Les autorités nationales de l'UE chargées de l'application de la loi sur l'IA sont les organes de surveillance nationaux désignés par chaque État membre de l'Union européenne pour faire appliquer la loi sur l'intelligence artificielle (loi sur l'IA), un règlement entré en vigueur le 1er août 2024. Ces autorités sont responsables du contrôle de la conformité aux exigences fondées sur les risques de la loi, de la conduite d'enquêtes et de l'imposition de sanctions en cas de violations dans leurs juridictions respectives. Le règlement établit un cadre dans lequel chaque État membre doit désigner au moins une autorité nationale compétente, qui comprend généralement une autorité de surveillance du marché et une autorité notifiante, pour superviser les systèmes d'IA mis sur le marché ou utilisés dans cet État.
La loi sur l'IA, proposée par la Commission européenne le 21 avril 2021, a été adoptée par le Parlement européen le 13 mars 2024 et approuvée à l'unanimité par le Conseil de l'UE le 21 mai 2024. Elle couvre la plupart des systèmes d'IA dans un large éventail de secteurs, avec des exemptions pour l'IA utilisée uniquement à des fins militaires, de sécurité nationale, de recherche ou pour un usage non professionnel. En tant que forme de réglementation des produits, elle ne crée pas de droits individuels ; elle impose plutôt des obligations aux fournisseurs d'IA et aux organisations qui utilisent l'IA dans un contexte professionnel. La loi peut s'appliquer de manière extraterritoriale aux fournisseurs situés hors de l'UE s'ils ont des utilisateurs dans l'UE, à l'instar du règlement général sur la protection des données de l'UE.
Désignation et structure
Chaque État membre est tenu de désigner des autorités nationales compétentes pour mettre en œuvre et faire appliquer la loi sur l'IA. Le processus de désignation implique la création d'une autorité de surveillance du marché, qui gère les contrôles de conformité et les actions d'exécution, et d'une autorité notifiante, qui gère l'évaluation et la notification des organismes d'évaluation de la conformité. Dans de nombreux États membres, ces fonctions sont confiées à des agences de réglementation existantes, telles que les autorités de protection des données ou les organismes de protection des consommateurs, tandis que d'autres ont créé des bureaux dédiés à la supervision de l'IA. Les autorités opèrent de manière indépendante dans leurs fonctions d'exécution, mais se coordonnent par l'intermédiaire du Conseil européen de l'intelligence artificielle, qui favorise la coopération nationale et garantit une application cohérente du règlement dans toute l'UE.
Les autorités nationales ont le pouvoir de demander des documents et des informations aux fournisseurs et aux déployeurs d'IA, de mener des inspections inopinées et d'accéder aux ensembles de données utilisés pour la formation et les tests des systèmes d'IA. Elles peuvent également émettre des avertissements, imposer des mesures correctives et ordonner le retrait ou le rappel de produits d'IA non conformes du marché. La loi exige que ces autorités disposent de ressources et d'une expertise suffisantes pour exercer leurs fonctions, y compris une connaissance technique des systèmes d'intelligence-artificielle et de leurs risques associés.
Pouvoirs d'exécution
Les pouvoirs d'exécution des autorités des États membres varient en fonction de la catégorie de risque du système d'IA. Pour les applications à haut risque, les autorités peuvent exiger des évaluations de conformité, imposer des actions correctives et suspendre ou interdire l'utilisation de systèmes qui présentent des menaces significatives pour la santé, la sécurité ou les droits fondamentaux. Pour les applications à risque inacceptable qui sont interdites par la loi, les autorités ont le pouvoir d'ordonner le retrait immédiat et peuvent imposer des amendes substantielles. La loi établit des cadres de sanctions que les États membres doivent mettre en œuvre, avec des amendes pour non-conformité pouvant atteindre un pourcentage du chiffre d'affaires annuel mondial de l'entreprise fautive ou un montant fixe, selon le montant le plus élevé.
