Ce que vous devez savoir sur la nouvelle loi sur l’IA

Ce que vous devez savoir sur la nouvelle loi sur l’IA

Introduction

Le 1er août 2024, la loi européenne sur l’IA (règlement (UE) 2024/1689, ou AI Act) est entrée en vigueur. C’est la première réglementation complète au monde consacrée à l’intelligence artificielle (IA). Ses obligations s’appliqueront par étapes, entre 2025 et 2027. Le texte encadre le développement et l’usage des technologies d’IA pour qu’ils restent responsables, sans freiner l’innovation. Voici ce qu’il contient et ce qu’il change pour les entreprises et les citoyens.

Comprendre la loi sur l’IA

La Commission européenne a proposé le texte en avril 2021. Le Parlement européen l’a adopté en mars 2024, le Conseil en mai 2024. La loi encadre les systèmes d’IA en fonction du niveau de risque qu’ils présentent. Elle vise à protéger la sécurité publique, les droits fondamentaux et l’environnement, tout en soutenant une économie numérique équilibrée et innovante.

Objectifs principaux de la loi sur l’IA

La loi poursuit trois objectifs :

• Sécurité et transparence : les systèmes d’IA utilisés dans l’UE doivent être sûrs, transparents, traçables et non discriminatoires.
• Droits fondamentaux : la loi fixe des obligations précises aux développeurs et aux utilisateurs d’IA pour protéger la santé, la sécurité et les droits des personnes.
• Innovation : un cadre réglementaire clair doit favoriser le développement des technologies d’IA tout en protégeant l’intérêt général.

Une approche basée sur les risques

La loi distingue plusieurs niveaux de risque, chacun avec ses propres exigences.

Risque inacceptable :

Les systèmes d’IA jugés dangereux pour les droits fondamentaux sont interdits. Parmi eux :

• Manipulation cognitive et comportementale : par exemple, un jouet à commande vocale qui pousse un enfant à un comportement dangereux.
• Notation sociale : les systèmes qui classent les personnes selon leur comportement ou leur statut socio-économique.
• Identification biométrique : l’usage par les forces de l’ordre de systèmes d’identification biométrique à distance « en temps réel », comme la reconnaissance faciale, dans les espaces accessibles au public. Sont aussi interdites la catégorisation biométrique qui déduit des caractéristiques sensibles (origine, opinions politiques, religion, orientation sexuelle), la constitution de bases de reconnaissance faciale par la collecte non ciblée d’images sur Internet ou par vidéosurveillance, et la reconnaissance des émotions sur le lieu de travail et dans l’enseignement, sauf pour des raisons médicales ou de sécurité.

L’interdiction de l’identification biométrique en temps réel connaît trois exceptions, lorsque son usage est strictement nécessaire : rechercher des victimes d’enlèvement, de traite ou d’exploitation sexuelle et des personnes disparues ; prévenir une menace précise et imminente pour la vie ou une attaque terroriste ; localiser ou identifier le suspect d’une infraction grave, punie d’au moins quatre ans de prison. Chaque usage doit être autorisé au préalable par une autorité judiciaire ou par une autorité administrative indépendante. En cas d’urgence, l’autorisation peut être demandée après coup, au plus tard dans les 24 heures.

Risque élevé :

Les systèmes à haut risque sont ceux qui peuvent porter atteinte à la sécurité ou aux droits fondamentaux. Ils se répartissent en deux catégories :

• Produits relevant de la législation de l’UE sur la sécurité des produits : systèmes d’IA utilisés dans des secteurs critiques comme l’aviation, les dispositifs médicaux ou l’automobile.
• Domaines spécifiques à haut risque : infrastructures critiques, éducation, emploi, services publics, forces de l’ordre et migration. Ces systèmes doivent être enregistrés et respecter des exigences strictes.

Ils sont évalués avant leur mise sur le marché, puis tout au long de leur cycle de vie. Les autorités nationales contrôleront leur conformité et traiteront les plaintes des citoyens.

