La proposition de règlement européen sur l’intelligence artificielle : vers une règlementation d’excellence ?
p. 17-31
Texte intégral
1Avec une réflexion nourrie par des résolutions1, des communications2, des rapports3, un livre blanc4, l’Union européenne s’est engagée dans la voie législative en matière de régulation de l’intelligence artificielle (IA), par une proposition de règlement établissant des règles harmonisées concernant l’intelligence artificielle présentée par la Commission européenne le 21 avril 20215. Cette proposition très ambitieuse vise à mettre en place un écosystème sécurisé reposant sur un cadre juridique garantissant une IA digne de confiance. Au regard des enjeux présentés par l’IA en matière politique, économique et sociétale, on peut se féliciter que la Commission européenne ait lancé cette initiative législative, alors que l’écart s’est déjà creusé entre l’Union européenne et les pays qui sont en pointe sur les technologies en matière d’IA, notamment les États-Unis et la Chine. Pour participer à cette course internationale à l’innovation, l’Union européenne a donc décidé de proposer sa propre réglementation afin d’assurer sa souveraineté en la matière et de défendre sa vision de l’IA6 ; une vision qui concilierait les valeurs de l’Union, les droits et les principes fondamentaux, notamment la protection des personnes, avec l’incitation à l’innovation et aux progrès technologiques7. Alors qu’elles concernent potentiellement la plupart des activités humaines, les applications en matière d’IA peuvent être très bénéfiques pour tous les secteurs économiques et sociaux, mais leur utilisation représente parfois des menaces, en raison de certaines de leurs caractéristiques telles que l’automatisation, l’opacité, la complexité, ou encore du fait des grandes quantités de données traitées, par exemple en matière d’algorithmes décisionnels. L’atteinte aux droits fondamentaux des personnes apparaît être le risque le plus évident, en particulier l’atteinte au droit à la vie privée et à la protection des données personnelles, même si d’autres risques existent en terme de discriminations par exemple, de risques économiques ou de risques pour la démocratie. C’est pourquoi l’Union européenne prend position sur la place que l’IA doit occuper dans notre société face aux risques que ces systèmes présentent et elle est déterminée à faire tout son possible pour adopter une approche équilibrée. Le défi est de taille puisqu’il s’agit de parvenir à faciliter la course à l’innovation technologique et le développement de l’utilisation de l’intelligence artificielle au sein de l’Union pour créer un véritable marché unique numérique, tout en empêchant que cette utilisation ne porte atteinte aux droits fondamentaux et aux valeurs défendues par l’Union européenne. Pour parvenir à cet équilibre délicat, la proposition repose sur une approche réglementaire horizontale de l’IA édictant des exigences minimales pour répondre aux risques présentés par l’IA. Il s’agit d’une approche transversale large des systèmes d’IA basée sur le droit du marché intérieur qui vise à favoriser le développement des systèmes d’IA tout en préservant les droits et libertés des individus, et notamment la protection des données personnelles8.
2Cet encadrement juridique repose sur le critère essentiel du système d’IA qui est défini à l’article 3, § 1, comme « un logiciel développé au moyen d’une ou plusieurs des techniques et approches énumérées à l’annexe I et qui peut, pour un ensemble donné d’objectifs définis par l’homme, générer des résultats tels que des contenus, des prédictions, des recommandations ou des décisions influençant les environnements avec lesquels il interagit ». C’est l’annexe I de la proposition qui précise les trois catégories de techniques et approches d’IA, à savoir les systèmes auto-apprenants, les systèmes logiques et les systèmes statistiques. Les techniques visées sont larges : aux techniques récentes et bien connues telle que l’apprentissage automatique, s’ajoutent l’approche connexionniste et l’approche symbolique. Le champ d’application du texte est donc extrêmement étendu, ce qui conduira à soumettre de nombreux systèmes d’IA à cette réglementation. Des exclusions du champ d’application ratione materiae existent toutefois pour les systèmes d’IA développés ou utilisés exclusivement à des fins militaires9, ainsi que ceux utilisés dans le cadre d’une activité personnelle, à caractère non professionnel10. Cependant, le caractère trop large de la définition retenue dans la proposition a été relevé et il s’agit de l’une des premières difficultés posées par le texte : ce choix d’une conception large de l’objet visé peut être justifié par la difficulté de trouver une définition juridique précise des systèmes d’IA en l’absence de consensus technique. Une telle définition large peut également permettre au texte de mieux résister au temps et aux rapides évolutions technologiques.
