Intelligence artificielle : la course à la régulation est lancée

Le 31 mars 2023, l’Italie a été le premier pays occidental à bloquer ChatGPT^[1], un agent conversationnel utilisant de l’intelligence artificielle. La Garante per la protezione dei dati personali (autorité italienne de protection des données) a banni temporairement le logiciel en raison de préoccupations liées à la protection des données personnelles des utilisateurs.

Sa décision repose sur plusieurs motifs, dont l’absence de base juridique justifiant la collecte et le stockage des données personnelles des utilisateurs permettant d’entraîner les algorithmes du site, le manque de transparence sur la collecte et le traitement des données personnelles des utilisateurs, et l’absence de vérification de l’âge des utilisateurs de la plateforme. Cela représentait un risque pour les enfants qui pouvaient être exposés à des contenus inappropriés. Après avoir laissé un mois à OpenAI pour se conformer à ses exigences, l’autorité a levé l’interdiction, estimant que les mesures prises par l’entreprise étaient suffisantes.

Mais l’annonce de cette interdiction a généré des réactions à l’échelle mondiale et suscité des inquiétudes quant aux conséquences d’une telle décision sur le développement des outils d’intelligence artificielle (“IA”)^[2].

Le Parlement européen définit l’IA comme tout outil utilisé par une machine capable de "reproduire des comportements liés aux humains, tels que le raisonnement, la planification et la créativité"^[3]. L’IA innerve aujourd’hui tous les domaines de la société et est source d’inquiétudes croissantes dans la mesure où cette technologie peut être utilisée à des fins détournées ou malveillantes, être source de désinformation, et menacer la survie de certains emplois. Ce sont ces raisons qui sous-tendent le mouvement vers la réglementation de l’IA.

Si de nombreux pays cherchent à se doter de leur propre ensemble de règles en la matière, il n’existe, à ce jour, aucune véritable réglementation à l’échelle internationale. Cela pourrait conduire à une fragmentation du marché numérique mondial, d’où la nécessité d’une régulation concertée qui permettrait d’assurer la sécurité de l’ensemble des utilisateurs des outils basés sur cette technologie^[4].

Alors que le projet européen de régulation de l’IA (l’IA Act) est déjà bien avancé (I), d’autres pays s’essaient à réglementer les technologies embarquant de l’IA et leur utilisation (II).

L’IA Act en Europe

En avril 2021, la Commission européenne a proposé un premier cadre réglementaire pour l’IA. L’Union européenne (“UE”) a pour ambition d’instaurer la première réglementation globale sur l’IA au monde. À l’instar du Règlement Général sur la Protection des Données (“RGPD”) adopté en 2016 et applicable depuis 2018, l’UE espère, à travers sa proposition de règlement sur l’intelligence artificielle - également appelé « IA Act » - se voir attribuer le statut de « super-régulateur » mondial.

En décembre 2022, le Conseil de l’Europe a défini une vision globale de l’IA Act. Puis, en juin 2023, le Parlement européen a choisi une position de négociation concernant le Réglement sur l’IA. Les pourparlers ont débuté entre les Etats membres au sein du Conseil sur la forme finale du Réglement. A titre prévisionnel, un accord politique sur l’IA Act devrait être trouvé en fin d’année afin d’adopter l’accord final au début de l’année 2024.

Stratégie européenne et objectifs de l’IA Act

La stratégie européenne concernant la réglementation de l’IA est d’imposer l’UE comme plaque tournante de classe mondiale, ce qui, par la même occasion, lui permettra de renforcer sa compétitivité. Un tel objectif est axé sur l’excellence et la confiance, visant à renforcer la recherche et les capacités industrielles tout en garantissant la sécurité et les droits fondamentaux^[5]. La priorité du Parlement européen est de veiller à ce que les systèmes d’IA utilisés soient conformes à des critères bien précis. Ils doivent être sûrs, transparents, traçables, non discriminatoires et respectueux de l’environnement. Afin d’éviter des résultats néfastes, les systèmes d’IA devraient être supervisés par des personnes physiques plutôt que par l’automatisation^[6].

La promotion de l’excellence en matière d’IA peut se réaliser à travers une maximisation des ressources et une coordination des investissements. L’accès à des données de haute qualité est un facteur essentiel à la construction de systèmes d’IA robustes et performants. Dans le cadre des programmes Horizon Europe et Europe numérique, la Commission prévoit d’investir 1 milliard d’euros par an dans le secteur de l’IA. Un investissement annuel de 20 milliards d’euros serait atteint grace aux efforts du secteur privé et des Etats membres^[7].

