Un cadre européen pour l’intelligence artificielle

Le règlement européen relatif à l’intelligence artificielle (IA) ou « IA Act » est entré en vigueur le 1-8-2024. Il s’applique à tous les acteurs de la chaîne d’approvisionnement, du fournisseur au déployeur et concerne les systèmes d’intelligence artificielle (IA) et les modèles d’IA à usage général. Présentation.

Le règlement européen (UE) 2024/1689 relatif à l’IA, dit « IA Act », publié au journal officiel européen du 12-7-2024, est entré en vigueur le 1-8-2024, avec un objectif : améliorer le fonctionnement du marché intérieur en établissant un cadre juridique uniforme, en particulier pour le développement, la mise sur le marché, la mise en service et l’utilisation de systèmes d’intelligence artificielle.

Si l’IA contribue à un large éventail de bienfaits économiques, environnementaux et sociétaux touchant l’ensemble des secteurs économiques et des activités sociales, elle peut aussi générer des risques et porter atteinte aux intérêts publics et aux droits fondamentaux protégés par le droit de l’Union, comme le rappelle le règlement européen. D’où la nécessité de poser un cadre juridique pour son développement et son utilisation.

Champ d’application et calendrier

Acteurs concernés

Tous les acteurs de la chaîne d’approvisionnement sont visés par l’IA Act :

• les fournisseurs (établis dans l’Union européenne – UE) qui mettent sur le marché ou en service des systèmes d’IA ou des modèles d’IA à usage général dans l’UE. Il peut s’agir de personnes physiques ou morales, d’autorités publiques, d’agences ou de tout autre organisme ;
• les déployeurs (établis dans l’UE) de systèmes d’IA, c’est-à-dire toute personne physique ou morale utilisant sous sa propre autorité un système d’IA (sauf lorsque ce système est utilisé dans le cadre d’une activité personnelle à caractère non professionnel) ;

À noter. L’IA Act, en tant que législation extraterritoriale, s’applique également aux fournisseurs et déployeurs établis hors de l’UE lorsque les sorties produites par le système d’IA sont utilisées dans l’Union.

• les importateurs de systèmes d’IA, à savoir les personnes physiques ou morales situées dans l’UE qui mettent sur le marché un système d’IA portant le nom ou la marque d’une personne physique ou morale établie dans un pays tiers ;
• les distributeurs de systèmes d’IA, c’est-à-dire les personnes physiques ou morales faisant partie de la chaîne d’approvisionnement, autre que le fournisseur ou l’importateur, qui mettent un système d’IA à disposition sur le marché de l’Union ;
• les fabricants de produits qui mettent sur le marché ou mettent en service un système d’IA en même temps que leur produit et sous leur propre nom ou leur propre marque ;
• les mandataires (établis dans l’UE) des fournisseurs qui ne sont pas établis dans l’UE ;
• toutes les personnes concernées qui sont situées dans l’UE.

Définition de l’IA par le règlement européen

L’IA Act vise deux notions :

• un système d’IA est défini comme un système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuels ;
• distinct du modèle d’IA à usage général qui est défini par le règlement comme présentant une généralité significative et [qui] est capable d’exécuter de manière compétente un large éventail de tâches distinctes, indépendamment de la manière dont le modèle est mis sur le marché, et qui peut être intégré dans une variété de systèmes ou d’applications en aval.

À noter. L’utilisation de l’IA à des fins militaires, de défense ou de sécurité nationale, ou encore de recherche scientifique est exclue du périmètre du règlement européen.

Dates d’entrées en application

L’IA Act est entré en vigueur le 1-8-2024, cependant sa mise en application sera progressive et s’échelonnera jusqu’en 2027 :

• à partir du 2-2-2025 : les pratiques listées comme interdites par le règlement seront effectivement interdites ;
• à partir du 2-8-2025 : s’appliqueront le régime de sanctions, la classification des modèles d’IA à usage général et la mise en place d’une gouvernance ;
• à partir du 2-8-2026 : le reste du règlement deviendra applicable, sauf les dispositions ci-après ;
• à partir du 2-8-2027 : les obligations applicables à une certaine catégorie de systèmes d’IA « à haut risque » deviendront effectives.

Classification des pratiques d’IA

L’IA Act fait une approche de l’intelligence artificielle par les risques et distingue, à ce titre, les pratiques d’IA interdites, les systèmes d’IA à haut risque et les systèmes d’IA à risque limité.

