AI Act européen : un compromis de haute lutte, de rares interdictions

Après d'intenses négociations, la Commission, le Conseil et le Parlement européens sont parvenus à un accord sur le règlement sur l'intelligence artificielle (AI Act).

Les négociations auront été intenses. Il a fallu un record, 37 heures de négociations, pour que les représentants du Parlement, du Conseil et de la Commission européenne parviennent à un accord sur le règlement sur l’intelligence artificielle (AI Act), vendredi 8 décembre, tard dans la nuit.

Un événement « historique », ont souligné Thierry Breton, commissaire européen pour le marché intérieur, et Carme Artigas, secrétaire d’État espagnole à la numérisation et à l’intelligence artificielle. Et de se féliciter que l’Union européenne fasse partie des précurseurs en matière de législation de l’intelligence artificielle (IA), but ouvertement affiché depuis le début des travaux sur le texte.

Car les dernières semaines, et notamment le coup de frein des gouvernements français, allemand et italien, ont fait douter de la capacité des institutions européennes à se fixer sur un texte avant la fin de la présidence espagnole (fin décembre 2023), ou l’arrêt des travaux parlementaires pour cause d’élections européennes (qui auront lieu en juin 2024).

Tout l’enjeu, pour les négociateurs, était de trouver le juste équilibre entre la limitation des potentielles dérives de l’intelligence artificielle et la préservation d’un environnement concurrentiel suffisamment souple pour permettre aux sociétés et chercheurs européens de développer leurs produits.

• AI Act : la France, l’Allemagne et l’Italie ne veulent pas réguler les modèles « de fondation »

Fin de discussions sous tension

Proposé pour la première fois en avril 2021, le règlement européen est passé en phase de trilogue après l’adoption de la version du Parlement européen, l’été dernier. S’il était évident que les débats entre les trois principales institutions européennes seraient intenses, l’AI Act semblait sur les rails.

Et puis, il y a quelques semaines, le brusque blocage sur la régulation des modèles dits « de fondation » a semé le doute (vous êtes perdus dans le vocabulaire ? Lisez notre lexique.) Bien ancré dans toutes les têtes, le calendrier contraint a conduit certains observateurs à proposer le report des travaux au-delà des élections parlementaires (comme le souligne le journaliste Luca Bertuzzi, en langue de Bruxelles, proposer de repousser un texte signifie souvent qu’on n’en veut pas).

Sauf que l’enjeu, pour l’Union Européenne, n’est pas que de réguler sur le marché intérieur. Il est, aussi, de se placer en précurseur législatif pour influencer le reste du monde, comme elle a pu le faire avec le RGPD.

Or, la Chine a déjà avancé sur les cadres qu’elle souhaite poser au développement de ce type de technologies de pointe, adoptant une nouvelle loi spécifique aux IA générative en août dernier. Côté États-Unis, Joe Biden a pris fin octobre un décret pour jeter les premières bases d’une régulation de l’intelligence artificielle. Autant d’éléments qui ajoutaient à la pression ambiante.

Ce que prévoit cette version du texte

En pratique, l’accord finalement trouvé définit l’intelligence artificielle quasiment comme le fait l’OCDE (qui a fait évoluer sa définition « pour éclairer » les travaux l’AI Act). Le règlement ne s’appliquera pas aux logiciels libres, sauf si ceux-ci tombent dans les catégories de systèmes à haut risque, d’IA dédiées à manipuler les comportements, ou dans des catégories interdites. Comme prévu, le texte adopte en effet une approche en quatre catégories de risque, dont les plus importants, dits « inacceptables », entrainent l’interdiction.

En termes d’interdictions, le Parlement aurait voulu bannir une longue série d'applications, mais la résistance du Conseil (qui réunit les chefs d’État et du gouvernement) s’est faite très forte. En définitive, les interdictions à cause de risques jugés inacceptables concernent les techniques de manipulation, la notation sociale, le scraping massif d’images intégrant des expressions faciales (à la Clearview AI) et les systèmes d’exploitation des failles de sécurité.