3Fondée sur les risques engendrés par les systèmes d’IA, la proposition introduit une approche reposant entièrement sur l’évaluation des risques11 : tous les systèmes d’IA sont visés, mais leur régime varie selon le risque que présente leur utilisation. Au sein de cet encadrement gradué, les règles sont très contraignantes lorsque le système d’IA présente un risque inacceptable ou un « haut » risque, alors qu’elles sont très souples voire inexistantes en cas de risque minime ou limité. En effet, les systèmes d’IA à haut risque sont soumis à des règles obligatoires, alors que les systèmes d’IA à risque limité sont visés par de simples obligations de transparence. Cette réglementation des systèmes d’IA est donc hybride selon les risques présentés par les systèmes : la proposition ne se préoccupant que des risques « importants » et créant pour ces risques des obligations fortes assorties de sanctions financières considérables en cas de manquement. Cette « catégorisation » des systèmes d’IA par niveaux de risque est justifiée par la volonté d’instaurer un encadrement « solide et souple », « complet et conçu pour résister à l’épreuve du temps » et proportionné au risque12. Les acteurs visés par le texte sont nombreux : il s’agit à la fois des acteurs du secteur public comme des entreprises du secteur privé, sous réserve des entreprises de petite taille comme les start-up, situées à l’intérieur de l’Union européenne. S’agissant du champ d’application ratione loci, comme pour le RGPD, une application extra-territoriale du texte est prévue à l’égard des fournisseurs situés à l’extérieur de l’Union européenne dès que le système d’IA est mis sur le marché ou mis en service dans l’Union ; le texte s’applique également à l’égard des utilisateurs situés dans l’Union ou lorsque le résultat du système est utilisé dans l’Union européenne.
4Cette proposition de règlement constitue l’un des premiers cadres juridiques sur l’IA : l’auto-régulation actuelle cèdera donc la place à une règlementation reposant sur un rôle important des autorités publiques. La difficulté est que la proposition de règlement pourrait ne pas atteindre son objectif d’équilibre, à savoir prévoir des dispositions assez précises pour être opérationnelles et effectives mais ne restreignant pas l’innovation des acteurs concernés13. Les préoccupations des entreprises sont vives face à un texte prospectif et d’anticipation qui vise à créer un écosystème d’excellence et de sécurité mais qui pourrait ne pas aboutir à l’alchimie recherchée. Pour déterminer si l’approche réalisée est bien équilibrée et proportionnelle aux enjeux contradictoires en présence, il s’agit ici d’envisager les principales caractéristiques de la proposition tout d’abord au regard de l’encadrement strict prévu pour les systèmes d’IA les plus risqués (I), avant d’exposer la difficulté de mise en œuvre de cet ambitieux cadre juridique (II).
I. L’encadrement strict des systèmes d’IA les plus risqués
5Le régime applicable dépend du niveau de risque engendré par le système d’IA : parmi les utilisations les plus à risque, une distinction est réalisée selon que le risque encouru est inacceptable (A) ou à haut risque (B).
A. Le principe de l’interdiction en présence de risques inacceptables
6La proposition est essentiellement consacrée aux systèmes d’IA les plus risqués et n’aborde les systèmes moins risqués que de manière résiduelle. La proposition vise « certains » systèmes d’IA présentant de faibles risques, trois hypothèses plus précisément, pour les soumettre à quelques obligations en matière de transparence14. Ces exigences de transparence s’imposent aux systèmes d’IA interagissant avec des personnes physiques qui doivent être informées qu’elles interagissent avec un système d’IA, sauf si c’est évident (art. 52 1) ; sont ici visés les systèmes de chatbox pour lesquels l’interlocuteur de la personne physique est un algorithme. Par ailleurs, les personnes physiques exposées au fonctionnement d’un système de reconnaissance des émotions ou d’un système de catégorisation biométrique doivent également en être informées. Enfin, en matière de « deep fakes », une information doit être délivrée sur le caractère artificiel du contenu dès que le système d’IA génère ou manipule des images ou des contenus audio ou vidéo présentant une ressemblance avec des personnes, des objets, des lieux ou d’autres entités ou événements existants et pouvant être perçus à tort comme authentiques ou véridique. L’exigence de transparence est écartée en cas d’utilisation du système d’IA en matière pénale ou encore lorsque cette utilisation « est nécessaire à l’exercice du droit à la liberté d’expression et du droit à la liberté des arts et des sciences garantis par la charte des droits fondamentaux de l’UE, et sous réserve de garanties appropriées pour les droits et libertés des tiers ». Au-delà des catégories de risques plus ou moins importants existent des risques minimes non envisagés par la proposition : par défaut, les systèmes qui présentent un risque minime ne sont pas régis par le texte. Ces autres systèmes d’IA à risque minime, par exemple les jeux vidéo, ne sont pas spécifiquement régis par la proposition, mais les fournisseurs de ces systèmes peuvent élaborer ou créer des codes de conduite de manière volontaire.
