Régulation de l’IA : que propose le futur règlement européen ?

Ce futur règlement européen, « AI Act » (Artifical intelligence Act), propose une approche par les risques, selon un classement en trois niveaux : les IA qui présentent un risque inacceptable ; un risque élevé et un risque limité.

Les systèmes d'IA considérés comme une menace évidente pour la sécurité, les moyens de subsistance et les droits des personnes seront interdits. Il s'agit, notamment, des systèmes ou applications d'IA qui manipulent le comportement humain, pour priver les utilisateurs de leur libre arbitre (par exemple, des jouets utilisant une assistance vocale incitant des mineurs à avoir un comportement dangereux) et des systèmes qui permettent la notation sociale par les Etats.

Parmi les systèmes considérés comme à « haut risque », on peut citer les technologies d'IA qui sont utilisées dans :

• - les infrastructures critiques (par exemple, les transports) et susceptibles de mettre en danger la vie et la santé des citoyens;
• - l'éducation ou la formation professionnelle, qui peuvent déterminer l'accès à l'éducation et le parcours professionnel d'une personne (par exemple, la notation d'épreuves d'examens);
• - les composants de sécurité des produits (par exemple, l'application de l'IA dans la chirurgie assistée par robot);
• - le domaine de l'emploi, de la gestion de la main d'œuvre et de l'accès à l'emploi indépendant (par exemple, les logiciels de tri des CV pour les procédures de recrutement);
• - les services privés et publics essentiels ( l'évaluation du risque de crédit, qui prive certains citoyens de la possibilité d'obtenir un prêt, par exemple);
• - le domaine de la gestion de la migration, de l'asile et des contrôles aux frontières (par exemple, la vérification de l'authenticité des documents de voyage).

Des exigences spécifiques pour les systèmes à « haut risque »

Les systèmes d'IA à « haut risque » devront être conformes à certaines obligations strictes pour pouvoir être mis sur le marché, soit :

- comprendre un système adéquat d'évaluation et d'atténuation des risques;

- travailler à partir d’une qualité élevée des ensembles de données alimentant le système, afin de réduire au minimum les risques et les résultats ayant un effet discriminatoire;

- enregistrer les activités, afin de garantir la traçabilité des résultats;

- documenter de façon détaillée le système pour permettre aux autorités d'évaluer sa conformité;

- assurer un contrôle humain approprié, pour réduire au minimum les risques;

- et prévoir un niveau élevé de robustesse, de sécurité et d'exactitude.

A l’inverse, les contraintes sont plus faibles pour les IA à risque limité. Par exemple, les utilisateurs, lorsqu'ils utilisent un chatbot, doivent savoir qu'ils interagissent avec une machine, afin de pouvoir décider, en connaissance de cause, de poursuivre ou non.

Les jeux video et filtres anti-spam, de la même manière, continueront à être considérés, en principe, comme présentant un risque « minime », voire nul, pour les droits ou la sécurité des citoyens.

Ce règlement européen est très attendu, depuis la prise de conscience, en lien notamment avec la mise à disposition du grand public d’outils d’IA dite « générative », comme ChatGPT, des risques associés à l’IA et de la nécessité de fixer très rapidement un cadre juridique approprié.

Viviane GELLES, avocate