Régulation et risques de l'IA

Régulation de l'Intelligence Artificielle en Europe : L'AI Act

Le présent document explore le Règlement (UE) 2024/1689 établissant des règles harmonisées en matière d'intelligence artificielle, plus communément appelé l'AI Act. Adopté le 1er avril 2024, ce texte pionnier vise à promouvoir une IA fiable, axée sur l'humain, tout en protégeant les droits fondamentaux des citoyens de l'Union européenne.

1. Le Règlement sur l'IA (AI Act)

L'AI Act est une législation européenne qui fournit des exigences et des obligations claires aux développeurs et aux déployeurs d'IA. Son objectif principal est d'améliorer le fonctionnement du marché intérieur et d'encourager l'adoption d'une intelligence artificielle digne de confiance, tout en garantissant un niveau élevé de protection de la santé, de la sécurité et des droits fondamentaux.

1.1. Champ d'application et Exclusions

L'AI Act s'applique à la plupart des systèmes d'IA développés et utilisés au sein de l'UE. Cependant, certaines exclusions existent :

• Les systèmes d'IA développés et utilisés à des fins militaires, de défense ou de sécurité nationale (Art. 2, § 3).

• Les systèmes ou modèles d'IA spécifiquement développés à des fins exclusives de recherche scientifique et de développement (Art. 2, § 6).

• L'utilisation de systèmes d'IA par des personnes physiques dans le cadre d'une activité strictement personnelle et non professionnelle (Art. 2, § 10).

1.2. Définition d'un Système d'IA selon l'AI Act (Art. 3, § 1)

Un système d'IA est défini comme un système automatisé :

• Conçu pour fonctionner à différents niveaux d'autonomie et capable d'adaptation après son déploiement.

• Qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu'il reçoit, la manière de générer des sorties (prédictions, contenu, recommandations, décisions) susceptibles d'influencer les environnements physiques ou virtuels.

1.3. Sanctions en cas de non-conformité

La législation prévoit des amendes en cas de violation des règles. Ces pénalités sont calculées sur la base d'un pourcentage du chiffre d'affaires mondial de l'entreprise de l'année précédente ou d'un montant fixe, le plus élevé des deux étant retenu. Des amendes proportionnelles sont appliquées pour les PME et les jeunes pousses.

2. Les Différentes Catégories de Risques

L'AI Act adopte une approche axée sur le risque, classifiant les systèmes d'IA en quatre catégories :

Risques inacceptables → Interdit

Haut risque → Autorisé et fortement régulé

Risque limité → Autorisé et faiblement régulé

Risque minimal → Pas d'obligations

2.1. Systèmes d'IA à Risque Inacceptable

Ces systèmes sont interdits en raison de leur potentiel à violer les droits fondamentaux. Exemples :

• Altération substantielle du comportement d'une personne avec risque de préjudice important.

• Exploitation des vulnérabilités d'un groupe spécifique.

• Manipulation des individus.

• Évaluation des personnes physiques (notation sociale), comme le "social scoring" chinois.

• Profilage des personnes susceptibles de commettre une infraction pénale.

• Utilisation de bases de données de reconnaissance faciale généralisées.

• Reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement.

• Utilisation de données biométriques et de catégorisation biométrique à grande échelle.

• Identification biométrique à distance en temps réel dans les espaces accessibles au public à des fins répressives (avec des exceptions très strictes).

La Commission européenne a publié des lignes directrices pour interpréter ces articles.

2.2. Systèmes d'IA à Haut Risque

Ces systèmes sont autorisés mais fortement régulés (Art. 6 AI Act). Ils sont divisés en deux catégories principales :

1. Les systèmes d'IA qui sont des produits ou des composants de sécurité de produits soumis à une évaluation de la conformité par un tiers selon d'autres actes législatifs de l'UE (voir Annexe I AI Act), tels que :

   • Dispositifs médicaux

   • Jouets

   • Ascenseurs

   • Machines

   • Équipements de protection individuelle

   • Véhicules à moteur et remorques

   • Aviation civile, marine, rail

   • 
     Exemple : un système de freinage basé sur l'IA et intégré dans une voiture.

2. Les systèmes d'IA utilisés dans des domaines spécifiques énumérés à l'Annexe III de l'AI Act :

   • Certains systèmes biométriques.

   • Infrastructures critiques.

   • Éducation et formation professionnelle (ex: un logiciel d'IA pour évaluer des examens).