Risque minimal :

Les filtres anti-spam ou les jeux vidéo simples, comme beaucoup d’autres systèmes d’IA, relèvent de cette catégorie et ne sont soumis à aucune obligation particulière. Les entreprises peuvent adopter volontairement des codes de conduite pour ces systèmes.

Obligations de transparence

Les modèles d’IA générative comme ChatGPT ne sont pas classés à haut risque. Ils doivent toutefois respecter des exigences de transparence :

• Divulgation : les textes, images, sons et vidéos générés par l’IA doivent être marqués comme tels, dans un format lisible par machine, et les hypertrucages (deepfakes) doivent être signalés.
• Documentation et droit d’auteur : les fournisseurs de modèles d’IA à usage général doivent tenir une documentation technique, informer les entreprises qui intègrent leur modèle et appliquer une politique de respect du droit d’auteur de l’UE.
• Données d’entraînement : un résumé suffisamment détaillé des contenus utilisés pour l’entraînement doit être publié.

Les modèles d’IA à usage général présentant un risque systémique, comme les versions avancées de GPT, seront soumis à des évaluations approfondies, dont des tests adverses. Leurs fournisseurs devront aussi réduire ces risques, assurer la cybersécurité du modèle et signaler leurs incidents graves au Bureau de l’IA de la Commission européenne.

Encourager l’innovation

Pour soutenir l’innovation, la loi impose à chaque État membre de mettre en place au moins un « bac à sable réglementaire », un environnement de test proche des conditions réelles, ouvert en priorité aux PME et aux start-up. Les nouveaux systèmes d’IA peuvent y être développés et testés avant d’être mis à la disposition du public.

Calendrier de mise en œuvre

La loi s’appliquera pour l’essentiel 24 mois après son entrée en vigueur, le 2 août 2026, mais plusieurs dispositions s’appliqueront plus tôt :

• Systèmes d’IA à risque inacceptable : leur interdiction s’appliquera six mois après l’entrée en vigueur de la loi, le 2 février 2025.
• Codes de bonne pratique : les codes destinés aux fournisseurs de modèles d’IA à usage général devront être prêts neuf mois après l’entrée en vigueur, le 2 mai 2025.
• Règles applicables à l’IA à usage général : elles s’appliqueront 12 mois après l’entrée en vigueur, le 2 août 2025.

Les systèmes à haut risque des domaines listés par la loi (emploi, éducation, infrastructures critiques, etc.) suivront la date générale du 2 août 2026. Seuls les systèmes d’IA intégrés à des produits déjà soumis à la législation de l’UE sur la sécurité des produits (dispositifs médicaux, machines, jouets, véhicules, etc.) disposeront d’un délai plus long : leurs obligations ne s’appliqueront que 36 mois après l’entrée en vigueur, le 2 août 2027.

Impact sur les entreprises et les individus

Pour les entreprises, en particulier celles qui développent ou déploient des systèmes d’IA, la loi crée plusieurs exigences de conformité :

• Documentation et rapports : tenir des registres détaillés et transmettre des rapports qui attestent de la transparence et de la conformité.
• Évaluation des risques : évaluer en profondeur les risques des systèmes d’IA à haut risque et prévoir des mesures pour les réduire.
• Formation et adaptation : former les équipes et adapter les processus aux nouvelles règles, ce qui peut demander un investissement.

Pour les citoyens, la loi apporte davantage de protection et de transparence. Elle doit empêcher que les systèmes d’IA portent atteinte à leurs droits ou à leur sécurité. Avec des règles claires et des mécanismes de surveillance, elle cherche à renforcer la confiance du public dans l’IA.

Prochaines étapes

Avec cette loi, l’UE fixe une norme mondiale pour la gouvernance de l’IA, qui concilie les avantages de la technologie et des garanties solides. Ses dispositions entreront en application par étapes au cours des prochaines années. Entreprises et citoyens ont intérêt à suivre ce calendrier pour s’y préparer.