AI Act : Tout savoir sur la Loi Européenne sur l'Intelligence Artificielle

Fruit de longues discussions, l'AI Act établit un cadre juridique pour l'usage de l'IA, visant à minimiser les risques tout en stimulant l'innovation et la confiance. Ce règlement pionnier souligne l'engagement de l'UE envers une IA éthique, cherchant à sauvegarder les droits des citoyens, ainsi que leur sécurité et santé.

Il s'applique à toutes entités offrant ou utilisant de l'IA dans l'UE, y compris celles basées à l'extérieur, à l'image du RGPD. L'AI Act exige une utilisation responsable et transparente de l'IA. Nous examinerons ses éléments clés, la classification des risques, et les étapes de mise en œuvre.

AI Act : Chiffres clés et dates importantes 📜

La mise en œuvre de l'AI Act est jalonnée de plusieurs dates clés et chiffres significatifs, indispensables pour saisir le calendrier de son déploiement.

Adoption et Publication

• Le Parlement Européen a approuvé l'AI Act le 13 mars 2024(artificialintelligenceact.eu)
• L'adoption formelle par le Conseil Européen a eu lieu le 21 mai 2024(artificialintelligenceact.eu)
• Le document officiel a été publié dans le Journal Officiel de l'Union Européenne le 12 juillet 2024 (artificialintelligenceact.eu)

Entrée en Vigueur

L'AI Act a pris effet le 1er août 2024, soit 20 jours après sa publication officielle. Toutefois, son application intégrale n'interviendra qu'à l'issue d'une période de transition de 24 mois, donc en été 2026.

Délais de Conformité

Les organisations sont tenues de respecter des délais précis.

• Les systèmes d'IA jugés interdits ou représentant un risque inacceptable doivent être retirés ou ajustés pour être conformes dans un délai de 6 mois à compter de la date d'entrée en vigueur de la loi, soit avant le 2 février 2025. (Discerningdata) 
• Les exigences en matière de gouvernance et les obligations liées aux modèles d'IA à usage général (GPAI) s'appliqueront dans les 12 mois suivant l'entrée en vigueur, offrant aux organisations jusqu'au 1er août 2025 pour se conformer. (Commission.europa) 
• Les systèmes d'IA à haut risque devront se conformer dans les 24 mois suivant l'entrée en vigueur de la loi, soit en août 2026. Cependant, certaines catégories de systèmes à haut risque, comme ceux soumis à la législation de santé et de sécurité existante, auront jusqu'à 36 mois (août 2027) pour se conformer. (artificialintelligenceact.eu) 

Autres échéances

Des obligations spécifiques, notamment celles concernant les systèmes d'IA impliqués dans les grands systèmes d'information établis par la législation de l'UE (comme le Système d'Information Schengen), devront être réalisées d'ici à la fin de 2030.

AI Act : Les points essentiels à connaitre ✍️

Cette législation couvre plusieurs aspects fondamentaux, assurant à la fois la sécurité et le respect des droits fondamentaux. Découvrons ensemble les éléments clés de l'AI Act.

Dispositions Générales

Le premier chapitre de l'AI Act délimite son champ d'application et les impacts attendus sur le marché. Il pose les bases en définissant les principes et objectifs principaux, tels que la sécurité des utilisateurs et la protection des droits fondamentaux.

Pratiques d'IA Interdites

L'AI Act identifie les applications d'IA jugées inacceptables et donc interdites, en raison de leur potentiel de nuisance. Parmi elles, la notation sociale, la manipulation subconsciente, l'exploitation des vulnérabilités des individus, et l'utilisation de la reconnaissance faciale en temps réel.

Classification des Systèmes d'IA

Les systèmes d'IA sont classés selon leur niveau de risque, allant de l'inacceptable au minimal. Les applications considérées comme à haut risque incluent celles déployées dans des secteurs sensibles tels que l'éducation, l'emploi, ou encore les infrastructures critiques.

Exigences pour les Systèmes à Haut Risque

Les systèmes d'IA à haut risque doivent respecter des normes rigoureuses. Les fournisseurs doivent mettre en place une gestion des risques efficace, assurer une gouvernance des données adéquate, fournir une documentation technique détaillée, et tenir à jour des registres des activités critiques. De plus, des instructions claires doivent être fournies aux utilisateurs pour garantir une utilisation sécurisée.