   • Emploi, gestion des travailleurs et accès à l'emploi indépendant.

   • Accès et jouissance des services publics et privés essentiels.

   • Domaine répressif.

   • Gestion de la migration, asile et contrôle des frontières.

   • Administration de la justice et processus démocratique.

Exceptions pour l'Annexe III (Art. 6, § 3 AI Act) :

Un système d'IA visé à l'Annexe III est toujours à haut risque s'il fait du profilage. Cependant, un système d'IA visé à l'Annexe III n'est pas considéré à haut risque pour la santé, la sécurité ou les droits fondamentaux lorsque :

• Le système d'IA est destiné à accomplir une tâche procédurale étroite.

• Le système d'IA est destiné à améliorer le résultat d'une activité humaine préalablement réalisée.

• Le système d'IA est destiné à détecter des constantes en matière de prise de décision ou des écarts par rapport aux constantes habituelles antérieures, et non à se substituer à ou influencer l'évaluation humaine sans examen approprié.

• Le système d'IA est destiné à exécuter une tâche préparatoire en vue d'une évaluation pertinente aux fins des cas d'utilisation visés à l'Annexe III.

2.3. Obligations pour les Systèmes d'IA à Haut Risque (Art. 50 AI Act)

Les fournisseurs de systèmes d'IA à haut risque doivent adhérer à des obligations strictes :

• Mise en place de systèmes adéquats d'évaluation et d'atténuation des risques.

• Utilisation d'ensembles de données de haute qualité pour minimiser les risques et les résultats discriminatoires.

• Journalisation de l'activité pour assurer la traçabilité des résultats.

• Documentation détaillée fournissant toutes les informations nécessaires sur le système et sa finalité.

• Information claire et adéquate du déployeur.

• Mesures de surveillance humaine appropriées.

• Haut niveau de robustesse, de sécurité et de précision.

2.4. Systèmes d'IA à Risque Limité

Une faible régulation s'applique, principalement des obligations de transparence :

• Systèmes d'IA interagissant avec des individus (ex: chatbots).

• Systèmes générant ou manipulant du contenu (ex: deepfakes).

3. Systèmes et Modèles d'IA à Usage Général (GPAI)

L'AI Act distingue les systèmes et les modèles d'IA à usage général en raison de leur portée d'application :

Un modèle d'IA à usage général présentant un risque systémique est identifié si sa capacité d'impact est élevée (puissance de calcul dans l'entraînement > FLOPS) ou s'il est désigné comme tel par la Commission européenne.

4. Retour à la Question de Départ : Évaluation des Étudiants par l'IA

Le cas d'un logiciel d'IA évaluant les examens écrits des étudiants, composé d'un système de reconnaissance optique et d'un système de reconnaissance de formes, avec une approbation finale par le professeur, soulève des questions importantes.

Selon l'Annexe III de l'AI Act, "Éducation et formation professionnelle" est un domaine où les systèmes d'IA peuvent être à haut risque. Si ce logiciel fait du profilage, il serait classé comme "haut risque".

Cependant, s'il est destiné à accomplir une tâche procédurale étroite (comme la correction d'examens écrits selon des critères prédéfinis), à améliorer le résultat d'une activité humaine (le professeur), ou à exécuter une tâche préparatoire en vue d'une évaluation pertinente, et ne vise pas à se substituer à l'évaluation humaine, il pourrait ne pas être considéré comme "haut risque" au sens strict de l'Article 6, § 3. Néanmoins, il resterait soumis à des obligations de conformité strictes s'il répond aux critères de "haut risque".

Points Clés à Retenir

• L'AI Act est le cadre législatif européen pour l'IA, axé sur la gestion des risques et la protection des droits fondamentaux.

• Les systèmes d'IA sont classifiés en quatre catégories de risque (inacceptable, haut, limité, minimal), chacune avec des obligations spécifiques.

• Les systèmes d'IA à haut risque sont ceux qui affectent des domaines sensibles comme la santé, la sécurité ou les droits fondamentaux, et nécessitent une régulation stricte avec des obligations de conformité détaillées.

• La distinction entre systèmes d'IA à usage général et modèles d'IA à usage général est cruciale pour l'application des règles.

• Le déploiement d'une IA dans l'éducation pour l'évaluation des étudiants est un cas complexe qui doit être soigneusement analysé au regard des critères de haut risque de l'AI Act.