7Par conséquent, la base de la pyramide des risques est constituée des systèmes d’IA présentant un risque minime caractérisés par une absence de règlementation. Plus largement, à l’exception de quelques dispositions sur la transparence, le dispositif ne vise pas les systèmes à faible risque.
8À l’opposé de cette catégorie, la proposition de règlement prévoit en son titre II des utilisations interdites lorsque le risque est inacceptable au regard des menaces qu’un tel risque présente notamment en termes de droits fondamentaux. Quatre cas d’usages de l’IA sont visés par l’article 5, § 1 : il s’agit des systèmes d’IA qui recourent à des techniques subliminales pour influencer le comportement d’une personne, ceux qui exploitent des vulnérabilités de personnes, ceux qui permettent aux pouvoirs publics d’effectuer une notation sociale des individus, ou encore ceux qui consistent en des systèmes d’identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives. De tels usages de manipulation mentale, d’exploitation de la vulnérabilité de certains groupes de personnes, de notation sociale par les pouvoirs publics, et de reconnaissance faciale sont interdits, mais il existe des exceptions.
9Ces exceptions concernent toutes les systèmes de reconnaissance faciale15 pour lesquels l’interdiction est levée lorsque son utilisation est nécessaire pour « la recherche ciblée de victimes potentielles spécifiques de la criminalité, notamment d’enfants disparus ; la prévention d’une menace spécifique, substantielle et imminente pour la vie ou la sécurité des personnes physiques ou la prévention d’une attaque terroriste ; la détection, la localisation, l’identification ou les poursuites à l’encontre de l’auteur ou du suspect d’une infraction pénale punie d’une peine ou d’une mesure privative de liberté d’au moins trois ans ». Ces exceptions très larges sont assorties de modalités de mise en œuvre visant à garantir une utilisation nécessaire et proportionnée. En outre, ce recours à des systèmes de reconnaissance faciale est subordonné à une autorisation préalable octroyée par une autorité judiciaire ou par une autorité administrative indépendante de l’État membre dans lequel l’utilisation doit avoir lieu. Toutefois, l’exigence d’autorisation préalable est écartée en cas de situation d’urgence « dûment justifiée » : dans ce cas, l’autorisation peut intervenir en cours d’utilisation ou après l’utilisation de la reconnaissance faciale.
10Plusieurs remarques peuvent être faites à l’égard de ce principe d’interdiction de l’usage de systèmes d’IA présentant des risques inacceptables. Tout d’abord, l’interdiction ne traite pas d’utilisations qui pourraient également être très attentatoires aux droits fondamentaux des personnes. Il en est ainsi par exemple des usages de l’identification biométrique qui n’auraient pas lieu en temps réel ou qui interviendraient en dehors des espaces publics, par des entités publiques non liées à l’application de la loi, voire par les entreprises ou les particuliers. Au-delà de cette interdiction partielle, les dérogations qui peuvent être justifiées par leur efficacité en matière de lutte contre la criminalité conduisent à vider le principe d’une partie de sa substance malgré la mise en place de garde-fous. L’avis conjoint du Comité européen de la protection des données et du Contrôleur européen de la protection des données sur la proposition de règlement recommande d’ailleurs un encadrement très strict de l’identification biométrique par l’élargissement des interdictions à tout système biométrique utilisé pour classer les individus, pour déduire les émotions d’une personne, ou pour réaliser une notation sociale. Les autorités de protection des données personnelles proposent également le retrait des exceptions d’usage à l’interdiction générale de l’usage de l’identification biométrique à distance des personnes dans les espaces publics16. Si la catégorie des risques inacceptables apparait clairement délimitée, des difficultés peuvent surgir pour l’identification des systèmes d’IA à haut risque.