La promotion de la confiance en matière d’IA créera un environnement sûr et propice à l’innovation pour les utilisateurs et les développeurs situés dans l’UE, les déployeurs s’ils mettent en service une IA dans l’UE, et les fournisseurs et utilisateurs d’IA situés dans des pays étrangers qui utiliseraient les résultats d’une IA dans l’UE. Afin d’obtenir une IA “digne de confiance”, la Commission a, par exemple, proposé d’adapter les règles de responsabilité civile à l’ère numérique et à l’IA ou encore de réviser la législation sectorielle en matière de sécurité^[8].

L’IA Act a plusieurs objectifs :
- Garantir que les systèmes d’IA sur le marché de l’UE sont sûrs et conformes à la législation existante sur les droits fondamentaux et les valeurs de l’UE ;
- Garantir la sécurité juridique pour faciliter l’investissement et l’innovation dans l’IA ;
- Améliorer la gouvernance et l’application effective de la législation et des exigences de sécurité applicables aux systèmes d’IA ;

- Consolider un marché unique pour les applications d’IA licites, sûres et dignes de confiance afin de réduire et d’empêcher la fragmentation du marché européen^[9].

A travers ses titres II, III et IV^[10], l’IA Act prône une réglementation fondée sur le risque. Les utilisations de l’IA sont classées selon qu’elles créent un risque minimal ou nul, limité, élevé et inacceptable.

L’article 5^[11] de la proposition de règlement prohibe certains types d’IA en raison d’un risque inacceptable. Sont ici en cause des systèmes considérés comme une menace pour les personnes. Sont visés par principe les systèmes d’IA utilisant des techniques de manipulation subliminale nuisibles ; ceux qui exploitent des groupes vulnérables spécifiques (handicap physique ou mental) ; ceux utilisés par les pouvoirs publics, ou pour leur compte à des fins de notation sociale ; ceux contenant des systèmes d’identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins de maintien de l’ordre^[12]. En matière d’identification biométrique, des exceptions spécifiquement définies et réglementées sont autorisées lorsque cela est nécessaire, par exemple dans le cadre de la recherche d’un enfant disparu ou de la prévention d’une menace terroriste imminente^[13].

L’article 6^[14] de l’IA Act énonce les systèmes d’IA considérés à risque élevé. Ceux-ci ont un impact négatif sur la sécurité ou les droits fondamentaux et sont divisés en deux catégories. La première concerne les systèmes d’IA qui sont utilisés dans les produits relevant de la législation de l’UE sur la sécurité des produits (par exemple : jouets, aviation, etc…). La seconde catégorie porte sur les systèmes d’IA relevant de huit domaines spécifiques qui devront être enregistrés dans une base de données de l’UE (par exemple : forces de l’ordre, éducation et formation professionnelle, aide à l’interprétation juridique, etc…)^[15].

D’une manière plus générale, tous les systèmes d’IA à haut risque doivent respecter des obligations particulières énoncées aux articles 8 à 15 du projet de règlement, notamment en termes de gestion des risques, d’entraînement des modèles d’IA ou encore de sécurité, mais ils sont également soumis à des évaluations avant leur mise sur le marché et tout au long de leur cycle de vie (articles 16 à 29 de l’IA Act)^[16]. Ils peuvent faire l’objet d’un contrôle par une autorité nationale (articles 30 à 39 de l’IA Act).

S’agissant des systèmes d’IA à risque limité, ils doivent respecter des exigences de transparence minimales qui permettent aux utilisateurs de prendre des décisions éclairées. Après s’être servi des applications, l’utilisateur peut alors décider s’il souhaite continuer à les utiliser.^[17] Les utilisateurs doivent être informés lorsqu’ils interagissent avec l’IA.

La proposition de réglementation permet la libre utilisation des systèmes d’IA à risque minimal ou nul. Cela inclut des applications telles que les jeux vidéo compatibles avec l’IA ou les filtres anti-spam. Il en est ainsi de la grande majorité des systèmes d’IA actuellement utilisés dans l’UE^[18].