Les systèmes d’IA interdits

L’UE établit une liste de pratiques interdites qui sont des techniques de manipulation, d’exploitation et de contrôle social fondés sur l’intelligence artificielle. Ce sont des cas très précis et limités.

Sont notamment interdits :

• les systèmes d’IA recourant à des techniques subliminales, au-dessous du seuil de conscience d’une personne, tels que des stimuli sonores, visuels ou vidéo que l’individu ne peut percevoir, et portant considérablement atteinte à sa capacité à prendre une décision éclairée, d’une manière qui lui cause un préjudice important ;
• les systèmes d’IA exploitant les éventuelles vulnérabilités dues à l’âge, au handicap ou à la situation sociale ou économique d’une personne physique ou d’un groupe de personnes donné et ayant pour objectif ou effet d’altérer substantiellement son comportement, d’une manière qui lui cause un préjudice important ;
• les systèmes d’IA évaluant et classifiant des personnes physiques au cours d’une période donnée en fonction de leur comportement social ou de caractéristiques personnelles, et qui aboutissent à une « note sociale » conduisant à un traitement préjudiciable ou défavorable ;
• les systèmes d’IA créant ou développant des bases de données de reconnaissance faciale par le moissonnage non ciblé d’images faciales provenant de l’internet ou de la vidéosurveillance ;
• les systèmes d’IA de catégorisation biométrique fondés sur les données biométriques des personnes physiques (visage ou empreintes digitales), utilisés pour arriver à des déductions ou des inférences concernant les opinions politiques d’un individu, ses convictions religieuses, sa race, ou encore sa vie sexuelle ou son orientation sexuelle ;
• l’utilisation de systèmes d’identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives, sauf pour des cas très spécifiques autorisés.

Ces systèmes d’intelligence artificielle seront interdits à compter du 2 février 2025.

Les systèmes d’IA à haut risque

Ensuite, l’IA Act désigne comme étant à haut risque les systèmes d’intelligence artificielle ayant une incidence préjudiciable substantielle sur la santé, la sécurité et les droits fondamentaux des citoyens dans l’UE, notamment :

• les systèmes d’IA constituant des composants de sécurité de produits relevant de certaines législations d’harmonisation de l’UE, ou étant eux-mêmes de tels produits (par exemple les jouets, les ascenseurs appareils, les systèmes de protection destinés à être utilisés en atmosphères explosibles ou les dispositifs médicaux) ;
• les systèmes d’identification biométrique à distance, à l’exception des systèmes biométriques destinés à être utilisés uniquement dans le but de permettre la cybersécurité et les mesures de protection des données à caractère personnel ;
• les systèmes d’IA destinés à être utilisés :
  • pour le recrutement ou la sélection de personnes physiques, en particulier pour publier des offres d’emploi ciblées, analyser et filtrer les candidatures et évaluer les candidats ;
  • pour prendre des décisions influant sur les conditions des relations professionnelles, la promotion ou le licenciement dans le cadre de relations professionnelles contractuelles, ou pour suivre et évaluer les performances et le comportement de personnes dans le cadre de telles relations ;
  • pour évaluer la solvabilité des personnes physiques ou pour établir leur note de crédit, à l’exception des systèmes d’IA utilisés à des fins de détection de fraudes financières.

Le règlement européen fixe des exigences de conformité pour les systèmes d’IA à haut risque, qui doivent également produire des résultats d’une qualité constante tout au long de leur cycle de vie et assurer un niveau approprié d’exactitude, de robustesse et de cybersécurité, au vu de leur destination et conformément à l’état de la technique généralement reconnu.

Les systèmes d’IA à risque limité

Enfin, le règlement européen distingue les systèmes d’IA à risque limité, c’est-à-dire qui n’ont pas d’incidence substantielle sur le résultat de la prise de décision (humaine ou automatisée). Pour entrer dans cette catégorie, le système d’IA doit remplir au moins l’une des conditions suivantes :

• être destiné à accomplir une tâche procédurale étroite, comme transformer des données non structurées en données structurées, classer les documents entrants par catégories ou détecter les doublons parmi un grand nombre d’applications ;
• être destiné à améliorer le résultat d’une activité humaine préalablement réalisée, afin de n’ajouter qu’une couche supplémentaire à une activité humaine (par exemple, les systèmes destinés à améliorer la façon dont un document est rédigé) ;
• être destiné à détecter les constantes en matière de prise de décision ou les écarts par rapport aux constantes habituelles antérieures (par exemple, dans l’enseignement au niveau de la notation) ;
• être destiné à exécuter une tâche qui n’est qu’un acte préparatoire à une évaluation pertinente aux fins des systèmes d’IA. Cette condition s’applique, entre autres, aux solutions intelligentes de traitement des fichiers, qui comprennent diverses fonctions telles que l’indexation, la recherche, le traitement de texte et le traitement de la parole ou le fait de relier des données à d’autres sources de données, ou aux systèmes d’IA utilisés pour la traduction de documents initiaux.

