La loi de l'Union européenne sur l'intelligence artificielle (AI Act) établit un cadre juridique complet pour l'intelligence artificielle, avec un niveau spécifique dédié aux systèmes d'IA à haut risque. Ces systèmes, qui présentent des risques significatifs pour la santé, la sécurité ou les droits fondamentaux, sont soumis à un ensemble strict d'obligations avant de pouvoir être mis sur le marché de l'UE. La réglementation vise à favoriser une IA digne de confiance tout en assurant l'innovation, en équilibrant les avantages de l'intelligence artificielle avec des garanties solides pour les citoyens.
La classification à haut risque en vertu de l'AI Act couvre deux catégories principales : les systèmes d'IA qui sont des composants de sécurité de produits déjà soumis à la législation sectorielle de l'UE (tels que les dispositifs médicaux, les jouets et les machines), et les systèmes d'IA autonomes listés à l'annexe III, y compris ceux utilisés dans les infrastructures critiques, l'éducation, l'emploi, l'application de la loi, la migration et les services privés essentiels comme la notation de crédit. Les obligations s'appliquent aux fournisseurs (développeurs) et, dans certains cas, aux déployeurs (utilisateurs), avec un calendrier de mise en œuvre progressif.
Portée et critères de classification
L'AI Act définit les systèmes d'IA à haut risque en fonction de leur finalité prévue et du secteur dans lequel ils opèrent. Pour les produits déjà réglementés par les lois existantes de l'UE (par exemple, le règlement sur les dispositifs médicaux ou la directive sur les machines), le système d'IA est automatiquement considéré comme à haut risque s'il est un composant de sécurité. Pour les systèmes autonomes, la classification dépend de savoir si le système relève de l'un des huit domaines listés à l'annexe III, tels que l'identification biométrique, la gestion des infrastructures critiques, l'éducation et la formation professionnelle, l'emploi et la gestion des travailleurs, l'accès aux services essentiels, l'application de la loi, la migration et le contrôle des frontières, et l'administration de la justice.
La Commission européenne a le pouvoir de mettre à jour l'annexe III par des actes délégués, en ajoutant ou en supprimant des cas d'utilisation spécifiques en fonction des preuves de risque. Cette approche dynamique permet à la réglementation de s'adapter aux développements technologiques, y compris les progrès des modèles de apprentissage automatique et de apprentissage profond. Cependant, la loi inclut une exception étroite : si un système listé à l'annexe III ne présente pas de risque significatif de préjudice pour la santé, la sécurité ou les droits fondamentaux, un fournisseur peut argumenter en faveur d'une non-classification, sous réserve d'examen par les autorités nationales.
Obligations pour les fournisseurs
Les fournisseurs de systèmes d'IA à haut risque doivent mettre en œuvre un système de gestion de la qualité qui assure la conformité tout au long du cycle de vie du système. Les obligations clés incluent l'établissement d'un système de gestion des risques qui identifie, évalue et atténue les risques prévisibles, y compris les mauvais usages et les préjudices potentiels pour les groupes vulnérables. Ce processus doit être itératif, avec une surveillance continue et une mise à jour des évaluations des risques.
La gouvernance des données est une autre exigence critique. Les ensembles de données d'entraînement, de validation et de test doivent être pertinents, représentatifs et exempts de biais qui pourraient conduire à des résultats discriminatoires. Les fournisseurs doivent documenter la provenance des données, assurer un nettoyage et une préparation appropriés des données, et considérer le contexte spécifique de l'utilisation prévue. Pour les systèmes impliquant des architectures de réseaux neuronaux, cela signifie une validation rigoureuse pour éviter le surapprentissage ou la sous-représentation de certaines populations.
La documentation technique doit être rédigée avant la mise sur le marché du système, contenant des informations détaillées sur la finalité, la conception, le processus de développement et les mesures de performance du système. Cette documentation doit être tenue à jour et mise à disposition des autorités nationales compétentes sur demande. De plus, les fournisseurs doivent mettre en œuvre des capacités de journalisation automatique pour permettre la traçabilité des opérations du système, en particulier pour les systèmes qui apprennent en continu à partir de données réelles.
Évaluation de la conformité et enregistrement
Avant qu'un système d'IA à haut risque puisse être mis sur le marché de l'UE, il doit subir une procédure d'évaluation de la conformité. Pour la plupart des systèmes, cela implique une évaluation interne basée sur le propre système de gestion de la qualité et la documentation technique du fournisseur. Cependant, pour certaines catégories, telles que les systèmes d'identification biométrique, une évaluation par un tiers par un organisme notifié est requise. L'évaluation vérifie la conformité avec les obligations énoncées dans la loi, y compris la gestion des risques, la gouvernance des données et la transparence.
Une fois la conformité établie, le fournisseur doit rédiger une déclaration de conformité UE et apposer le marquage CE. Le système doit ensuite être enregistré dans une base de données à l'échelle de l'UE maintenue par la Commission européenne. Cet enregistrement inclut des informations sur le fournisseur, la finalité prévue du système et des liens vers la documentation technique. La base de données est accessible au public pour la plupart des systèmes à haut risque, avec un accès restreint pour les applications d'application de la loi et de migration afin de protéger les intérêts de sécurité.
Transparence et surveillance humaine
Les systèmes d'IA à haut risque doivent être conçus pour permettre une surveillance humaine efficace. Cela signifie que des personnes physiques doivent être capables de comprendre la sortie du système, d'intervenir dans son fonctionnement et de remplacer ou d'annuler les décisions lorsque nécessaire. Le niveau de surveillance doit être proportionné au risque et à l'autonomie du système. Par exemple, un système utilisé dans le filtrage des candidatures à l'emploi doit permettre à un recruteur humain de revoir et de contester les décisions automatisées.