B. Le principe d’un contrôle renforcé pour les IA à haut risque
11Lorsque les systèmes d’IA présentent un haut risque, l’usage est autorisé à des conditions particulièrement strictes qui sont prévues par le titre III de la proposition. La qualification de haut risque est envisagée pour les systèmes d’IA présentant un risque élevé pour la santé, la sécurité, ou les droits fondamentaux des personnes physiques. L’identification du risque dépend à la fois de la fonction remplie par le système d’IA ainsi que de la finalité et des modalités spécifiques pour lesquelles ce système est utilisé. La qualification repose sur un double fondement des systèmes d’IA qui sont rattachés à la qualification de haut risque par leur lien à une législation harmonisée de l’UE visée à l’annexe II, ou par celui avec un secteur visé par l’annexe III. À ce titre, les modalités du rattachement des systèmes d’IA à la catégorie à haut risque sont précisées par les annexes de la proposition de règlement.
12Tout d’abord, la qualification renvoie à tout système constituant le composant de sécurité d’un produit ou constituant lui-même un produit couvert par une des législations harmonisées de l’UE mentionnées en annexe II et qui est soumis à une évaluation de conformité. Cette annexe II porte sur des secteurs variés et à fort potentiel économique. Mais la qualification dépend aussi d’une liste édictée par l’annexe III : les systèmes figurant dans cette annexe sont automatiquement classés dans les systèmes d’IA dont l’usage est à haut risque. En vertu de l’annexe III, les domaines dans lesquels ces hauts risques sont susceptibles d’apparaitre sont l’identification biométrique et catégorisation des personnes physiques, la gestion et exploitation des infrastructures critiques, l’éducation et formation professionnelle, l’emploi, gestion de la main d’œuvre et accès à l’emploi indépendant, l’accès et droit aux services privés essentiels, aux services publics et aux prestations sociales, les autorités répressives, la gestion de la migration, de l’asile et des contrôles aux frontières, l’administration de la justice et processus démocratiques. Cette liste est évolutive, puisque la Commission européenne pourra mettre à jour l’annexe III pour certaines catégories de systèmes d’IA qui présentent un risque de préjudice pour la santé et la sécurité, ou un risque d’incidence négative sur les droits fondamentaux « équivalent ou supérieur au risque de préjudice ou d’incidence négative que présentent les systèmes d’IA à haut risque déjà visés à l’annexe III »17. Ainsi, le texte sera le cas échéant adapté chaque année pour prendre en compte les évolutions technologiques.
13La catégorie des systèmes d’IA à haut risque est soumise à un régime de régulation très précis prévu par de nombreux articles : il s’agit des dispositions les plus détaillées de la proposition18. Le régime envisagé est lourd et consiste à évaluer la conformité et à gérer les risques avec un régime de conformité reposant sur des mécanismes de conformité ex ante et des garanties détaillées dans le chapitre 2 de la proposition. Avant la mise sur le marché, l’encadrement s’appuie tout d’abord sur la mise en œuvre d’une procédure continue de gestion des risques par le fournisseur. À ce titre, la vérification de la conformité repose sur un système de gestion des risques qui comporte : « (a) l’identification et l’analyse des risques connus et prévisibles associés à chaque système d’IA à haut risque ; (b) l’estimation et l’évaluation des risques susceptibles d’apparaître lorsque le système d’IA à haut risque est utilisé conformément à sa destination et dans des conditions de mauvaise utilisation raisonnablement prévisible ; (c) l’évaluation des autres risques susceptibles d’apparaitre, sur la base de l’analyse des données recueillies au moyen du système de surveillance après commercialisation visé à l’article 61 ; (d) l’adoption de mesures appropriées de gestion des risques (…) »19.
14Le régime implique aussi des exigences légales concernant les données et la gouvernance des données, et notamment pour les jeux de données d’entraînement, de validation et de test. Ainsi, il est nécessaire d’assurer la qualité des données et la gouvernance de celles-ci afin de réduire les risques et les effets discriminants. D’autres obligations existent concernant la tenue d’une documentation technique détaillée dont le contenu est précisé par l’annexe IV, ainsi que la tenue de journaux permettant l’enregistrement automatique des évènements et la traçabilité du fonctionnement du système d’IA.