Pour ces systèmes d’IA à risque limité, le règlement fixe des obligations de transparence.

Obligations et sanctions

L’IA Act impose une série d’obligations aux fournisseurs, déployeurs et distributeurs de systèmes d’IA à haut risque. Des exigences d’information sont également prévues pour certains systèmes générant des contenus de synthèse.

Respect des exigences de conformité par les fournisseurs des systèmes d’IA à haut risque

Les fournisseurs doivent veiller à ce que leurs systèmes d’IA à haut risque respectent les exigences de conformité énoncées par le règlement européen. Ils doivent notamment :

• établir une documentation technique avant la mise sur le marché ou la mise en service ;
• mettre en œuvre un système de gestion des risques sur l’ensemble du cycle de vie du système d’IA à haut risque ;
• fournir une notice d’utilisation contenant des informations concises, complètes, exactes et claires, qui soient pertinentes, accessibles et compréhensibles pour les déployeurs ;
• s’enregistrer dans la base de données de l’UE et y enregistrer leur système d’IA.

Ils sont également tenus de mettre en place un système de gestion de la qualité (stratégie de respect de la réglementation ou encore procédures d’examens, de test et de validation), d’assurer la tenue des journaux générés automatiquement par le système d’IA à haut risque, de conserver toute la documentation pendant 10 ans et de prendre les mesures correctives nécessaires.

Ces fournisseurs établissent aussi une déclaration UE de conformité par laquelle ils attestent que le système d’IA à haut risque concerné satisfait aux exigences de conformité imposées par le règlement, et apposent le marquage CE sur le système concerné.

Les mandataires (établis dans l’UE) de fournisseurs de systèmes à haut risque (établis dans des pays tiers) sont habilités à vérifier que la déclaration UE de conformité et la documentation technique ont bien été établies, et que le fournisseur a suivi une procédure appropriée d’évaluation de la conformité. Ils tiennent à disposition des autorités compétentes les informations et documents nécessaires.

Mesures techniques et organisationnelles de la part des déployeurs

Des obligations du fournisseur vont découler celles des autres maillons de la chaîne. Avant de mettre sur le marché un système d’IA à haut risque, les importateurs doivent vérifier que le fournisseur a suivi la procédure pertinente d’évaluation de la conformité et établi la documentation technique ou encore que le système porte le marquage CE requis et est accompagné de la déclaration UE de conformité. Lorsqu’ils ont des raisons suffisantes de considérer que le système n’est pas conforme au règlement, les importateurs ne le mettent sur le marché qu’après sa mise en conformité.
Les importateurs sont également tenus d’indiquer leur nom, raison sociale ou marque déposée, adresse, sur le système d’IA à haut risque et sur son emballage ou dans la documentation l’accompagnant. Ils s’assurent également, lorsqu’un système d’IA à haut risque est sous leur responsabilité, que les conditions de stockage ou de transport ne compromettent pas sa conformité avec les exigences européennes.

Des vérifications similaires sont demandées aux distributeurs avant la mise à disposition sur le marché d’un système d’IA à haut risque. Si toutefois un système à haut risque est mis à disposition et n’est pas conforme aux exigences européennes, le distributeur concerné doit prendre les mesures correctives nécessaires ou le retirer du marché.

Du côté des déployeurs, le règlement leur impose de prendre des mesures techniques et organisationnelles appropriées afin de garantir qu’ils utilisent ces systèmes conformément aux notices d’utilisation accompagnant les systèmes d’IA. Lorsqu’ils considèrent que l’utilisation du système d’IA à haut risque présente un risque ou lorsqu’ils détectent un incident grave, les déployeurs doivent informer le fournisseur ou le distributeur, ainsi que l’autorité de surveillance du marché concernée, et suspendre l’utilisation de ce système. Certains déployeurs sont tenus d’effectuer une analyse d’impact des systèmes d’IA à haut risque sur les droits fondamentaux. Ils doivent également s’enregistrer dans la base de données de l’UE.

