateurs doivent être informés et il peut être nécessaire d'étiqueter le contenu comme généré artificiellement.
13. Structure de gouvernance et rôles dans l'application de la loi sur l'IA : Bureau de l'IA, Autorités nationales et de surveillance du marché
La loi sur l'IA est associée à une structure de gouvernance complexe impliquant plusieurs entités, comme le Bureau de l'IA, les autorités nationales compétentes et les autorités de surveillance du marché.
Ces organismes feront respecter les règles, examineront les plaintes et imposeront des sanctions.
14. Lourdes sanctions pour les manquements dans le domaine de l'IA : amendes allant jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial
Les sanctions pour manquement sont significatives et atteignent jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial de l'entreprise. Pour les systèmes d'IA à haut risque, la sanction peut atteindre 15 millions d'euros ou 3 % du chiffre d'affaires.
15. L'AI Act et son intégration avec les lois existantes sur la propriété intellectuelle, la protection des données et la cybersécurité
L'AI Act sera appliqué conjointement avec d'autres lois et réglementations régissant l'IA, y compris celles relatives à la propriété intellectuelle, à la protection des données, aux contrats et à la cybersécurité.
La loi sur l'IA devrait être publiée à la mi-2024, avec des délais de conformité variables.
Tandis que les règles sur les pratiques d'IA interdites entreront en vigueur après six mois, la plupart des autres obligations entreront en vigueur après 24 mois.
Dans l'intervalle, les règles pour les systèmes d'IA à haut risque seront introduites après 36 mois, tandis que celles pour les systèmes à haut risque utilisés par les autorités publiques entreront en vigueur après 48 mois.