Les obligations de transparence exigent également que les utilisateurs soient informés lorsqu'ils interagissent avec un système d'IA à haut risque, sauf si cela est évident du contexte. Pour les systèmes qui génèrent du contenu synthétique, tels que les deepfakes, les fournisseurs doivent s'assurer que les sorties sont marquées dans un format lisible par machine pour indiquer leur origine artificielle. Cela est particulièrement pertinent pour les modèles de IA générative qui peuvent produire des images, de l'audio ou du texte réalistes.
Responsabilités des déployeurs
Les déployeurs, ou utilisateurs de systèmes d'IA à haut risque, ont leur propre ensemble d'obligations. Ils doivent utiliser le système conformément aux instructions d'utilisation fournies par le fabricant, ce qui inclut le respect de la finalité prévue et des limitations. Les déployeurs doivent également s'assurer que les données d'entrée sont pertinentes et non biaisées, et que le système est surveillé pour détecter des signes de dérive ou de dégradation des performances.
Dans les contextes d'emploi, les déployeurs doivent informer les employés qu'ils sont soumis à un système d'IA à haut risque et fournir des informations claires sur la logique du système et ses impacts potentiels. Pour les systèmes qui prennent des décisions affectant les droits des individus, tels que la notation de crédit ou l'assurance, les déployeurs doivent mener une évaluation d'impact sur les droits fondamentaux, en particulier lorsque le système traite des données sensibles ou implique des populations vulnérables.
Les déployeurs sont également responsables de maintenir les journaux automatiques générés par le système et de les conserver pendant une période spécifiée dans la réglementation, généralement six mois, sauf disposition contraire de la loi sectorielle. Ils doivent coopérer avec les autorités nationales et signaler tout incident grave ou dysfonctionnement pouvant entraîner un préjudice.
Gouvernance et application
L'application de l'AI Act est partagée entre les autorités nationales compétentes et la Commission européenne. Chaque État membre doit désigner au moins une autorité de notification et une autorité de surveillance du marché. La Commission européenne établira un Conseil européen de l'intelligence artificielle pour faciliter une application cohérente dans toute l'UE et pour conseiller sur les questions techniques et éthiques.
Les pénalités pour non-conformité sont significatives. Les amendes peuvent atteindre jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial d'une entreprise, selon le montant le plus élevé, pour les violations liées aux pratiques interdites. Pour la non-conformité avec les obligations des systèmes à haut risque, les amendes peuvent atteindre jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires. Des amendes plus faibles s'appliquent pour la fourniture d'informations incorrectes aux autorités.
Calendrier et périodes transitoires
L'AI Act est entré en vigueur le 1er août 2024, avec un calendrier de mise en œuvre échelonné. Les interdictions de certaines pratiques d'IA, telles que la notation sociale et les techniques manipulatrices, sont devenues applicables le 2 février 2025. Les obligations pour les systèmes à haut risque sont introduites progressivement en fonction de la catégorie du système : ceux intégrés dans des produits réglementés ont une période de transition plus longue, avec une applicabilité complète d'ici le 2 août 2027. Les systèmes autonomes à haut risque listés à l'annexe III doivent se conformer d'ici le 2 août 2026, avec certaines exceptions pour les systèmes déjà sur le marché.
Les fournisseurs de modèles d'IA à usage général, y compris les systèmes de grands modèles de langage, ont des obligations de transparence supplémentaires qui s'appliquent à partir du 2 août 2025. Cela inclut la publication de résumés des données d'entraînement et la garantie de conformité avec la loi sur le droit d'auteur. La loi établit également un cadre de bacs à sable réglementaires pour permettre aux entreprises innovantes de tester des systèmes à haut risque sous conditions de supervision avant que la conformité complète ne soit requise.
Impact sur l'industrie et l'innovation
Les dispositions à haut risque de l'AI Act ont des implications significatives pour les entreprises technologiques, en particulier celles développant des systèmes de apprentissage automatique pour les secteurs réglementés. Des entreprises comme OpenAI, Anthropic et Google DeepMind doivent adapter leurs processus de développement pour répondre aux normes de documentation et de gestion des risques. Pour les fournisseurs de matériel tels que AMD, Intel et NVIDIA (bien que non explicitement nommés dans la loi), la réglementation influence indirectement la conception des accélérateurs d'IA, car ils doivent prendre en charge les fonctionnalités de journalisation et de traçabilité.
Les petites et moyennes entreprises peuvent rencontrer des défis pour répondre à la charge de conformité, mais la loi inclut des mesures pour les soutenir, telles que des frais réduits pour l'évaluation de la conformité et l'accès aux installations de test. La réglementation encourage également le développement de codes de conduite et de normes, ce qui peut aider à harmoniser les pratiques de conformité dans toute l'UE.
Dans l'ensemble, l'AI Act de l'UE représente un effort pionnier pour réglementer les systèmes d'IA à haut risque, établissant une référence mondiale pour la gouvernance de l'IA. Son succès dépendra d'une mise en œuvre efficace, d'une coopération internationale et de la capacité à équilibrer la sécurité avec l'innovation. Alors que le domaine de l'intelligence artificielle continue d'évoluer, l'approche basée sur le risque de la loi pourrait servir de modèle pour d'autres juridictions cherchant à relever les défis sociétaux posés par les technologies avancées d'IA.