Obligations des Fournisseurs et Déployeurs

Les fournisseurs et déployeurs de systèmes d'intelligence artificielle (IA) à haut risque doivent respecter des obligations précises. Les fournisseurs doivent garantir que les systèmes sont conçus et testés pour minimiser les risques. De leur côté, les déployeurs doivent s'assurer de l'utilisation de ces systèmes conformément aux instructions fournies et aux normes réglementaires.

Transparence pour les Systèmes d'IA et les Modèles GPAI

Le Chapitre IV de l'AI Act met en avant la nécessité de transparence pour les systèmes d'IA qui interagissent avec les personnes, analysent les émotions ou classifient des catégories sociales à partir de données biométriques. Il est impératif que les fournisseurs informent clairement les utilisateurs lorsqu'ils interagissent avec un système d'IA et qu'ils puissent identifier aisément le contenu généré par l'IA.

Modèles d'IA à Usage Général (GPAI)

Les modèles d'intelligence artificielle à usage général (GPAI) sont régis par des règles spécifiques. Les fournisseurs de ces modèles doivent répondre à des obligations détaillées, incluant la gestion des risques et la documentation technique. Les modèles GPAI présentant des risques systémiques doivent faire l'objet d'évaluations et d'investigations par l'AI Office.

Mesures en Support de l'Innovation

Le Chapitre VI de l'AI Act propose des mesures visant à encourager l'innovation dans le secteur de l'IA. Parmi ces mesures figurent les sandboxes réglementaires, qui permettent de tester les systèmes d'IA à haut risque dans un environnement contrôlé.

Gouvernance

La gouvernance de l'AI Act est confiée à l'AI Office, instauré au sein de la Commission européenne. Cet office est chargé de superviser la mise en œuvre et le respect des normes par les fournisseurs de modèles GPAI.

Les autorités nationales et l'AI Board jouent également un rôle essentiel dans la gouvernance et le contrôle de la conformité à la réglementation.

Base de Données EU pour les Systèmes d'IA à Haut Risque

Une base de données européenne sera établie pour recenser les systèmes d'intelligence artificielle (IA) considérés comme à haut risque, améliorant ainsi leur surveillance et leur suivi.

Surveillance du Marché et Partage d'Informations

Le Chapitre IX de l'Acte sur l'IA énonce les règles relatives à la surveillance du marché, au partage d'informations, ainsi qu'aux mesures d'enquête et d'application. Il est exigé des fournisseurs qu'ils communiquent les détails concernant les incidents sérieux, tandis que les autorités ont le pouvoir de conduire des enquêtes pour vérifier la conformité.

Codes de Conduite et Lignes Directrices

Des lignes directrices seront établies par la Commission européenne pour faciliter l'application de cette réglementation. Ces codes de conduite fourniront aux fournisseurs et aux utilisateurs finaux les clés pour comprendre et se conformer aux exigences légales.

Confidentialité et Sanctions

Le Chapitre XII de l'Acte sur l'IA détaille les sanctions administratives applicables en cas de non-respect. Certaines amendes peuvent varier entre 1 % et 7 % du chiffre d'affaires annuel global de l'entreprise, ou atteindre des montants fixes allant de 7,5 à 35 millions d'euros. 

Dispositions Finales

Le Chapitre XIII de l'Acte sur l'IA présente les dispositions finales, y compris les modifications apportées à d'autres lois existantes. Cela garantit une uniformité dans le cadre juridique de l'UE en matière d'IA. 

IA Act : Pourquoi une loi sur l'IA ? 🧠

La création d'une législation européenne sur l'intelligence artificielle (IA) est principalement motivée par les nombreux défis et risques associés à l'utilisation de ces systèmes. Malgré les critiques, cette initiative vise à adresser plusieurs enjeux clés.

Avantages et Risques de l'IA

L'intelligence artificielle comme celle développée par Ringover et présente dans ses différentes solutions apporte d'importants avantages, comme l'automatisation de tâches répétitives, l'analyse exhaustive de données volumineuses, et l'optimisation de l'efficacité dans divers domaines.

Néanmoins, d'autres types d'IA avancées appliquées à d'autres secteurs sensibles s'accompagnent de risques significatifs, soulignant le besoin d'une réglementation rigoureuse.