Obligations d’information pour les systèmes qui interagissent avec les personnes physiques

Des obligations de transparence s’imposent aux fournisseurs et aux déployeurs pour certains systèmes d’IA qui présentent des risques spécifiques d’usurpation d’identité ou de tromperie, qu’ils soient ou non considérés comme étant à haut risque.

Concernant les fournisseurs

Pour les systèmes d’IA destinés à interagir directement avec des personnes physiques, les fournisseurs doivent veiller à ce qu’ils soient conçus et développés de manière que les personnes physiques concernées soient informées qu’elles interagissent avec un système d’IA (sauf si cela ressort clairement du point de vue d’une personne physique normalement informée et raisonnablement attentive et avisée). Cette obligation ne s’applique pas pour la détection des infractions pénales. S’agissant des systèmes d’IA qui génèrent des contenus de synthèse (audio, image, vidéo ou texte), les fournisseurs doivent veiller à ce que les sorties de ces systèmes soient marquées dans un format lisible par machine et identifiables comme ayant été générées ou manipulées par une intelligence artificielle.

À noter. Les fournisseurs doivent s’assurer que leurs solutions techniques soient aussi efficaces, interopérables, solides et fiables que la technologie le permet, compte tenu des spécificités et des limites des différents types de contenus. Cette obligation ne s’applique pas dans la mesure où les systèmes d’IA remplissent une fonction d’assistance pour la mise en forme standard ou ne modifient pas de manière substantielle les données d’entrée fournies par le déployeur ou leur sémantique.

Concernant les déployeurs

Les déployeurs d’un système de reconnaissance des émotions ou d’un système de catégorisation biométrique sont tenus d’informer les personnes physiques qui y sont exposées du fonctionnement du système et traitent les données à caractère personnel. Les déployeurs d’un système d’IA qui génère ou manipule des images ou des contenus audio ou vidéo constituant un hypertrucage doivent indiquer que les contenus ont été générés ou manipulés par une IA. Les déployeurs d’un système d’IA qui génère ou manipule des textes publiés dans le but d’informer le public sur des questions d’intérêt public sont tenus d’indiquer que le texte a été généré ou manipulé par une IA. Des exceptions à ces obligations de transparence s’appliquent pour la détection des infractions pénales.

Régime des sanctions

La non-exécution de ces mesures sera sanctionnée par le règlement qui fixe uniquement des plafonds, les États membres étant invités à mettre en place une grille des sanctions. À côté des amendes administratives, les mesures d’exécution pourront également comprendre des avertissements et des mesures non monétaires.

Des sanctions effectives, proportionnées et dissuasives s’appliqueront dès août 2025

Les opérateurs qui ne respecteront pas ces dispositions pourront se voir infliger une amende administrative allant jusqu’à 15 millions d’euros ou, si l’auteur de l’infraction est une entreprise, jusqu’à 3 % de son chiffre d’affaires annuel mondial total réalisé au cours de l’exercice précédent, le montant le plus élevé étant retenu.

Des amendes même en cas de fourniture d’informations inexactes

Des sanctions sont également prévues en cas de fourniture d’informations inexactes, incomplètes ou trompeuses aux organismes notifiés ou aux autorités nationales compétentes en réponse à une demande. L’amende administrative est fixée à 7,5 millions d’euros maximum ou, si l’auteur de l’infraction est une entreprise, elle peut monter jusqu’à 1 % de son chiffre d’affaires annuel mondial total réalisé au cours de l’exercice précédent, le montant le plus élevé étant retenu.

Concernant les pratiques d’IA interdites par le règlement, les sanctions pourront aller jusqu’à 35 millions d’euros ou, si l’auteur de l’infraction est une entreprise, jusqu’à 7 % de son chiffre d’affaires annuel mondial total réalisé au cours de l’exercice précédent, le montant le plus élevé étant retenu.

À noter. Pour les PME, le règlement est un peu plus clément. Chaque amende s’élève au maximum aux pourcentages ou montants susvisés mais c’est le chiffre le plus faible qui est retenu.

› L’IA Act, entré en vigueur le 1-8-2024, fixe un cadre juridique harmonisé pour améliorer le développement, la mise sur le marché, la mise en service et l’utilisation de systèmes d’intelligence artificielle au sein du marché intérieur. Il vise à promouvoir l’innovation technologique tout en garantissant la protection des droits fondamentaux (notamment respect de la vie privée, non-discrimination, santé et sécurité). Sa mise en application sera progressive et s’échelonnera jusqu’au 2-8-2027.

Mes Alertes & Conseils Gestion-Finance - Éditions Francis Lefebvre