Qu’exigera la loi européenne sur l’IA, et à partir de quand?

Le 13 mars, le Parlement européen a approuvé la législation sur l’intelligence artificielle par 523 voix contre 46, avec 49 abstentions. L’un de ses principaux négociateurs au Parlement l’a qualifiée de première loi contraignante sur l’IA au monde, et son contenu avait été convenu avec les gouvernements de l’Union européenne en décembre. Il reste deux étapes avant qu’elle ait force de loi : une révision juridique et linguistique finale du texte, et l’approbation officielle du Conseil, qui représente les États membres. Après sa publication au Journal officiel de l’Union européenne, elle entrera en vigueur 20 jours plus tard, et ses obligations commenceront ensuite à s’appliquer par étapes.

Cet article explique ce que dit le texte et quand chaque partie s’applique. Il s’agit d’une explication générale, pas d’un avis juridique; une entreprise réellement concernée devrait consulter un avocat qui pratique en droit de l’Union européenne.

Les quatre niveaux de la loi

La loi encadre l’IA selon l’ampleur du tort qu’un usage pourrait causer. Plus le risque est élevé, plus les obligations sont lourdes.

Pratiques interdites. Une courte liste d’usages sera interdite, dont la notation sociale, l’IA qui manipule le comportement ou exploite les vulnérabilités des personnes, la reconnaissance des émotions au travail et à l’école, la constitution de bases de données de reconnaissance faciale par la collecte d’images sur Internet ou de caméras de surveillance, la catégorisation biométrique fondée sur des caractéristiques sensibles et certaines formes de police prédictive. L’identification biométrique à distance par la police est interdite en principe, avec des exceptions étroites assorties de garanties strictes.

Systèmes à haut risque. Ils comprennent l’IA utilisée dans les écoles et la formation professionnelle, dans les infrastructures essentielles, dans l’emploi, dans les services essentiels comme les banques et la santé, dans certaines activités policières, dans la gestion de la migration et des frontières, et dans le système de justice. La proposition initiale de la Commission donnait des exemples concrets, comme un logiciel qui trie les candidatures ou qui évalue la solvabilité. Les systèmes à haut risque devront évaluer et réduire les risques, tenir des journaux de leur utilisation, être transparents et exacts, et faire l’objet d’une supervision humaine. Les personnes pourront porter plainte au sujet de systèmes d’IA et obtenir des explications sur les décisions à haut risque qui touchent leurs droits.

IA à usage général. Les modèles qui peuvent servir à de nombreuses tâches, comme ceux qui font fonctionner ChatGPT, Claude ou Gemini, devront respecter des exigences de transparence, notamment le respect des règles européennes sur le droit d’auteur et la publication d’un résumé détaillé de leurs données d’entraînement. Les modèles les plus puissants, ceux qui pourraient présenter des « risques systémiques », auront des obligations supplémentaires, comme des évaluations de modèles, l’atténuation des risques et le signalement des incidents.

Transparence pour tous les autres. Les images, les sons et les vidéos artificiels ou manipulés (les « hypertrucages ») devront être clairement signalés. Les usages de l’IA qui ne relèvent d’aucun de ces niveaux ont peu ou pas de nouvelles obligations; la proposition initiale encourageait pour eux des codes de conduite volontaires.

Les sanctions varient selon le manquement. En décembre, le Parlement a décrit des amendes allant de 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les infractions les plus graves jusqu’à 7,5 millions d’euros ou 1,5 % pour les moins graves, selon le manquement et la taille de l’entreprise.

Quand chaque partie s’applique

Tous les délais se comptent à partir de la date d’entrée en vigueur de la loi, soit 20 jours après sa publication.

Si la publication a lieu dans les prochains mois, comme le prévoit le Parlement, les interdictions s’appliqueraient vers la fin de cette année ou au début de la prochaine, et la majeure partie de la loi environ deux ans plus tard. Les pays devront aussi mettre en place des bacs à sable réglementaires, des espaces supervisés où les entreprises, y compris les petites entreprises et les jeunes pousses, peuvent tester l’IA avant de la mettre sur le marché.

S’applique-t-elle à une entreprise canadienne qui vend en Europe?

Fort possiblement, oui. L’Union européenne a conçu la loi pour couvrir l’IA qui atteint des personnes dans l’Union, où que soit établie l’entreprise. Dans la proposition de la Commission de 2021, sur laquelle s’appuie le texte final, les règles s’appliquaient aux fournisseurs qui mettent des systèmes d’IA sur le marché européen, qu’ils soient établis dans l’Union ou dans un pays tiers, ainsi qu’aux fournisseurs et aux utilisateurs situés hors de l’Union lorsque les résultats du système sont utilisés dans l’Union. Être à Montréal ou à Vancouver ne suffit pas, à lui seul, à y échapper. Vérifiez le libellé exact de l’article sur le champ d’application dans le texte final publié.

Voici une première vérification concrète pour une petite entreprise canadienne de logiciel-service (SaaS) qui a des clients européens. Répondez à chaque question dans l’ordre :

1. Votre IA est-elle utilisée par des personnes dans l’Union, ou ses résultats les atteignent-ils? Si non, la loi ne vous concerne probablement pas. Si oui, continuez.
2. Une fonction figure-t-elle sur la liste des interdictions? Par exemple, déduire les émotions des employés au travail. Si oui, elle devra cesser dans l’Union six mois après l’entrée en vigueur.
3. Est-elle utilisée dans un domaine à haut risque? Un outil qui classe des candidats à un emploi ou qui note des demandes de prêt est le cas typique. Si oui, prévoyez des évaluations des risques, la journalisation, de la documentation et une supervision humaine.
4. Construisez-vous un modèle à usage général, ou en utilisez-vous simplement un? La plupart des petites entreprises appellent le modèle d’une autre entreprise au moyen d’une API. Les règles sur les modèles visent surtout le fournisseur du modèle, mais vous devriez lui demander quelle documentation il vous remettra.
5. Génère-t-elle des images, des sons ou des vidéos d’apparence réelle? Prévoyez de les signaler.

Prenons un assistant de prise de rendez-vous pour des cliniques qui utilise un grand modèle de langage pour rédiger des rappels de rendez-vous. Il atteint des patients dans l’Union (question 1), ne fait rien d’interdit (2), ne relève pas d’un domaine à haut risque énuméré (3), utilise le modèle d’un tiers (4) et produit du texte, pas des médias réalistes (5). Ses principales tâches consisteraient à suivre le texte final et la documentation de son fournisseur. Un outil d’embauche qui classe des candidats aboutirait à un résultat très différent à la question 3.