Si le Parlement voulait interdire les logiciels de reconnaissance des émotions, notamment au travail, dans l’éducation, dans la police et le contrôle des migrations, le Conseil a obtenu de ne se pencher que sur les deux premiers cas. Par ailleurs, il a fait inscrire dans le texte une large exemption pour les systèmes utilisés à des fins militaires ou de défense.

De même, le Parlement a dû abandonner son souhait d’interdire l’identification biométrique en temps réel en échange de son usage pour quelques cas prédéfinis de lutte contre le terrorisme ou contre des crimes graves.

Pour les IA génératives, le règlement prévoit un contrôle de la qualité des données utilisées, pour s’assurer du respect de la législation existante sur les droits d’auteurs. Les développeurs devront par ailleurs s’assurer que les créations de leurs machines indiquent clairement que celles-ci ont été générées par IA.

Plusieurs autres mesures d’autorégulation sont prévues dans le texte : les établissements publics et privés qui fournissent des missions essentielles de services publics (hôpitaux, écoles, banques, etc) et qui compteraient développer des modèles à haut risque devront d’abord réaliser des études d’impact.

Pour mettre en œuvre les dispositions relatives aux modèles de fondation, l’AI Act prévoit la création d’un bureau de l’IA, au sein de la Commission. Les systèmes seront par ailleurs supervisés par les autorités nationales compétentes, qui se réuniront en Comité européen de l’intelligence artificielle, sur le modèle de ce qui existe pour la protection des données.

Le texte prévoit par ailleurs un forum consultatif pour recueillir les réactions des parties prenantes, société civile comprise, et d’un groupe d’experts indépendants, pensé pour aider à la qualification des modèles présentant des risques systémiques. En cas d’irrespect du règlement, l’AI Act prévoit des amendes qui peuvent grimper jusqu’ à 7 % du chiffre d’affaires mondial ou 35 millions d’euros.

• AI Act et reconnaissance faciale : la France interpelée par 45 eurodéputés
• AI Act : l’impact de la position française sur les droits humains inquiète

Des réactions contrastées

Si Thierry Breton, aux manettes des négociations, s’est félicité du résultat obtenu vendredi soir, Jean-Noël Barrot, ministre français du Numérique, s’est montré plus circonspect. « Nous allons analyser attentivement le compromis trouvé aujourd'hui et nous assurer dans les prochaines semaines que le texte préserve la capacité de l'Europe à développer ses propres technologies d'intelligence artificielle et préserve son autonomie stratégique », a-t-il ainsi déclaré sur France Inter.

Dans les jours qui précédaient, l’influence auprès du gouvernement de l’ancien secrétaire d’État chargé du numérique Cédric O, depuis devenu conseiller pour la start-up Mistral AI, était abondamment scrutée. Son lobbying intense pour éviter la régulation des modèles de fondation a notamment été pointé comme faisant le jeu des constructeurs les plus avancés… et notamment des Américains comme OpenAI.

De fait, une fois l’accord sur l’AI Act annoncé, la Computer & Communications Industry Association (CCIA), principal lobby technologique, notamment financé par Amazon, Apple, Facebook et Google, a décrit un accord « en demi-teinte ». « Malheureusement, la rapidité semble avoir prévalu sur la qualité, avec des conséquences potentiellement désastreuses pour l'économie européenne », a déclaré le directeur de CCIA Europe, Daniel Friedlaender.

Professeur en informatique créative et sociale à Goldsmiths (université de Londres), ancien d’Amnesty International, Dan Macquillan regrette de son côté l'approche par les risques du texte, qu'il oppose à celle basée sur les droits du RGPD (c’est-à-dire qui permet aux citoyens européens d’actionner des droits). Citant Naomi Klein, il compare le règlement à une stratégie du choc qui servirait principalement à l’industrie numérique.

Si la conclusion des négociations du trilogue est un point d’étape important, les détails techniques doivent encore être finalisés avant que le texte ne soit soumis aux représentants des États membres, puis formellement adopté par le Parlement et le Conseil. À suivre, donc, pour connaître les détails précis du texte.