Premier texte de loi réglementaire au monde, la loi européenne sur l'intelligence artificielle a été formellement approuvée par les membres du Parlement européen à une écrasante majorité (523 voix pour, 46 voix contre et 43 abstentions). Les prochaines étapes consistent à finaliser le langage et à obtenir l'approbation du texte. Une fois approuvé, l'acte sera publié au Journal officiel de l'Union européenne. Vingt jours plus tard, l'acte entrera en vigueur, déclenchant un compte à rebours de deux ans pour la mise en conformité réglementaire des organisations produisant, distribuant ou déployant des solutions d'IA.
Deux dates importantes pourraient avoir un impact sur une organisation.
- Q4 2024 : Certaines pratiques d'IA seront interdites par la loi.
- Q2 2026 : la loi s'appliquera dans son intégralité.
Toute violation de la réglementation peut entraîner des sanctions sévères :
- Utilisation des systèmes d'IA interdits : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial.
- Autres violations de la loi sur l'IA : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial.
- Informations incorrectes communiquées aux autorités de régulation de l'IA : jusqu'à 7,5 millions d'euros ou 1,5 % du chiffre d'affaires annuel mondial.
Toutefois, compte tenu du degré d'exposition du public à l'IA et à ses risques réels et imaginaires, l'impact potentiel d'une violation de la réglementation pourrait causer une atteinte majeure à la réputation qui dépasserait de loin les incidences fiscales. La législation a été rédigée pour encourager la confiance des consommateurs dans l'IA et, à ce titre, il est dans l'intérêt d'une organisation d'adopter des solutions d'IA conformes dès que possible.
Comme pour les législations européennes précédentes, telles que le RGPD, la loi aura un impact à la fois sur les entreprises de l'Union européenne et sur celles qui souhaitent commercer avec les États membres. On s'attend également à ce qu'une législation similaire soit introduite au niveau mondial en suivant le modèle établi par l'Union européenne.
Alors que les organisations commencent à adopter l'IA, il est essentiel qu'elles mettent en place des processus et des technologies pour traiter les implications sous-jacentes qui émergent de l'espace réglementaire en même temps que les solutions qu'elles déploient.
Loi européenne sur l’intelligence articielle chronologie
La première date importante pour les utilisateurs de l'IA interviendra six mois après la date d’entrée en vigueur de la loi, lorsque les pratiques interdites définies deviendront prohibées. Cela signifie que certaines utilisations potentiellement dangereuses de l'IA qui pourraient menacer les droits des citoyens seront interdites. Il s'agit notamment de :
- Systèmes de catégorisation biométrique basés sur des caractéristiques sensibles et la récupération non ciblée d'images faciales sur internet ou de séquences de vidéosurveillance pour créer des bases de données de reconnaissance faciale.
- La reconnaissance des émotions sur le lieu de travail et dans les écoles, la notation sociale, la police prédictive (lorsqu'elle se fonde uniquement sur le profilage d'une personne ou l'évaluation de ses caractéristiques).
- L'IA qui manipule le comportement humain ou exploite les vulnérabilités d’individus.
Des dérogations seront prévues pour les services chargés de l'application de la loi, avec des lignes directrices strictes et des procédures d'approbation judiciaire mises en place.
La deuxième date, importante pour la plupart des organisations, interviendra 24 mois après la date d’entrée en vigueur de la loi à laquelle les organisations devront se conformer aux réglementations sous peine de sanctions.
Au cours des 24 prochains mois, les choses deviendront de plus en plus claires à mesure que les organismes de réglementation et les contrôles seront mis en place. Cependant, les organisations ne devraient pas attendre : prendre des mesures pour gouverner et surveiller leurs solutions d'IA dès maintenant, les positionnera favorablement our être en conformité lorsque le règlement deviendra applicable en 2026.
Terminologie clé
La loi présente un certain nombre de termes et de définitions clés concernant l'IA :
Système d'IA :Un système basé sur une machine conçu pour fonctionner avec différents niveaux d'autonomie, qui peut s'adapter après son déploiement et qui, pour des objectifs explicites ou implicites, déduit, à partir des données qu'il reçoit, comment générer des résultats tels que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer des environnements physiques ou virtuels. Ou, en termes simples, une application qui utilise des méthodes telles que l'apprentissage automatique ou les statistiques pour définir des résultats prédictifs ou génératifs.