15Le régime prévoit également une obligation de transparence et la fourniture d’information aux utilisateurs, un contrôle humain du système pour prévenir ou réduire les risques, des obligations concernant le niveau d’exactitude, de robustesse et de cybersécurité lors de la conception et du développement des systèmes d’IA, mais aussi tout au long du cycle de vie du système d’IA. Les prestataires doivent coopérer avec les autorités nationales compétentes, notamment aux fins d’évaluation de la conformité du système d’IA à haut risque. La procédure utilisée pour cette évaluation préventive peut être interne au fournisseur ou externe auprès d’une autorité de contrôle20 et elle peut conduire à la délivrance du marquage « CE » de conformité. Par ailleurs, avant sa mise sur le marché ou sa mise en service, l’IA à haut risque doit être enregistrée au sein de la base de données de l’UE dans un objectif de transparence et de suivi.
16Par conséquent, et sans qu’il soit possible ici de les détailler, de très nombreuses obligations sont imposées aux fournisseurs de systèmes IA à haut risque21, ainsi qu’à d’autres acteurs, notamment les producteurs, les distributeurs, les importateurs, les utilisateurs. Le dispositif sera vraisemblablement difficile à mettre en œuvre, d’autant qu’il faudra intégrer d’autres règles de conformité extérieures au futur règlement, notamment le RGPD.
17Cette pyramide des risques met en place un régime juridique gradué qui ne concernera qu’une partie des systèmes d’IA : ce régime différencié constitue un atout de la proposition qui n’impose pas des règles univoques. Toutefois, les difficultés pourraient se cristalliser sur cette qualification du risque tant les acteurs chercheront à échapper à la catégorie des systèmes d’IA à haut risque pour être soumis au dispositif résiduel en matière de risque limité ou minimal.
II. Une mise en œuvre délicate du dispositif par les différents acteurs
18La mise en œuvre du dispositif implique l’identification des opérateurs responsables (A), ainsi que la création d’une gouvernance spécifiquement dédiée (B).
A. Les opérateurs responsables
19Vu la complexité des systèmes d’IA, une difficulté peut intervenir pour identifier le responsable car des acteurs variés sont visés par le texte : fournisseur, petit fournisseur, utilisateur, mandataire, importateur, distributeur, fabricant de produits, ou encore opérateur.
20Au regard de la charge de la conformité, les obligations sont avant tout dirigées vers le fournisseur de systèmes d’IA qui est défini comme « une personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui développe ou fait développer un système d’IA en vue de le mettre sur le marché ou de le mettre en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit »22. De nombreuses obligations sont mises à la charge du fournisseur pour les IA à haut risque23, et il est tenu de toute mesure corrective nécessaire le cas échéant. Les exigences de conformité et plus largement les nombreuses obligations en matière de systèmes d’IA à haut risque sont exécutées par le fournisseur d’IA et sont prévues par le chapitre 3 du titre 3.
21Toutefois, un autre personnage important du dispositif de conformité est l’utilisateur défini comme « toute personne physique ou morale, autorité publique, agence ou organisme utilisant sous sa propre autorité un système d’IA, sauf lorsque ce système est utilisé dans le cadre d’une activité personnelle à caractère non professionnel »24. Il s’agit de viser des utilisations à titre professionnel qui doivent être conformes aux instructions d’utilisation, sous peine d’une requalification en fournisseur du système en cas de modification de l’usage25. Plus largement, toute personne susceptible d’interférer avec le système d’IA peut se voir requalifier en fournisseur et se voir ainsi transférer la responsabilité corrélative. En effet, cette qualité de fournisseur peut également être attribuée à une autre personne qui « met sur le marché ou met en service un système d’IA à haut risque sous son propre nom ou sa propre marque, (…) modifie la destination d’un système d’IA à haut risque déjà mis sur le marché ou mis en service, ou apporte une modification substantielle au système d’IA à haut risque »26.
22Ainsi, des incertitudes existent concernant les responsabilités respectives des opérateurs car les règles reposent sur des obligations larges, ce qui pourra en pratique présenter des difficultés en termes de délimitation des rôles respectifs des acteurs : aussi, le risque d’une requalification pourra constituer un enjeu en cas de contentieux en vue de soumettre plusieurs personnes aux obligations lourdes du dispositif27.