Les autorités traitent également les plaintes des citoyens concernant les systèmes d'IA et doivent fournir des explications sur les décisions prises par les systèmes d'IA à haut risque qui affectent les droits des individus. Elles sont tenues de mettre en place des procédures accessibles pour signaler les violations et de protéger les lanceurs d'alerte qui signalent une non-conformité. L'approche d'exécution suit un modèle de sécurité des produits, où les obligations réglementaires sont assignées aux fournisseurs et aux déployeurs, et ces obligations deviennent plus exigeantes à mesure que l'impact potentiel sur la santé, la sécurité ou les droits fondamentaux augmente.
Coordination avec le Conseil européen de l'intelligence artificielle
Le Conseil européen de l'intelligence artificielle sert de mécanisme central de coordination pour les autorités des États membres. Il facilite l'échange d'informations, élabore des orientations sur l'interprétation cohérente de la loi et aide à résoudre les différends entre les autorités nationales. Le Conseil conseille également la Commission européenne sur les normes techniques et les questions de mise en œuvre. Les autorités des États membres sont tenues de participer activement aux activités du Conseil et de partager des informations sur les actions d'exécution, les résultats de la surveillance du marché et les risques émergents liés aux systèmes d'IA.
Le Conseil joue un rôle particulièrement important dans les cas impliquant des modèles d'IA à usage général, tels que les systèmes de grand-modele-de-langage, qui peuvent être déployés dans plusieurs États membres. Lorsqu'un risque systémique est identifié, le Conseil coordonne des enquêtes conjointes et garantit que les actions d'exécution sont cohérentes entre les juridictions. Cette coordination est essentielle car l'application extraterritoriale de la loi signifie que les fournisseurs situés hors de l'UE, y compris des entreprises comme OpenAI et Google DeepMind, peuvent être soumis à la supervision de plusieurs autorités nationales simultanément.
Responsabilités de surveillance fondées sur les risques
Les responsabilités de surveillance des autorités des États membres sont structurées selon les quatre niveaux de risque de la loi, plus la catégorie de l'IA à usage général. Pour les applications à risque inacceptable, qui sont interdites sauf exemptions spécifiques, les autorités doivent surveiller activement et faire appliquer les interdictions sur les systèmes d'IA qui manipulent le comportement humain, utilisent l'identification biométrique à distance en temps réel dans les espaces publics ou se livrent à la notation sociale. Pour les applications à haut risque dans des domaines tels que la santé, l'éducation, le recrutement, la gestion des infrastructures critiques, l'application de la loi ou la justice, les autorités vérifient la conformité aux obligations de qualité, de transparence, de supervision humaine et de sécurité, et peuvent exiger des évaluations d'impact sur les droits fondamentaux avant le déploiement.
Les systèmes à risque limité, y compris ceux qui génèrent ou manipulent des images, des sons ou des vidéos tels que les deepfakes, sont soumis à des obligations de transparence, et les autorités veillent à ce que les utilisateurs soient informés lorsqu'ils interagissent avec des systèmes d'IA. Les applications à risque minimal, telles que l'IA utilisée dans les jeux vidéo ou les filtres anti-spam, ne sont pas réglementées, et les États membres ne peuvent pas imposer de réglementations supplémentaires en raison des règles d'harmonisation maximale. Pour l'IA à usage général, les autorités supervisent les exigences de transparence, y compris les résumés des données de formation et les politiques de droits d'auteur, avec des évaluations supplémentaires requises pour les modèles à haute capacité qui présentent des risques systémiques.