Une fois qu’un système d’IA est mis sur le marché, des dispositifs de surveillance du marché sont mis en place par les autorités et les fournisseurs afin d’assurer un suivi postérieur à la commercialisation. Les fournisseurs et utilisateurs signalent également des incidents graves et des dysfonctionnements^[19].

La Commission propose un système de sanctions particulièrement lourdes en cas de non-respect des règles édictées (articles 71 et 72 de l’IA Act). A titre d’exemple, les fournisseurs pourraient encourir jusqu’à 30 millions d’euros d’amende ou 6% du chiffre annuel mondial de l’entreprise pour les infractions liées à l’article 5 sur les systèmes d’IA classés comme inacceptables^[20].

Les critiques formulées à l’égard de l’IA Act

Le vendredi 30 juin 2023, plus de 150 entreprises européennes se sont adressées aux institutions européennes par une lettre ouverte plaidant pour moins de restrictions en matière d’IA et une approche moins bureaucratique. Parmi les signataires, figurent notamment les dirigeants de Dassault, Siemens, Airbus, Heineken qui demandent à l’UE d’adopter une réglementation de l’IA plus souple, en particulier pour l’IA générative^[21].

Dragos Tudorache, co-rapporteur du Parlement européen pour le Règlement sur l’IA et Président de la commission spéciale sur l’IA à l’ère numérique, mentionne le fait que certains points bien précis, tels que la surveillance biométrique dans les espaces publics, la définition donnée aux systèmes d’IA à haut risque ou encore les cloisonnements nationaux en termes de mise en oeuvre et d’application, feront certainement l’objet de discussions.

Alex Engler, membre du groupe d’études sur la gouvernance de la Brookings Institution, et spécialisé en intelligence artificielle, souligne le fait que l’IA Act ne répond pas, pour le moment, aux questions suivantes : Quels types d’agences seront réglementés ? Les agences existantes réglementeront-elles leur propre expertise ou devraient-elles créer une organisation centrale ?

Le centre de recherche en intelligence artificielle de Stanford note que le projet de Réglement ne tient pas compte de l’utilisation des modèles ni des autres aspects de la chaîne d’approvisionnement (construction de l’ensemble des données, méthode d’apprentissage des modèles, par exemple)^[22].

L’UE cherche définitivement à s’imposer comme premier régulateur des systèmes d’IA à l’échelle mondiale. Mais d’autres pays sont évidemment aussi engagés sur la voie de la régulation de l’IA.

Panorama de la régulation de l’IA à l’international

Dans de nombreux pays, la volonté de réguler l’IA est de plus en plus pressante et les enjeux d’une telle régulation sont nombreux. Si les autorités politiques et les entreprises technologiques s’accordent sur la nécessité de réguler l’IA, les approches sont protéiformes.

Prédominance du pragmatisme en Amérique du Nord

Aux États-Unis, il n'existe pas encore de législation ou de réglementation générale consacrée à l'IA. Toutefois, il existe des lois et des règlements qui ont un impact sur le recours à l'IA, tels que la protection de la vie privée ou encore la sécurité et la lutte contre les discriminations. En outre, diverses agences fédérales se sont attachées à définir des politiques en matière d'IA et à publier des lignes directrices^[23].

C’est sous le second mandat d’Obama que sont apparus les premiers contours d’une stratégie fédérale en matière d’IA, notamment dans le rapport “Preparing for the Future of Artificial Intelligence” publié par le National Sciences and Technology Council en 2016. Ce rapport résume l'état de l'IA au sein du gouvernement fédéral et de l'économie, tout en abordant les questions d'équité, de sécurité, de gouvernance et de sécurité mondiale. L’administration Obama avait également publié un “Plan stratégique national relatif à la recherche et au développement en matière d’IA”, qui a été révisé pour la dernière fois en 2023^[24].

En octobre 2022, l’administration Biden a publié un projet de charte des droits de l’IA (“Blueprint for an AI Bill of Rights”)^[25]. Ce document énonce cinq principes visant à guider la conception, l’utilisation et le déploiement de systèmes automatisés afin de protéger les citoyens des Etats-Unis à l’ère de l’IA. Ces principes portent majoritairement sur la sécurité, la protection contre la discrimination algorithmique, la confidentialité des données, et l’implication des humains dans la prise de décision. En février 2023, le président Biden a signé un décret qui encourage les agences fédérales à éliminer les préjugés dans la conception et l’utilisation des nouvelles technologies (dont l’IA), et ainsi de protéger les utilisateurs contre la discrimination algorithmique.