23En cas de non-respect de la conformité, d’importantes sanctions administratives sont prévues et ces sanctions diffèrent selon le manquement constaté. Ainsi, trois niveaux de montants sont prévus en cas de violation des règles : tout d’abord, l’amende peut s’élever jusqu’à 30 millions euros ou si l’auteur de l’infraction est une entreprise, jusqu’à 6 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, en cas de non-respect des pratiques interdites (art. 5) ou de non-conformité du système avec les exigences énoncées en matière de données et de gouvernance des données (art. 10)28. Ensuite, le non-respect de la conformité sur le fondement d’autres obligations est sanctionné par une amende qui peut aller jusqu’à 20 millions euros ou, si l’auteur est une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu29. Enfin, une amende pouvant aller jusqu’à 10 millions d’euros ou, en cas d’entreprise, jusqu’à 2 % de son chiffre d’affaires annuel mondial total peut être prononcée en cas de fourniture d’informations inexactes, incomplètes ou trompeuses aux organismes notifiés et aux autorités nationales compétentes en réponse à une demande.
24Pour diminuer les difficultés de mise en œuvre et les risques en termes de responsabilité, les opérateurs responsables pourront utiliser des dispositifs d’expérimentation, comme des sandboxes ou bacs à sable règlementaires, qui leur permettront de tester leurs systèmes d’IA. Ce sont les autorités nationales qui pourront instaurer de tels dispositifs d’expérimentation pour aider les entreprises dans la vérification du respect de leurs obligations : il s’agit de développer des systèmes d’IA dans un environnement contrôlé pour limiter les risques. Ces essais sont faits sous la surveillance et le contrôle directs des autorités compétentes pour garantir le respect des exigences du règlement30. Le recours aux bacs à sable réglementaires est également imposé en cas de traitement ultérieur de données personnelles en vue du développement de certains systèmes d’IA dans l’intérêt public. Ainsi, les autorités nationales compétentes sont encouragées à mettre en place des bacs à sable réglementaires pour offrir un environnement contrôlé pour tester les technologies novatrices lors des phases de développement. Les PME et les start-up bénéficieront de mesures d’accès prioritaire aux bacs à sable réglementaires de l’IA et plus largement de mesures adaptées à leurs intérêts et besoins spécifiques, notamment avec des redevances réduites31. Il s’agit de réduire la charge règlementaire pour ces petites ou jeunes structures. L’approche se veut donc pragmatique pour soutenir une innovation responsable et une gouvernance spéciale est créée pour assurer l’effectivité du dispositif.
B. La création d’une gouvernance dédiée
25La mise en œuvre de ce cadre juridique nécessite l’implication d’autorités spécifiques dédiées et le titre VI met en place une gouvernance composée d’un Comité européen de l’IA et d’autorités nationales, autorités qui sont toutes chargées de veiller au respect des règles établies.
26Ainsi, le nouveau cadre juridique conduit à la création au niveau européen d’une nouvelle autorité, le comité européen de l’intelligence artificielle. Selon l’article 57, cette autorité supranationale sera composée des autorités de contrôle nationales et du Contrôleur européen de la protection des données. Le Comité est présidé par la Commission européenne.
27Son rôle consiste à fournir des conseils et une assistance à la Commission pour « (…) contribuer à la coopération efficace des autorités de contrôle nationales et de la Commission en ce qui concerne les matières relevant du présent règlement ; (…) coordonner les orientations et analyses de la Commission et des autorités de contrôle nationales et d’autres autorités compétentes sur les questions émergentes dans l’ensemble du marché intérieur en ce qui concerne les matières relevant du présent règlement, et de contribuer à ces orientations et analyses ; (…) aider les autorités de contrôle nationales et la Commission à assurer une application cohérente du présent règlement »32. Pour fournir ces conseils et cette assistance, le Comité a des prérogatives assez limitées : il « recueille l’expertise et les bonnes pratiques et les partage entre les États membres ; il contribue à l’harmonisation des pratiques administratives dans les États membres (…) ; il formule des avis, des recommandations ou des contributions écrites sur des questions liées à la mise en œuvre du règlement » (art. 58).
28Par comparaison, le rôle déterminant que jouera la Commission européenne au sein de la gouvernance du dispositif a fait naître des critiques sur l’indépendance de ce nouveau Comité et sur les missions qui lui seront reconnues, missions qui ont été revues à la baisse dans la dernière version de la proposition. Les CEPD ont regretté ce manque de pouvoirs du Comité qui ne dispose pas de la possibilité de prononcer des sanctions, ni de la possibilité de modifier l’annexe III relative aux systèmes d’IA, comme pourra le faire la Commission européenne.
