En avril 2021, la Commission européenne a dévoilé sa proposition de projet phare très attendue sur la réglementation de l'intelligence artificielle. Communément appelée le règlement sur l'intelligence artificielle (l'« AI Act »), elle représente la première tentative complète au monde de mettre en œuvre une réglementation horizontale des systèmes d'IA. L'AI Act est destiné à lutter contre les risques préjudiciables associés à l'IA et à ses utilisations spécifiques, tout en promouvant l'innovation responsable dans ce domaine. S'il est adopté, cet instrument redéfinira de manière permanente les méthodes par lesquelles les entreprises développent, déploient, maintiennent et utilisent les technologies d'intelligence artificielle.

‍

Principales caractéristiques de l'AI Act

Définition de « système d'intelligence artificielle » (système d'IA) :

La Commission a proposé une définition large d'un système d'IA, qui s'étend aux technologies logicielles englobant l'une des nombreuses approches et techniques d'IA définies de manière générale : « l'apprentissage automatique », les systèmes « logiques et basés sur la connaissance » et les « approches statistiques ».

Approche fondée sur le risque :

La réglementation adoptera une approche pyramidale, fondée sur le risque, pour traiter les risques liés à l'IA - en adaptant les exigences et les obligations des participants du marché en fonction du niveau de risque posé par leurs systèmes d'IA. Les quatre catégories de risques sont détaillées ci-dessous.

1. Risque inacceptable. Au sommet de cette pyramide se trouve une catégorie de cas d'utilisation de l'IA qui sont considérés comme présentant un risque inacceptable pour les utilisateurs et la société dans son ensemble, et qui sont par conséquent purement et simplement interdits. La liste des systèmes interdits comprend, sans s'y limiter, les technologies d'IA qui impliquent une manipulation subliminale, l'identification biométrique en temps réel, la notation sociale par les autorités publiques ou l'exploitation de groupes sociaux vulnérables.

2. Risque élevé. Bien qu'elles soient autorisées, des exigences accrues sont proposées pour un large éventail de systèmes d'IA à haut risque susceptibles d'avoir un impact négatif sur la sécurité d'un individu ou sur ses droits fondamentaux. Les applications de cette catégorie comprennent les systèmes d'infrastructure, d'éducation, d'emploi, de maintien de l'ordre, ainsi que ceux représentant un composant de sécurité d'un produit déjà soumis à la législation de l'UE en matière de santé et de sécurité. Les règles spécifiques applicables aux systèmes à haut risque exigent, entre autres, que les organisations :

• établissent des systèmes de gestion des risques pour garantir qu'une évaluation adéquate des risques soit entreprise pour un système donné ;

• préparent une documentation technique complète concernant leurs systèmes ;

• soumettent leurs applications à une évaluation de la conformité avant leur déploiement ;

• maintiennent des procédures de gouvernance et de gestion des données de haute qualité ; et

• veillent à ce que le système soit conforme à des normes élevées de robustesse, de cybersécurité et de précision.

3. Risque limité. Les applications qui ne sont pas explicitement interdites ou qualifiées de haut risque restent largement non réglementées. Les systèmes à risque limité sont soumis à des règles de transparence moins contraignantes qui exigent simplement que les utilisateurs soient informés qu'ils interagissent avec un outil d'IA.

4. Risque minimal. Bien qu'il n'existe aucune exigence spécifique pour les applications qui n'entrent dans aucune autre catégorie, et qui posent donc un risque minimal, il est recommandé aux entreprises d'adopter une approche éthique pour tous les systèmes d'IA, quel que soit le niveau de risque impliqué. En effet, l'article 69 de l'AI Act constitue une disposition générale qui encourage les fournisseurs et les utilisateurs de systèmes d'IA à faible risque à respecter volontairement, de manière proportionnelle, les mêmes normes que leurs homologues à haut risque.

Qui est responsable de la conformité et quelles sont les conséquences en cas de violation :

Des obligations différentes s'appliqueront à chaque participant du marché selon le rôle qu'il joue dans le cycle de vie de l'IA. L'AI Act fait la distinction entre les « fournisseurs », les « utilisateurs », les « importateurs » et les « distributeurs », et impose des obligations distinctes à chacun d'eux. Les sanctions prévues par le projet actuel de l'EU AI Act sont lourdes. Les amendes pour les infractions les plus graves pourraient atteindre jusqu'à 6 % du chiffre d'affaires annuel.

‍

L'état actuel des discussions

Depuis sa publication, le règlement a fait l'objet de nombreux commentaires de la part des autres instances législatives de l'Union européenne et de tiers intéressés. Certains des principaux points en suspens sont abordés ci-dessous.