Erreurs et Biais Cognitifs

Vous n'êtes pas sans savoir que les systèmes d'IA sont susceptibles de faire des erreurs et peuvent être affectés par des biais cognitifs.

Ces derniers, qu'ils soient involontaires ou le résultat de préjugés dans les données d'entraînement, peuvent conduire à des décisions discriminatoires ou injustes.

Discrimination et Inégalités

L'emploi de l'IA peut mener à des pratiques discriminatoires, touchant en particulier les groupes vulnérables. Des méthodes comme la notation sociale, interdites par l'AI Act, présentent un risque d'exacerber les inégalités sociales.

Impacts sur la Protection des Données

Le fonctionnement des systèmes d'IA implique souvent le traitement de vastes ensembles de données personnelles, posant de sérieux risques pour la protection de la vie privée. L'AI Act ambitionne de s'assurer que le traitement de ces données soit effectué de façon transparente et sécurisée, conformément au Règlement Général sur la Protection des Données (RGPD).

Protection des Droits Fondamentaux

L'AI Act a pour but principal de sauvegarder les droits fondamentaux des citoyens européens, incluant le droit à la dignité humaine, le respect de la vie privée, et la non-discrimination.

En régulant l'usage de l'IA, l'Union Européenne aspire à trouver un équilibre entre l'innovation technologique et la protection des individus.

Intégrez facilement l'IA à vos process

Exploitez la puissance de l'IA pour automatiser vos tâches répétitives et vous concentrer sur l'essentiel

Essayer Empower

AI Act : la classification des Risques et Obligations ⚖️

L'AI Act propose une approche orientée vers le risque pour la classification des systèmes d'intelligence artificielle. Cette méthode est essentielle pour identifier les obligations auxquelles les fournisseurs et les utilisateurs doivent adhérer.

Découvrez ci-dessous les catégories de risque majeures et leurs obligations correspondantes :

Risques Inacceptables

Les pratiques d'IA jugées inacceptables sont interdites en raison de leur dangerosité pour la sécurité et les droits fondamentaux des individus. Les exemples incluent les systèmes de notation sociale, la manipulation subliminale, l'exploitation des vulnérabilités des personnes et l'utilisation de la reconnaissance faciale biométrique en temps réel dans les lieux publics.

Risques Élevés

Les systèmes d'IA considérés à haut risque sont ceux ayant un impact important sur la santé, la sécurité ou les droits fondamentaux des individus. Ils sont soumis à des règles strictes et doivent satisfaire plusieurs conditions :

• Être utilisés comme éléments de sécurité ou dans des produits réglementés par des lois spécifiques de l'UE mentionnées dans l'Annexe I, et nécessiter une évaluation de conformité externe.
• Appartenir aux cas d'usage spécifiés dans l'Annexe III, sauf s'ils accomplissent des tâches procédurales précises, améliorent des activités humaines déjà effectuées, identifient des schémas décisionnels sans influencer les décisions, ou préparent des évaluations pertinentes pour les cas d'usage de l'Annexe III.

Obligations pour les Systèmes à Haut Risque

Les fournisseurs de systèmes d'IA à haut risque sont tenus de mettre en place une gestion des risques tout au long du cycle de vie du produit. Ils doivent aussi :

• Garantir une bonne gouvernance des données, en s'assurant que les données utilisées pour l'entraînement, la validation et les tests soient pertinentes, représentatives et sans erreurs.
• Élaborer une documentation technique prouvant la conformité et fournir les informations nécessaires aux autorités pour évaluation.
• Concevoir le système pour qu'il enregistre automatiquement les événements clés afin d'identifier les risques potentiels et les modifications importantes durant son cycle de vie.
• Fournir des instructions claires aux utilisateurs pour leur permettre de respecter les normes réglementaires.

Risques Limités

Les systèmes d'IA à risque limité doivent respecter des obligations de transparence.

Les développeurs et les utilisateurs doivent informer clairement les utilisateurs finaux lorsqu'ils interagissent avec un système d'IA, comme pour les chatbots ou les deepfakes, et s'assurer que le contenu généré par l'IA soit identifiable.

