AI Act : Comprendre les Obligations Clés et la Nouvelle Gouvernance de l’Intelligence Artificielle en Europe
L’AI Act : Un Cadre Réglementaire Pionnier
Le Règlement (UE) 2024/1689 sur l’Intelligence Artificielle (AI Act) est la première réglementation au monde visant à encadrer l’IA, afin d’établir un cadre juridique uniforme en Europe. Cette réglementation a pour objectif de créer un cadre de confiance, garantissant que les systèmes d’IA soient sûrs, transparents et respectueux des droits fondamentaux.
L’AI Act s’applique aux acteurs de la chaîne de valeur du système d’IA, y compris ceux situés hors de l’UE, dès lors que les données de sortie sont destinées à être utilisées sur le territoire de l’Union. L’intégration des principes de l’AI Act est perçue comme une opportunité de renforcer la compétitivité et la responsabilité des organisations sur le marché mondial.
Une Approche par les Risques : Classification des Systèmes d’IA (SIA)
L’AI Act adopte une approche par les risques pour les Systèmes d’IA (SIA), rendant la réglementation plus stricte à mesure que le niveau de risque est élevé. Les organisations doivent cartographier leurs SIA selon quatre niveaux de risque :
1. Risque inacceptable : Ces SIA sont interdits, car ils contreviennent aux valeurs de l’UE et portent atteinte aux droits fondamentaux. Les interdictions s’appliqueront dès le 2 février 2025. Parmi les exemples, on trouve le recours à des techniques subliminales manipulatrices ou l’évaluation du risque criminel uniquement basée sur le profilage.
2. Risque élevé : Ces systèmes peuvent avoir une incidence négative sur la sécurité ou les droits fondamentaux des personnes. Ils sont soumis à un paquet d’obligations rigoureuses pour tous les opérateurs (fournisseur, déployeur, etc.). Cela inclut, par exemple, les SIA utilisés dans les infrastructures critiques ou dans les domaines de l’emploi et du recrutement.
3. Risque spécifique en matière de transparence : Ces SIA interagissent avec des personnes physiques (comme les chatbots) ou génèrent du contenu. Ils sont soumis à des obligations de transparence spécifiques, notamment l’obligation d’informer l’utilisateur qu’il interagit avec une machine ou que le contenu est généré par l’IA (deepfake).
4. Risque minime : Ces SIA ne sont soumis à aucune obligation supplémentaire au titre de l’AI Act. Les acteurs sont encouragés à adopter volontairement des codes de conduite.
Le Règlement encadre également les Modèles d’IA à Usage Général (GPAI), en particulier ceux présentant un risque systémique (évalué notamment par la puissance de calcul utilisée lors de l’entraînement, supérieure à 1025 FLOPS).
Obligations Clés pour les Fournisseurs de Modèles d’IA à Usage Général
Pour les fournisseurs de modèles d’IA à usage général (dont les IA génératives), l’AI Act impose des obligations de diligence complémentaires :
• Respect du droit d’auteur : Mettre en place une politique visant à se conformer au droit de l’Union en matière de droit d’auteur et droits voisins.
• Transparence sur les données d’entraînement : Élaborer et rendre public un « résumé suffisamment détaillé » du contenu utilisé pour entraîner le modèle d’IA à usage général. Cette obligation s’appliquera à partir du 2 août 2025.
Les Enjeux Juridiques Majeurs
Le guide identifie plusieurs enjeux juridiques que les praticiens doivent anticiper :
• Propriété Intellectuelle (PI) : Au-delà des obligations de transparence de l’AI Act, les entreprises doivent gérer les défis liés aux droits d’auteur des œuvres générées par l’IA et s’assurer que l’opposition des ayants droit (l’« opt-out ») est respectée lors de la fouille de données.
• Secret d’affaires / Confidentialité : Il est crucial de préserver les informations sensibles. Les fournisseurs doivent être vigilants quant au risque de divulgation involontaire de données confidentielles lors de l’entraînement du modèle. Les déployeurs, de leur côté, doivent limiter les risques de fuite via les instructions génératives (prompts).
• Protection des données : L’AI Act s’articule avec le RGPD pour les données personnelles et le Data Act pour les données non personnelles. Le Règlement rappelle l’importance de principes tels que l’exactitude des données d’entraînement et prévoit des garanties strictes pour le traitement des catégories particulières de données personnelles.
• Cybersécurité : Les SIA à risque élevé doivent atteindre un niveau approprié d’exactitude, de robustesse et de cybersécurité. Les praticiens doivent se concentrer sur la traçabilité, la transparence des mesures de sécurité et la gestion proactive des vulnérabilités.
L’Importance d’une Gouvernance de l’IA Robuste
La mise en place d’une Gouvernance de l’IA dédiée est essentielle pour assurer une conformité pérenne et efficace aux règles de l’AI Act