Définir le « système d'intelligence artificielle » :

La détermination de ce qui constitue un « système d'IA » est cruciale pour l'attribution des responsabilités en vertu de l'AI Act. Le champ d'application large de l'article 3, paragraphe 1, qui tente de définir ce concept, a suscité de vives controverses parmi les acteurs du secteur. Un amendement de compromis proposé par la présidence tchèque du Conseil européen a cherché à dissiper les ambiguïtés créées par cette définition extensive. Cette définition plus étroite exclut les systèmes logiciels traditionnels du champ d'application de la réglementation en introduisant deux exigences supplémentaires : (1) que les systèmes soient développés à l'aide de techniques d'apprentissage automatique et d'approches basées sur la connaissance ; et (2) que les applications visées soient des « systèmes génératifs » qui influencent les environnements avec lesquels ils interagissent.

Répartition des responsabilités entre « fournisseurs » et « utilisateurs » d'IA :

L'AI Act impose en grande partie des obligations de conformité aux fournisseurs (c'est-à-dire ceux qui développent un système d'IA donné) plutôt qu'aux utilisateurs. Les organisations sectorielles ont fait valoir que cette répartition descendante des responsabilités pourrait s'avérer problématique dans les cas où les services d'IA sont utilisés à des fins imprévisibles en aval et où il peut être difficile de déterminer avec précision qui est le fournisseur.

IA à usage général :

La classification d'une application en tant que système d'IA à usage général dépend de sa capacité à exécuter de multiples tâches dans divers contextes. En mai de cette année, les décideurs politiques de l'UE ont annoncé leur intention d'étendre les exigences de l'EU AI Act à toutes les IA à usage général, même dans des situations d'utilisation à faible risque. Cette décision s'est avérée controversée, les opposants affirmant qu'elle représente une rupture fondamentale avec l'approche fondée sur le risque au cœur de la proposition et qu'elle risque de freiner l'innovation. En septembre de cette année, le Conseil a proposé un compromis en exigeant que l'IA à usage général soit soumise à une procédure d'évaluation complète des risques, ce qui exclurait les systèmes d'IA à usage général à faible risque des exigences plus rigoureuses de l'AI Act, une proposition qui a été généralement bien accueillie.

Principes de base obligatoires :

Une recommandation visant à introduire des principes de base obligatoires d'équité, de transparence et de responsabilité pour tous les systèmes d'IA (quel que soit le niveau de risque) a été déposée par des députés du Parlement européen (députés européens) et est en attente d'une décision finale.

Normes :

Parallèlement au processus législatif, la Commission a demandé aux organisations européennes de normalisation, le CEN et le CENELEC, de développer des normes techniques pour évaluer la conformité à l'AI Act. Bien que les normes élaborées par ces organismes soient volontaires, les organisations qui démontrent que leurs systèmes y répondent bénéficieront d'une présomption de conformité avec l'AI Act.

Le défi

L'AI Act poursuit son chemin à travers le processus législatif complexe de l'UE. Cependant, de nombreuses organisations ont déjà commencé à s'y préparer. À mesure que ce domaine gagne en maturité, les avantages de prendre des mesures proactives, telles que la mise en œuvre de systèmes de gestion des risques et la réalisation d'examens techniques détaillés, s'accompagnent de bénéfices évidents pour les organisations, indépendamment de toute obligation réglementaire.

Il reste encore de nombreux défis à relever dans ce processus. Comprendre le rôle qu'un participant du marché joue dans l'écosystème, naviguer dans la complexité de l'établissement des niveaux de risque, puis déterminer l'applicabilité et se conformer aux obligations correspondantes en vertu de l'AI Act impose sans aucun doute une charge à ceux qui opèrent dans ce secteur. La plateforme Enzai a été conçue dans cette optique, et peut aider les organisations à naviguer rapidement et efficacement dans cet espace afin qu'elles puissent se concentrer sur la création de technologies d'IA pérennes.

Enzai est la plateforme leader en matière de gouvernance de l'IA pour les entreprises, conçue spécifiquement pour aider les organisations à passer d'une politique abstraite à un contrôle opérationnel. Notre plateforme de gestion des risques d'IA fournit l'infrastructure spécialisée requise pour gérer la gouvernance de l'IA agentielle, maintenir un inventaire d'IA complet et assurer la conformité à l'EU AI Act. En automatisant des flux de travail complexes, Enzai permet aux entreprises de faire évoluer l'adoption de l'IA en toute confiance tout en restant en phase avec les normes mondiales telles que ISO 42001 et le NIST.