Risques Minimaux

Les systèmes d'IA présentant des risques minimaux, qui ne sont pas soumis à la réglementation, englobent la plupart des applications d'IA disponibles actuellement dans le marché unique de l'UE. Cela inclut, par exemple, les jeux vidéo qui utilisent l'IA et les filtres anti-spam.

Modèles GPAI avec Risques Systémiques

Les modèles d'IA à usage général (GPAI) identifiés comme présentant des risques systémiques nécessitent des mesures supplémentaires de conformité. Ces modèles sont jugés à risque systémique notamment lorsqu'ils requièrent une puissance de calcul pour leur formation excédant 10^25 FLOPS. Les obligations pour les fournisseurs de ces modèles incluent la réalisation d'évaluations, la conduite de tests pour contrer les attaques adverses, l'évaluation et la mitigation des risques systémiques, ainsi que la garantie d'une protection robuste en matière de cybersécurité.

Que dit l'IA Act sur la mise en conformité ? ✅

L'IA Act est un cadre réglementaire visant à assurer que les systèmes d'intelligence artificielle (IA) utilisés soient conformes aux exigences réglementaires.

Ce processus de mise en conformité est structuré et complexe, couvrant plusieurs aspects clés.

Sensibilisation et Formation des Équipes

La première étape vers la conformité consiste à sensibiliser et former les équipes aux nouvelles réglementations et principes de l'IA Act.

Cela nécessite de fournir une compréhension approfondie de la loi, y compris ses interdictions, obligations, et les principes éthiques fondamentaux.

Désignation d'un Pilote de Conformité

Il est essentiel de désigner un pilote ou un responsable de conformité dédié pour gérer et superviser les efforts de mise en conformité.

Cette personne doit posséder une connaissance approfondie de la réglementation, y compris des lois connexes comme le RGPD, et être familiarisée avec les technologies d'IA.

Cartographie des Systèmes d'IA

Effectuer une cartographie des systèmes d'IA est essentiel pour classer chaque système selon son niveau de risque.

Cette étape facilite l'application du cadre réglementaire approprié en fonction des risques identifiés, qu'ils soient inacceptables, élevés, limités, ou minimaux.

Mise en Conformité des Systèmes à Haut Risque

Les systèmes d'IA considérés à haut risque requièrent des mesures de conformité spécifiques.

Celles-ci comprennent l'instauration d'un système de gestion des risques, la création de documentation technique, la tenue de registres des événements significatifs, et la communication avec les utilisateurs.

Ces systèmes peuvent également nécessiter une évaluation de la conformité par une tierce partie.

Système de Gestion de la Qualité

L'AI Act exige la mise en place d'un système de gestion de la qualité, englobant une documentation complète incluant politiques, procédures, et autres documents essentiels pour prouver la conformité aux exigences légales.

Il est impératif que ces éléments et documents soient régulièrement vérifiés par des entités externes ou des départements internes autonomes.

Rôle des Autorités et de l'AI Office

La Commission européenne a établi un Bureau de l'intelligence artificielle (AI Office) chargé de développer des codes de bonne pratique, d'investiguer sur les violations potentielles, de gérer les sanctions et de promouvoir la recherche.

Les autorités nationales de chaque État membre jouent un rôle essentiel dans le contrôle et l'application de ces sanctions.

Sanctions et Mesures d'Exécution

Les conséquences d'une non-conformité à l'AI Act peuvent être graves, incluant des amendes allant jusqu'à 35 millions d'euros ou 7% du chiffre d'affaires annuel global de l'entreprise.

Ces sanctions sont conçues pour être justes, équilibrées et dissuasives, tout en considérant la situation financière des PME.

Mise en œuvre de l'IA Act : Le calendrier des prochains mois (et années) 📆

Entrée en Vigueur et Premières Échéances

L'AI Act est entré en vigueur le 1ᵉʳ août 2024, soit 20 jours après sa publication au Journal Officiel de l'Union européenne, le 12 juillet 2024. La pleine application de la loi se déploiera de manière progressive.

Suppression des Systèmes d'IA à Risque Inacceptable

Les systèmes d'IA présentant des risques inacceptables doivent être supprimés ou mis en conformité dans les 6 mois suivant l'entrée en vigueur, c'est-à-dire avant le 2 février 2025.

