Systèmes IA à « Risque Inacceptable » Désormais Bannis dans l’UE

Depuis ce dimanche, les régulateurs de l'Union Européenne ont le pouvoir d'interdire l'utilisation de systèmes d'intelligence artificielle jugés à "risque inacceptable" ou préjudiciables. Cette étape marque la première échéance de conformité pour l'AI Act de l'UE, le cadre réglementaire global sur l'IA finalement approuvé par le Parlement européen en mars dernier après des années de développement.

Une approche par niveau de risque

L'AI Act est conçu pour couvrir une multitude de cas d'usage où l'IA pourrait apparaître et interagir avec les individus, des applications grand public aux environnements physiques. L'approche de l'UE définit quatre grands niveaux de risque :

• Risque minimal (ex : filtres anti-spam) : aucune surveillance réglementaire
• Risque limité (ex : chatbots service client) : surveillance réglementaire légère
• Risque élevé (ex : IA pour recommandations médicales) : surveillance réglementaire stricte
• Risque inacceptable : applications totalement interdites

Les applications à risque inacceptable

Parmi les activités considérées comme inacceptables, on trouve notamment :

• L'IA utilisée pour le scoring social (ex : profils de risque basés sur le comportement)
• L'IA qui manipule les décisions d'une personne de façon subliminale ou trompeuse
• L'IA qui exploite les vulnérabilités comme l'âge, le handicap ou le statut socio-économique
• L'IA qui tente de prédire les crimes en se basant sur l'apparence des gens
• L'IA qui utilise la biométrie pour déduire des caractéristiques comme l'orientation sexuelle
• L'IA qui collecte des données biométriques "en temps réel" dans des lieux publics à des fins répressives
• L'IA qui tente de déduire les émotions des gens au travail ou à l'école
• L'IA qui crée ou étend des bases de données de reconnaissance faciale en récupérant des images en ligne ou à partir de caméras de sécurité

Les entreprises qui utilisent ces applications d'IA dans l'UE seront passibles d'amendes, quel que soit leur lieu de domiciliation. Elles pourraient être condamnées à payer jusqu'à 35 millions d'euros, ou 7 % de leur chiffre d'affaires annuel de l'exercice précédent, le montant le plus élevé étant retenu.

Un délai de mise en conformité

Rob Sumroy, responsable technologie du cabinet d'avocats britannique Slaughter and May, a souligné dans une interview à TechCrunch que les amendes n'entreront pas en vigueur immédiatement :

Les organisations sont censées être totalement conformes d'ici le 2 février, mais la prochaine grande échéance dont les entreprises doivent être conscientes est en août. D'ici là, nous saurons qui sont les autorités compétentes, et les dispositions relatives aux amendes et à l'exécution prendront effet.

– Rob Sumroy, Slaughter and May

Des engagements préliminaires

En septembre dernier, plus de 100 entreprises ont signé le Pacte IA de l'UE, un engagement volontaire à commencer à appliquer les principes de l'AI Act avant son entrée en vigueur. Dans le cadre de ce pacte, les signataires - dont Amazon, Google et OpenAI - se sont engagés à identifier les systèmes d'IA susceptibles d'être classés comme à haut risque.

Certains géants de la tech, notamment Meta et Apple, ont cependant évité de signer le Pacte. La startup française d'IA Mistral, l'une des plus grandes critiques de l'AI Act, a également choisi de ne pas signer.

Des exceptions possibles

L'AI Act prévoit des exceptions à plusieurs de ses interdictions. Par exemple, il autorise les forces de l'ordre à utiliser certains systèmes qui collectent des données biométriques dans des lieux publics s'ils aident à effectuer une "recherche ciblée", comme pour une victime d'enlèvement, ou à prévenir une menace "spécifique, substantielle et imminente" pour la vie. Cette exemption nécessite l'autorisation de l'organe directeur approprié.

La loi prévoit également des exceptions pour les systèmes qui déduisent les émotions sur les lieux de travail et dans les écoles lorsqu'il existe une justification "médicale ou de sécurité", comme les systèmes conçus pour un usage thérapeutique.

Des lignes directrices à venir

La Commission européenne, l'organe exécutif de l'UE, a déclaré qu'elle publierait des lignes directrices supplémentaires au "début de 2025", après une consultation des parties prenantes en novembre. Cependant, ces lignes directrices n'ont pas encore été publiées.

Il est important pour les organisations de se rappeler que la réglementation de l'IA n'existe pas de manière isolée. D'autres cadres juridiques, tels que le RGPD, la NIS2 et la DORA, interagiront avec l'AI Act, créant des défis potentiels - en particulier autour des exigences de notification d'incident qui se chevauchent. Comprendre comment ces lois s'articulent entre elles sera tout aussi crucial que de comprendre l'AI Act lui-même.

– Rob Sumroy, Slaughter and May

En somme, l'entrée en application de l'AI Act marque un tournant majeur dans la régulation de l'intelligence artificielle au sein de l'Union Européenne. Si de nombreux détails restent à clarifier, une chose est sûre : les entreprises utilisant des systèmes d'IA dans l'UE vont devoir redoubler de vigilance pour éviter de lourdes sanctions. Une nouvelle ère s'ouvre pour une IA plus éthique et responsable en Europe.