Le Parlement européen adopte la « loi sur l'IA »

Réunis à l'occasion de la session plénière de mars, les députés européens ont approuvé la proposition de règlement sur l’intelligence artificielle (AI act, également appelé « loi sur l'IA ») qui garantit la sécurité et le respect des droits fondamentaux tout en encourageant l’innovation.

Ce règlement vise à protéger les droits fondamentaux, la démocratie, l’État de droit et la durabilité environnementale contre les risques liés à l’intelligence artificielle (IA), tout en encourageant l’innovation et en faisant de l’Europe un acteur de premier plan dans ce domaine. Le règlement établit des obligations pour les systèmes d’IA en fonction de leurs risques potentiels et de leur niveau d’impact.

Des applications interdites. - Les nouvelles règles interdisent certaines applications fondées sur l’IA qui menacent les droits des citoyens, y compris les systèmes de catégorisation biométrique utilisant des caractéristiques sensibles et l’extraction non ciblée d’images faciales sur Internet ou par vidéosurveillance pour créer des bases de données de reconnaissance faciale. La reconnaissance des émotions sur le lieu de travail et dans les établissements d’enseignement, la notation sociale, la police prédictive (lorsqu’elle est basée uniquement sur le profilage d’une personne ou sur l’évaluation de ses caractéristiques) et l’IA qui manipule le comportement humain ou exploite les vulnérabilités des personnes seront également interdites.

Des exemptions pour les services répressifs. - L’utilisation des systèmes d’identification biométrique par les services répressifs est en principe interdite, sauf dans des situations clairement énumérées et étroitement définies. Les systèmes d’identification biométrique "en temps réel" ne peuvent être déployés que si des garanties strictes sont respectées. Leur utilisation est par exemple limitée dans le temps et géographiquement et soumise à une autorisation judiciaire ou administrative préalable spécifique. Ces systèmes pourront notamment servir à la recherche d’une personne disparue ou à la prévention d’une attaque terroriste. L’utilisation de tels systèmes d’identification biométrique à distance "a posteriori" est considérée comme un cas d’utilisation à haut risque, nécessitant une autorisation judiciaire liée à une infraction pénale.

Des obligations pour les systèmes à haut risque. - Des obligations strictes ont aussi été prévues pour les autres systèmes d’IA à haut risque (en raison de leur préjudice potentiel important pour la santé, la sécurité, les droits fondamentaux, l’environnement, la démocratie et l’État de droit). Parmi les domaines d’utilisation à haut risque de l’IA figurent les infrastructures critiques, l’éducation et la formation professionnelle, l’emploi, les services privés et publics essentiels (par exemple, les soins de santé et les banques), certains systèmes d’application de la loi, la gestion des migrations et des frontières, la justice et les processus démocratiques (par exemple, lorsque l’IA est utilisée pour influencer les élections). Ces systèmes doivent faire l’objet d’une évaluation et d’une réduction des risques, être assortis de registres d’utilisation, être transparents et précis et être soumis à une supervision humaine. Les citoyens auront le droit de déposer des plaintes concernant les systèmes d’IA et de recevoir des explications sur les décisions basées sur des systèmes d’IA à haut risque qui ont une incidence sur leurs droits.

Des exigences de transparence. - Les systèmes d’IA à usage général et les modèles sur lesquels ils sont basés devront respecter des exigences de transparence et la législation européenne sur les droits d'auteurs, ainsi que la publication de résumés détaillés des contenus utilisés pour leur entraînement. Les systèmes d’IA à usage général plus puissants présentant un risque systémique seront soumis à des exigences supplémentaires. Par exemple, des évaluations de modèles devront être effectuées, les risques systémiques devront être évalués et atténués et les incidents devront être signalés. De plus, les images et les contenus audio et vidéo artificiels ou manipulés (aussi appelés "deep fakes") doivent être clairement signalés comme tels.

Des mesures de soutien à l’innovation et aux PME. - Des "bacs à sable réglementaires" et des essais en conditions réelles devront être mis en place par les autorités nationales et mis à disposition des PME et des start-ups pour développer et tester des IA innovantes avant leur mise sur le marché.

Le règlement fait toujours l’objet d’une vérification finale par un juriste-linguiste et devrait être définitivement adopté avant la fin de la législature (procédure des rectificatifs). Le règlement doit également être adopté officiellement par le Conseil.

La législation entrera en vigueur 20 jours après sa publication au Journal officiel et sera pleinement applicable 24 mois après son entrée en vigueur, à l’exception de l’interdiction des pratiques interdites, qui s’appliquera 6 mois après la date d’entrée en vigueur, des codes de pratique (9 mois après l’entrée en vigueur), des règles concernant l’IA à usage général, notamment la gouvernance (12 mois après l’entrée en vigueur), et des obligations pour les systèmes à haut risque (36 mois).