Plus récemment, à la fin du mois de mai 2023, l'administration Biden a pris plusieurs mesures supplémentaires pour mieux définir son approche de la gouvernance de l'IA. L'OSTP (Office of Science and Technology Policy) de la Maison Blanche a publié un plan stratégique national ayant pour objectif de coordonner et de concentrer les investissements fédéraux en R&D dans le domaine de l'IA.

Ces dernières années, le Congrès a proposé plusieurs projets de lois en matière de régulation de l’IA mais aucun n’a été adopté à ce jour^[26].

Au niveau des réglementations ou « guidelines » pris par les organismes fédéraux, le National Institute of Standards and Technology (“NIST”) a publié, en janvier 2023, un cadre de gestion des risques liés à l’IA. C’est un guide destiné aux entreprises qui conçoivent, développent ou utilisent des logiciels faisant appel à l’IA qui vise à promouvoir des systèmes d’IA dignes de confiance. Le mois suivant, la Federal Trade Commission (“FTC”) a publié des orientations sur le traitement et la sanction des allégations publicitaires injustes ou trompeuses en matière d'IA. En avril 2023, la FTC, le DoJ (Justice Department’s Civil Rights Division) - ainsi que plusieurs représentants d’autres agences fédérales (le Consumer Financial Protection Bureau (“CFPB”), et la Equal Employment Opportunity Commission (“EEOC”) - ont publié une déclaration commune dans laquelle ils s'engagent à appliquer leurs dispositions respectives afin de promouvoir l'innovation responsable dans les systèmes automatisés^[27]. Les quatre agences ont déjà exprimé leurs inquiétudes quant aux utilisations potentiellement dangereuses des systèmes automatisés.

De nombreux États ont également adopté des réglementations visant les services et produits de l’IA (technologies de police prédictive, technologies de reconnaissance faciale par les services de police, droits des consommateurs, questions liées à l'emploi,mise en œuvre de la prise de décision automatisée par les secteurs de la finance et de l'assurance, questions liées aux soins de santé)^[28].

Au Canada, un “Code de conduite volontaire visant un développement et une gestion responsable des systèmes d’IA générative avancés” a été adopté fin septembre 2023^[29]. Ce Code vise à prévenir les dérapages dans l’utilisation de la technologie par les entreprises canadiennes. Le Code est immédiatement entré en vigueur et s’articule autour de six principes que les entreprises adhérentes devront s’efforcer de respecter, sans qu’aucun mécanisme ne soit prévu pour assurer son application. Le gouvernement espère que cela incitera le secteur technologique à s’auto-réglementer.

Les principes contenus dans ce Code vont de la responsabilisation des organisations à l’atténuation des risques. Le Code impose à ses adhérents d’évaluer et d’éliminer les biais pouvant survenir par l’automatisation de certains processus et qui pourraient nuire à certaines minorités. Enfin, il demande aux entreprises de garantir que ces systèmes seront supervisés par un humain et qu’elles prendront toutes les mesures pour se prémunir contre une éventuelle cyberattaque ou une fuite de données.

C’est une mesure temporaire qui précède l’adoption par le Parlement canadien de la Loi sur l’Intelligence Artificielle et les Données (LIAD), contenue dans le projet de loi C-27 déposé par le gouvernement Trudeau en juin 2022 et adopté à la chambre des communes en avril 2023. Il est actuellement étudié par le Comité permanent de l’industrie et de la technologie.

Le projet de loi C-27 valorise une utilisation éthique et transparente de l’IA en imposant aux entreprises et aux organisations qui développent ou utilisent des systèmes d’IA de respecter des principes éthiques fondamentaux (vie privée, non disrimination, transparence…)^[30]. Le gouvernement prévoit également la création d’une autorité de régulation de l’IA, afin de s’assurer du respect des principes éthiques, de la protection des données personnelles et de sanctionner les entreprises et organisations ne se conformant pas aux règles. Les entreprises seront dans l’obligation d’informer clairement les utilisateurs de la présence d’IA dans les services proposés et le fonctionnement des algorithmes utilisés.