29La gouvernance prévoit par ailleurs l’établissement ou la désignation d’autorités nationales chargées d’assurer l’application et la mise en œuvre du futur règlement au niveau du marché national. L’autorité de contrôle nationale agit en tant qu’autorité notifiante et autorité de surveillance du marché33. Ces autorités seront désignées par chaque État membre et en France, la CNIL a proposé de prendre en charge cette nouvelle mission, conformément à l’avis conjoint des CEPD qui est favorable à la désignation des autorités nationales de protection des données personnelles34. Les États membres doivent veiller aux ressources financières et humaines de l’autorité, mais également aux compétences et expertises du personnel. L’effectivité du rôle de ces autorités en dépend.
30Le cadre juridique proposé affirme une vision européenne ambitieuse de l’IA basée sur l’éthique et la prévention des risques inhérents aux nouvelles technologies. Parmi les orientations choisies, celle de ne réguler que certains systèmes d’IA permet de ne pas imposer de contraintes sur l’ensemble des systèmes d’IA. Mais la définition extrêmement large retenue des systèmes d’IA susceptibles d’être régis par le règlement conduit certains à demander un resserrement de la définition et de certains concepts. Plus largement, il est reproché au dispositif de créer de multiples contraintes en termes de conformité, ce qui ne serait pas favorable au développement de l’IA dans l’Union européenne ni à la compétitivité des entreprises européennes. Frein au développement d’une véritable industrie pour les uns qui le considèrent trop restrictif, le texte est considéré par d’autres comme insuffisamment protecteur35.
31Au-delà des réactions contradictoires qu’il suscite, le cadre juridique prévu par le règlement devra en outre s’articuler avec d’autres textes, notamment ceux applicables en matière de protection des données personnelles ou encore en matière de responsabilité du fait des produits. Si le règlement envisage cette complémentarité des régimes, il n’en précise pas les modalités d’articulation, par exemple s’agissant des différents régimes de responsabilité applicables. En outre, d’autres textes en préparation auront un impact sur la régulation de l’IA : la régulation devra donc intégrer d’autres dispositifs existants ou à venir et elle n’est pas lisible de manière isolée ni de manière définitive, ce que les acteurs devront prendre en compte. Or les textes se multiplient en la matière à l’initiative de plusieurs organisations, ce qui contribue à créer un écosystème normatif peu lisible36. Il faut souhaiter que le texte finalement adopté puisse consacrer un juste équilibre entre les principaux objectifs recherchés difficiles à concilier, à savoir favoriser la recherche et l’innovation technologique tout en assurant la garantie des droits fondamentaux et la souveraineté de l’Union en matière d’IA. Des ajustements sont encore possibles avant l’adoption du texte qui pourraient permettre de rééquilibrer les dispositions et de clarifier les obligations mises à la charge des entreprises. Le texte n’entrera en vigueur que deux ans après son adoption, ce qui permettra aux entreprises concernées d’anticiper l’application des règles et de se mettre en conformité avec le nouveau dispositif afin d’éviter les lourdes sanctions. Au vu de la complexité du dispositif, l’ensemble des opérateurs des systèmes d’IA devrait au plus tôt débuter la réflexion ...
32Novembre 2021.
Notes de bas de page
1 Parlement européen, Résolutions publiées le 20 octobre 2020 (trois résolutions) : résolution sur les droits de propriété intellectuelle pour le développement des technologies liées à l’intelligence artificielle ; résolution concernant un cadre pour les aspects éthiques de l’IA ; résolution sur un régime de responsabilité civile pour l’intelligence artificielle ; ou encore, résolution sur l’intelligence artificielle : questions relatives à l’interprétation et à l’application du droit international, 20 janvier 2021.
2 Commission européenne, Communication 25 avril 2018, (COM(2018) 237 final).
3 Commission européenne, Rapport sur les conséquences de l’intelligence artificielle, de l’internet des objets et de la robotique sur la sécurité et la responsabilité, 19 février 2020.
