L’Europe veut encadrer les IA dangereuses comme des médicaments – et la Suisse?

La proposition de règlement sur l'intelligence artificielle (Artificial Intelligence Act) de l’Union européenne vient d’être revue pour tenir compte des IA génératives comme ChatGPT.  Le texte, qui pourrait entrer en vigueur en 2024, prévoit un système d’autorisation analogue à ce qui existe pour les médicaments. Il s’agira de la première législation de ce type dans le monde, et la Suisse devra se positionner.

Quels sont les enjeux. Les appels à une régulation, voire un moratoire, pour prévenir le développement exponentiel de l’IA se multiplient. Alors que les Etats-Unis et même la Chine s’interrogent, l’Europe a pris les devants. Mais les chatbots, générateurs d'images et autres réseaux sociaux alimentés par l’IA sont déjà partout. La volonté régulatrice de Bruxelles arrive-t-elle trop tard? Et ne risque-t-elle pas de porter préjudice aux entreprises du continent, plus actives qu’on ne le croit souvent?

Au cœur de l’AI Act. Le projet de règlement européen sur l’IA prévoit quatre catégories:

• Les systèmes d’IA à risque «inacceptable», qui n’ont pas vocation à être employés.

• Les systèmes à «haut risque», dont l’usage sera fermement encadré, à l’instar de ce qui se fait pour les produits de santé.

• Les systèmes à «risque limité», soumis à une exigence accrue de transparence.

• Les systèmes à risque minimal ou nul, non réglementés.

Yaniv Benhamou, professeur en droit du numérique à l’Université de Genève:

«L’Union européenne approche l’IA comme des nouveaux produits à mettre sur le marché et comme elle le fait avec la sécurité des produits, tels que des jouets ou des machines. La réglementation se concentre surtout sur la catégorie d’IA à haut risque avec, comme pour les médicaments, des obligations ex ante et une autorisation préalable avant la mise sur le marché. Les IA à usage général comme ChatGPT ont toutefois conduit les eurodéputés à repenser les catégories et à ne pas considérer trop facilement une IA comme à haut risque.»

Les systèmes inacceptables. Le projet considère comme «inacceptables» et par conséquent interdits:

• Les IA qui exploitent les vulnérabilités d’une personne comme des chatbots donnant de mauvais conseils ou les systèmes de reconnaissance des émotions.

• Les systèmes d'identification biométrique à distance et en temps réel dans des espaces publics à des fins répressives. A la suite de vifs débats, il y aurait cependant des exceptions prévues pour la police, par exemple pour la recherche d'enfants disparus ou de terroristes.

• Les systèmes de crédit social, à l’instar de ce qui existe déjà dans certaines provinces ou villes chinoises.

Les IA à haut risque. C’est la catégorie la plus importante. Elle regroupe les systèmes qui devront faire l'objet d'une évaluation préalable par des agences nationales avant leur déploiement. Il s’agit en particulier des systèmes qui pourraient être utilisés dans des domaines sensibles comme la santé, l'éducation, le recrutement et la gestion des employés.

Le député libéral roumain Dragoș Tudorache est co-rapporteur du comité en charge d’élaborer ce texte au Parlement européen. Il explique à Heidi.news:

«Le texte a beaucoup changé par rapport à la première version de la Commission. Le champ du haut risque a été étendu aux processus démocratiques comme les systèmes de vote et l’utilisation d’IA pour influencer les élections ainsi qu’à la gestion des migrations, aux crédits bancaires et aux assurances à cause des risques de catégoriser des personnes ou des communautés.»

Un certain nombre d’usages des IA sont aussi désignés par le projet de règlement.

Dragoș Tudorache:

«L’article 5 qui traite des IA à haut risque comprend désormais l’interdiction des systèmes de police prédictive, celle des systèmes biométriques en temps réel et leur extension non seulement à l’image mais aux capteurs de mouvement, ainsi qu’à leur modèles d’entrainement, afin d’éviter ce qui s’est passé avec Clearview (qui s’est servi des photos des utilisateurs de réseaux sociaux sans leur consentement, ndlr.). Le but est d’éviter la surveillance de masse.»

Les IA à risque limité. Les IA de cette catégorie ont une obligation de transparence spécifique, mais n’auront pas à subir d’évaluation préalable.

• Après avoir envisagé de classer les modèles généraux comme ChatGPT dans le haut risque, ils entreraient finalement dans cette catégorie moyenne mais avec des exigences en matière de transparence et de qualité.

• Les entreprises comme OpenAI, qui a développé ChatGPT, devraient ainsi divulguer tout le matériel protégé par des droits d'auteur (livres, photographies, vidéos…) utilisé pour entraîner leurs systèmes.

Les IA à risque minimal. Il s’agit surtout des objets connectés du quotidien comme les montres connectées, les jeux vidéos ou les filtres de spam, qui n'auraient pas besoin d'autorisation préalable ni de transparence spécifique à présenter. Dans tous les cas, l’utilisation d’une intelligence artificielle devrait être notifiée aux utilisateurs.

Le bureau des IA. Le projet de règlement européen sur l’IA, s’il est adopté par le Parlement comme c’est probable le 11 mai 2023, devra ensuite être négocié avec la Commission et le Conseil qui réunit les chefs d'État ou de gouvernement des Vingt-sept avec une application possible dès 2024.

L’enjeu suivant sera celui de la mise en œuvre.

Selon le projet d’AI Act, deux organismes seraient en charge d’évaluer les IA, et le cas échéant de conseiller de les interdire:

• Le Comité européen de normalisation.

• Le Comité européen de normalisation électrotechnique.

Afin de rendre les nouvelles normes interopérables entre 27 juridictions, le projet prévoit la création d’un Bureau des intelligences artificielles (AI Office) au niveau européen pour servir de médiateur entre les agences nationales, suivre les questions qui dépassent les frontières et organiser des enquêtes communes.

Dragoș Tudorache ajoute:

«Nous avons aussi changé la taille des amendes. On parle de 45 millions d’euros dans la version actuelle.»

Reste que la délimitation a priori des usages ne sera pas chose facile, prévient Yaniv Benhamou (Unige):

«Une des grandes difficultés sera de départager les responsabilités entre utilisateurs et fournisseurs, surtout avec des IA à usage général. Par exemple, si une entreprise a décidé d’utiliser une IA générale pour un usage particulier (par exemple, une clinique de soins utilisant ChatGPT pour rédiger des ordonnances) quelle sera sa responsabilité dans son déploiement, l’appréciation des risques et les mesures prises face à ces risques?»

• Il sera aussi difficile de rendre transparent des systèmes algorithmiques dont les concepteurs eux-mêmes n’ont pas une vue complète.

• La rapidité des progrès technologiques risque de rendre la réglementation obsolète.

• Selon le projet actuel, le règlement serait évalué tous les six mois afin de procéder à des adaptations.

Et en Suisse?

Mimétisme suisse. Non-membre de l’UE, la Suisse subira-t-elle ce qu’on appelle l’«effet Bruxelles», l’application des règles communes par des entreprises qui développent des IA pour l’Europe et n’entendent pas s’adapter à l’exception helvète? C’est déjà le cas, par exemple, avec le Règlement européen sur la protection des données (RGPD).