Sanctions et mesures correctives
La loi exige que les États membres établissent des sanctions efficaces, proportionnées et dissuasives pour les violations. Les montants spécifiques des amendes sont déterminés par le droit national, mais la loi fixe des niveaux maximaux que les États membres doivent mettre en œuvre. Pour les violations impliquant des applications d'IA à risque inacceptable, les amendes peuvent atteindre jusqu'à 7 % du chiffre d'affaires annuel mondial de l'entreprise fautive ou 35 millions d'euros, selon le montant le plus élevé. Pour les violations d'autres obligations, telles que celles liées aux systèmes à haut risque ou à l'IA à usage général, les amendes peuvent atteindre jusqu'à 3 % du chiffre d'affaires annuel mondial ou 15 millions d'euros. La fourniture d'informations incorrectes ou trompeuses aux autorités peut entraîner des amendes allant jusqu'à 1 % du chiffre d'affaires annuel mondial ou 7,5 millions d'euros.
Les autorités ont également le pouvoir d'imposer des mesures correctives au-delà des sanctions financières, y compris l'obligation pour les fournisseurs de mettre les systèmes d'IA en conformité, la restriction ou l'interdiction de la mise sur le marché de systèmes non conformes, et l'ordre de rappel des produits déjà en usage. Dans les cas urgents où un système d'IA présente un risque grave, les autorités peuvent prendre des mesures immédiates avant de terminer une évaluation complète, sous réserve d'un examen ultérieur.
Calendrier de mise en œuvre et transition
Les dispositions de la loi sur l'IA sont mises en œuvre progressivement sur 6 à 36 mois à compter de l'entrée en vigueur le 1er août 2024. Les autorités des États membres devaient être désignées et opérationnelles dans les premiers mois de la mise en œuvre. Les interdictions sur les applications à risque inacceptable sont devenues applicables après six mois, tandis que les obligations pour l'IA à usage général et les systèmes à haut risque sont introduites progressivement sur des périodes plus longues. Le projet de loi a été révisé pour répondre à la popularité croissante des systèmes d'IA générative, tels que ChatGPT, dont les capacités à usage général ne correspondaient pas au cadre principal, et cette révision a ajouté la catégorie de l'IA à usage général en 2023.
Pendant la période de transition, les autorités des États membres développent leurs procédures opérationnelles, recrutent du personnel technique et établissent des protocoles de coopération avec d'autres organismes de réglementation. Elles préparent également des documents d'orientation pour les entreprises opérant dans leurs juridictions et participent à l'élaboration de normes harmonisées qui soutiendront les évaluations de conformité. La mise en œuvre progressive est conçue pour donner aux autorités et aux entités réglementées le temps de s'adapter aux nouvelles exigences tout en garantissant que les risques les plus graves sont traités rapidement.
Relations avec d'autres organismes de réglementation
Les autorités des États membres en vertu de la loi sur l'IA opèrent aux côtés d'autres organismes de réglementation ayant des responsabilités connexes. Elles se coordonnent avec les autorités de protection des données, en particulier pour les systèmes d'IA qui traitent des données personnelles, et avec les régulateurs sectoriels dans des domaines tels que la santé, les services financiers et les transports. La loi interagit également avec la législation existante sur la sécurité des produits, et les autorités doivent veiller à ce que leurs actions d'exécution soient cohérentes avec d'autres règlements de l'UE. Dans les cas où les systèmes d'IA sont utilisés en conjonction avec d'autres technologies, telles que les modèles de Machine learning déployés via des services cloud de fournisseurs comme Amazon Web Services ou Microsoft Azure, les autorités peuvent devoir se coordonner à travers plusieurs cadres réglementaires.
L'application extraterritoriale de la loi signifie que les autorités peuvent également coopérer avec des régulateurs de pays non membres de l'UE, en particulier pour les fournisseurs d'IA basés aux États-Unis, en Chine ou dans d'autres grands pôles de développement de l'IA. Cette dimension internationale ajoute de la complexité à l'exécution, car les autorités doivent équilibrer les exigences de la loi avec les cadres juridiques d'autres juridictions tout en garantissant que les citoyens de l'UE sont protégés contre les applications d'IA nuisibles.