Dans une lettre ouverte au gouvernement datée du 25 septembre 2023, 45 organisations de la société civile, ainsi que plusieurs experts et universitaires, ont émis des réserves au sujet de la LIAD^[31]. Ils considèrent que le projet de loi ne protège pas de manière suffisante les droits et les libertés des canadiens contre les risques liés à l’évolution de l’intelligence artificielle, et dénoncent la présence de lacunes importantes dans les définitions contenues dans le texte.

De la Chine au Royaume-Uni : des approches très différentes

La Chine a été l’un des premiers pays à mettre en place une réglementation sur l’IA. Elle a adopté, en juillet 2023, 24 nouvelles règles ayant pour objectif d’encadrer les contenus générés par l’IA générative (“Interim Measures for the Management of Generative Artificial Intelligence Services”)^[32]. Ces mesures provisoires, qui visent à assurer la sécurité des personnes ayant accès à ces contenus, restent souples afin de ne pas entraver l’innovation des entreprises nationales. Ainsi, les règles s’appliqueront uniquement à l’IA générative accessible au grand public et pas aux utilisations à des fins de recherche et développement.

Les règles reposent sur plusieurs principes. L'IA générative doit d’abord "adhérer aux valeurs fondamentales du socialisme"^[33], ne pas menacer la sécurité nationale ni promouvoir le terrorisme ou la violence. Les fournisseurs de services devront préciser si les contenus ont été générés par l'IA et empêcher toute discrimination fondée sur le sexe, l'âge ou l'appartenance ethnique lors de la conception des algorithmes. Les concepteurs de logiciels d'IA devront veiller à ce que des contenus contenant des informations fausses ou nuisibles ne puissent être créés. Les données utilisées pour améliorer les performances des logiciels d'IA devront également être obtenues légalement et ne pas enfreindre les droits de propriété intellectuelle d'autrui.

Le projet initial prévoyait de sanctionner les infractions par une amende d’un montant maximum de 100 000 yuans (12 600 euros)^[34]. Ces sanctions n’ont pas été reprises dans les règles adoptées, qui prévoient que le fait de contrevenir aux obligations prévues sera sanctionné par un avertissement ou une suspension.

Le Royaume-Uni ne dispose pas d'une réglementation générale en matière d'IA, mais plusieurs textes récents sont venus encadrer l’utilisation de l’IA. En mars 2023, le gouvernement a publié un “Livre blanc” dont le but principal est d’orienter l’utilisation de l’IA dans le pays en maintenant la confiance du public dans la technologie^[35]. Celui-ci repose sur cinq principes : l’équité, la transparence, la sécurité, la responsabilisation, et la contestabilité. Le Livre blanc porte une vision selon laquelle l’innovation ne doit pas être entravée par de nouvelles règlementations. Il propose d’habiliter les organismes de régulation existants à réglementer l’IA dans leurs secteurs respectifs plutôt que de créer de nouvelles lois ou de nouveaux organismes distincts^[36]. L'objectif est d'encourager l'innovation responsable tout en garantissant que l'IA sera développée et utilisée d'une manière qui profite à la société dans son ensemble.

En septembre 2023, l’autorité britannique de la concurrence et des marchés (“Competition and Markets Authority” ou “CMA”) a publié une étude sur les risques potentiels de l’IA. Elle a proposé sept nouveaux principes : “responsabilité, accès, diversité, choix, flexibilité, traitement équitable et transparence” visant à guider le développement et l’utilisation des modèles de base de l’IA afin d’empêcher qu’une poignée d’entreprises technologiques n’acquiert une position dominante^[37]. La CMA a particulièrement mis l’accent sur la nécessité de la responsabilité des développeurs concernant les résultats fournis aux utilisateurs, et la transparence. Ce dernier principe implique notamment que les consommateurs et les entreprises devront être informés sur les risques et limites des contenus générés par les modèles d’IA afin qu’ils puissent faire des choix éclairés.

Le Royaume-Uni accueillera par ailleurs le premier sommet mondial sur l’IA en novembre prochain.

La course à la régulation de l’IA est lancée. Bien qu’il n’existe pas encore d’action concertée à l’échelle mondiale, les différents pays s’emploient à trouver un équilibre entre la stimulation de l’innovation technologique et la protection des droits et libertés fondamentaux des utilisateurs. Mais, en fonction des cultures, cet équilibre est variable et les moyens utilisés pour construire un cadre de référence peuvent différer. Il y a fort à parier que la création d’un écosystème reposant sur la confiance et la transparence en l’IA permettra la réussite économique et le progrès social.