4 Commission européenne, Intelligence artificielle – Une approche européenne axée sur l’excellence et la confiance, Livre blanc, 19 février 2020 : https://ec.europa.eu/info/sites/default/files/commission-white-paper-artificial-intelligence-feb2020_fr.pdf
5 Proposition accessible sur : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:52021PC0206. La proposition est complétée par une communication favorisant une approche européenne de l’intelligence artificielle (COM(2021) 205 final), un nouveau plan de coordination, ainsi qu’une proposition de règlement réformant la directive sur les machines (COM(2021) 202 final).
6 La démarche européenne a pu être qualifiée de troisième voie par opposition aux options américaine et chinoise : Y. Pouillet, « « La troisième voie », une voie difficile », RLDI n° 182, 1er juin 2021.
7 Indiquant que le principal mérite de cette politique serait peut-être d’imposer très tôt des règles d’accès au marché européen pour ne pas subir des règles venues d’ailleurs : C. Castets-Renard, « Quelle politique européenne de l’intelligence artificielle ? », RTD Eur. 2021, p. 297.
8 Les articles 114 et 16 du TFUE relatif à la protection des données personnelles sont visés par le texte ; v. art. 54.
9 Art. 2, § 3.
10 Art. 3, § 4.
11 L’approche repose uniquement sur cette approche des risques, alors que le Livre blanc retenait à la fois une approche sectorielle et basée sur les risques.
12 CE, Proposition, précité, spéc. p. 3.
13 Craignant l’accumulation de contraintes, une régulation « paralysante » et un frein pour les investisseurs : D. Legeais, Intelligence artificielle : L’Artificial Intelligence Act proposé par l’Union européenne, RJ Com. Juillet/août 2021, n° 4, p. 339, spéc. p. 340.
14 Art. 52.
15 Art. 5 §1 (d) i), ii) et iii).
16 V. avis consultatif du Comité européen de la protection des données et du Contrôleur européen de la protection des données : CEPD, Avis conjoint du 18 juin 2021, publié le 8 juillet 2021, spéc. pt. 35.
17 Art. 7 §1.
18 Art. 8 à 51.
19 Art. 9.
20 Annexe VI pour la procédure d’évaluation de la conformité fondée sur le contrôle interne, et annexe VII pour la conformité fondée sur l’évaluation du système de gestion de la qualité et l’évaluation de la documentation technique.
21 Art. 16 et s.
22 Art. 3 point 2.
23 Art. 16 et s.
24 Art. 3. §4.
25 Art. 29.
26 Art. 28 §1.
27 Le texte n’aborde quasiment pas la responsabilité civile du fait des dommages provoqués par l’IA, puisque le sujet sera traité par ailleurs dans un texte séparé. V. toutefois l’article 24 prévoyant un régime de responsabilité des fabricants de systèmes d’IA à haut risque s’agissant de la conformité du système d’IA au règlement, régime identique à celui des fournisseurs.
28 Art. 71 §3.
29 Art. 71 §4.
30 Art. 53 §1.
31 Art. 55.
32 Art. 56.
33 Art. 59 §2.
34 CEPD, Avis conjoint, précité : les autorités nationales compétentes en matière de données personnelles considèrent qu’elles devraient être désignées comme autorités de contrôle nationales de l’IA.
35 Émettant des craintes et des réserves sur certaines dispositions fragilisant la protection des données et appelant à des règles plus protectrices et à une meilleure articulation du futur règlement avec le RGPD : CEPD, Avis conjoint, précité.
36 Évoquant une « plutôt bonne distribution entre les organisations internationales, et ce même sans coordination formelle » : Y. Meneceur, « Les cadres juridiques des organisations intergouvernementales pour une régulation de l’intelligence artificielle », RPPI 2021, dossier 6, spéc. n° 16.
Auteur
Professeur de droit privé
Université Toulouse Capitole
Le texte seul est utilisable sous licence Licence OpenEdition Books. Les autres éléments (illustrations, fichiers annexes importés) sont « Tous droits réservés », sauf mention contraire.
Qu’en est-il du code du commerce 200 ans après ?
États des lieux et projections
Corinne Saint-Alary-Houin (dir.)
2008
Qu'en est-il de la simplification du droit ?
Frédérique Rueda et Jacqueline Pousson-Petit (dir.)
2010
La réorientation européenne de la TVA à la suite du renoncement au régime définitif
Francis Querol (dir.)
2014
Regards critiques sur quelques (r)évolutions récentes du droit
Tome 1 : Bilans et Tome 2 : Réformes-Révolutions
Maryvonne Hecquard-Théron et Jacques Krynen (dir.)
2005