Risque lié à l'IA combinaison de la probabilité d'un dommage causé par l'IA et de la gravité de ce dommage. Cela a conduit à la définition de quatre niveaux de risque, chacun d'entre eux étant assorti de son propre ensemble d'exigences réglementaires, tant pour les fournisseurs du système d'IA que pour les entreprises qui déploient ce système. Ces niveaux de risque sont les suivants :
- Risque inacceptable - Systèmes d'IA qui contreviennent aux valeurs de l'UE et aux droits fondamentaux de ses citoyens. Ils constituent la base de la liste des applications interdites.
- Risque élevé - Systèmes d'IA principalement utilisés dans des secteurs critiques tels que les soins de santé, la gestion d'infrastructures essentielles et l'application de la loi. Ces systèmes seront soumis à un niveau élevé de surveillance réglementaire et d'activités obligatoires de la part de leurs fournisseurs et déployeurs.
- Risque limité - Systèmes d'IA qui interagissent avec les individus dans des cas d'utilisation ou des situations qui ne sont pas jugés critiques. Les producteurs et les déployeurs de ces systèmes seront toujours soumis à une surveillance réglementaire et à des activités obligatoires de la part de leurs fournisseurs et déployeurs.
Fournisseur d'IA : une personne physique ou morale, une autorité publique, une agence ou un autre organisme qui développe un système d'IA ou un modèle d'IA à usage général ou qui revend un système d'IA ou un modèle d'IA à usage général développé pour eux. Cela inclura un grand nombre de fournisseurs de Computacenter et potentiellement aussi nous lorsque nous revendons pour le compte de nos fournisseurs.
Déployeur d'IA : toute personne physique ou morale, autorité publique, agence ou autre organisme utilisant un système d'IA sous son autorité, sauf si le système d'IA est utilisé dans le cadre d'une activité personnelle non professionnelle. Cela inclut tous nos clients qui choisissent d'adopter des solutions d'IA dans le cadre de leurs activités et processus quotidiens.
Données d'IA : Les données sont à la base des solutions d'IA de différentes manières, notamment :
- Données de formation - données utilisées pour former le modèle d'IA de base qui sous-tend la solution.
- Données de validation : données indépendantes des données d'entraînement utilisées pour valider les résultats du modèle entraîné.
- Données de test : données utilisées pour fournir un test indépendant du modèle, tant pour les réponses correctes que pour les biais et les considérations éthiques.
- Données d'entrée - les données d'entrée d'une solution d'IA qui sont utilisées par le modèle pour fournir un résultat. Par exemple, les prompts saisis dans un robot de conversation ou les données en direct saisies dans un modèle de prévision.
Ce que cela signifie pour les adeptes de l'IA
La réglementation de l'IA arrive et des enquêtes récentes indiquent que la majorité des grandes entreprises étudient comment l'adoption de l'IA les aidera à fonctionner plus efficacement et à ouvrir de nouvelles méthodes de travail.
Toute organisation produisant ou déployant des solutions d'IA à haut risque doit tenir compte des exigences réglementaires suivantes :
- Évaluation et atténuation des risques
- Qualité et gestion des données qui alimentent le système
- Documentation du système et explicabilité du modèle
- Enregistrement des activités et des réponses de l'IA
- Clarté des consignes pour les utilisateurs du système
- Supervision humaine pour minimiser les risques
- Infrastructure robuste et sécurisée.
Il est fortement recommandé à toute organisation qui se lance dans l'adoption de l'IA de commencer à créer les moyens de réglementer et de gouverner ses solutions dans ces domaines dès le début de son parcours.
Selon toute vraisemblance, cet objectif sera atteint grâce à une combinaison d'outils, de technologies, de processus et de personnes, tous étayés par des données fiables et bien gérées.
Mise en garde
Le présent document a été élaboré dans le cadre d'un suivi et d'une recherche sur la législation émergente. Alors que le processus d'adoption de la loi se poursuit, toute organisation estimant être exposée à un risque réglementaire devrait consulter un organe juridique approprié afin de limiter ses propres risques.