Cela concerne les pratiques interdites telles que la notation sociale, la manipulation subliminale, l'exploitation des vulnérabilités, et la catégorisation biométrique en temps réel dans les espaces publics.

Mise en Conformité des Modèles GPAI

Dans l'année suivant l'entrée en vigueur, soit avant le 2 août 2025, les règles de gouvernance et les obligations pour les modèles d'IA à usage général (GPAI) entreront en vigueur. Les organisations devront se conformer à ces nouvelles règles d'ici là.

Nomination des Autorités Compétentes

Le 2 août 2025, les États membres devront également nommer les autorités compétentes pour la surveillance et l'application de l'AI Act.

Plan de Surveillance et Sandboxes Réglementaires

D'ici le 2 février 2026, la Commission européenne mettra en place un modèle de plan de surveillance spécifique pour les fournisseurs de systèmes d'intelligence artificielle (IA) considérés comme à haut risque.

Parallèlement, chaque État membre de l'UE sera tenu d'établir au moins un environnement réglementaire de type bac à sable pour l'IA, garantissant une application pratique et sécurisée des nouvelles technologies.

Pleine Application de l'AI Act

À compter du 2 août 2026, soit 24 mois après son entrée en vigueur, l'AI Act sera pleinement opérationnel.

Cela signifie que toutes les règles concernant les systèmes d'IA à haut risque, comme ceux employés dans des domaines critiques tels que la biométrie, les infrastructures essentielles, l'éducation, l'emploi et l'accès aux services publics vitaux, devront être strictement respectées.

Mise en Conformité des Systèmes d'IA à Haut Risque Spécifiques

Les systèmes d'IA à haut risque déjà soumis à des réglementations européennes spécifiques, tels que les dispositifs médicaux, les équipements radio ou les véhicules agricoles, bénéficieront d'un délai supplémentaire de 12 mois pour se mettre en conformité avec l'AI Act. Ce délai étendu s'étend jusqu'au 2 août 2027.

Évaluation et Révision de la Loi

La Commission européenne procédera, avant le 2 août 2028, à une évaluation pour déterminer si la liste des systèmes d'IA nécessitant une transparence accrue doit être ajustée.

Elle réexaminera également l'efficacité des mécanismes de surveillance et de gouvernance en place. Une révision globale de l'AI Act est prévue avant le 2 août 2029, incluant la présentation d'un rapport au Parlement et au Conseil européen.

Conformité des Systèmes d'Information à Grande Échelle

Les systèmes d'IA intégrés dans des systèmes d'information de grande envergure, établis par la législation de l'UE comme le Système d'Information Schengen (SIS), devront se conformer à l'AI Act au plus tard le 31 décembre 2030.

AI Act : que retenir ?

La loi européenne sur l'Intelligence Artificielle (AI Act) de l'Union européenne représente un moment clé dans la réglementation de l'intelligence artificielle, établissant un cadre juridique solide pour assurer une utilisation de l'IA à la fois responsable et éthique.

Les éléments clés à retenir sont la classification des systèmes d'IA selon leur niveau de risque, l'interdiction de certaines applications d'IA jugées inacceptables en termes de risque, et l'instauration d'exigences rigoureuses pour les systèmes considérés comme à haut risque, y compris en ce qui concerne la gestion des risques, la gouvernance des données, et la transparence.

L'application de l'AI Act se déroulera progressivement, avec des délais allant de 6 mois pour les systèmes interdits jusqu'à 24 mois pour ceux à haut risque. Il est essentiel pour les entreprises de se préparer à ces changements, ce qui inclut la sensibilisation de leurs équipes, l'implémentation de systèmes de gestion de la qualité, et l'adhésion aux exigences spécifiques de la législation.

Il est impératif pour les organisations d'agir sans attendre afin de se conformer à l'AI Act. Cela signifie revoir leurs pratiques actuelles, former leur personnel, et instaurer les processus nécessaires pour se conformer aux nouvelles régulations. En prenant des mesures proactives, les entreprises peuvent non seulement éviter les pénalités, mais également participer à la création d'un cadre où l'innovation en matière d'IA est favorisée, tout en sauvegardant les droits fondamentaux et la sécurité des individus.

Sources

• https://artificialintelligenceact.eu
• https://www.discerningdata.com
• https://commission.europa.eu