Ce qu’il faut retenir de l’AI Act

L’AI Act (AIA) a été adopté unanimement par les 27 Etats membres de l’UE en février 2024, faisant suite à l’accord politique conclu entre le Conseil de l’UE et le Parlement européen en décembre 2023.

L’AIA, dit aussi “loi européenne sur l’intelligence artificielle”, est le premier texte législatif global et contraignant visant l’encadrement de l’utilisation de l’IA. Il s’agit d’un règlement européen, i.e. la forme de législation la plus forte (contraignante et applicable à tous les Etats membres).

Le texte est le résultat d’un exercice d’équilibre prudent entre les défenseurs d’une réglementation forte à même de protéger les droits des personnes et les partisans d’une réglementation plus souple permettant de favoriser l’émergence de champions nationaux, comme Mistral en France et Aleph Alpha en Allemagne.

Le texte est consultable ici 👉 texte de l’AI Act

📒 Que contient l’AI Act ?

L’AIA vise à apporter une réponse aux risques posés par les systèmes IA, même s’il reconnaît que la majorité des systèmes existants et mis sur le marché sont utiles pour répondre aux défis sociétaux et présentent un risque faible voire nul¹. Le texte se veut future-proof, i.e. apte à cadrer également la mise sur le marché et l’utilisation des futures systèmes IA, en permettant une traduction flexible dans le temps de ses dispositions en standards.

1. Des obligations différenciées en fonction des risques

Le texte dresse une classification des risques posés par les systèmes d’IA et les obligations associées.

2. Des obligations visant principalement les fournisseurs

Les obligations concernent donc principalement les systèmes IA à haut risque. Celles-ci incombent principalement aux fournisseurs, que l’AIA distingue des déployeurs (ou utilisateurs) des systèmes IA. Le fournisseur est “une personne physique ou morale, une autorité publique, une agence ou un autre organisme qui développe ou fait développer un système IA ou un modèle IA à usage général et le met sur le marché ou met le système d’IA en service sous son propre nom ou sa propre marque, que ce soit à titre onéreux ou gratuit”. Les déployeurs sont “des personnes physiques ou morales qui déploient un système d’IA à titre professionnel, et non des utilisateurs finaux concernés”³.

À titre d’exemple, si une entreprise comme La Javaness adopte un système IA dans sa gestion des ressources humaines (pour la sélection automatique des candidats lors des recrutements par exemple), elle est considérée comme déployeur. Si elle développe ce système et le met sur le marché ou le déploie chez une autre entreprise sous son nom, ou si elle développe un modèle à usage général (voir définition ci-dessous) elle est considérée comme fournisseur.

3. Des obligations spécifiques à l’IA à usage général (GPAI)

L’AIA définit les obligations qui concernent en particulier les modèles GPAI (General Purpose AI). Il s’agit de modèles démontrant de bonnes performances sur un large éventail d’utilisations, quelque soit l’utilisation première pour laquelle le modèle a été mis sur le marché. Pour les fournisseurs de ces modèles, il faudra notamment :

• Produire une documentation technique, expliquant la méthodologie d’entraînement et de test du modèle, ainsi que les résultats d’évaluation
• Fournir une documentation à l’intention des acteurs désireux d’intégrer le modèle dans leur système, expliquant les capacités et les limites du modèle
• Fournir un résumé détaillé du contenu utilisé pour l’entraînement du modèle

Parmi les modèles GPAI, l’AIA distingue ceux qui posent un risque systémique de par leur “grande” capacité et leur diffusion. Ces systèmes sont qualifiés comme tel s’ils répondent à l’une des deux conditions suivantes :

• Démontrer une capacité d’impact élevée. Parmi les critères pris en compte : le nombre de paramètres du modèle ; la qualité ou la taille de l’ensemble de données ; la capacité de calcul utilisée pour l’apprentissage du modèle ; etc.
• Avoir été entraînés avec une puissance de calcul supérieure ou égale à 1025 FLOPs sont concernés. Ce seuil a été fixé en tenant compte de la puissance de calcul requise par les modèles GPAI les plus avancés (par exemple : GPT-4 d’OpenAI et Gemini de Google DeepMind⁴).

L’AI Office -établi au sein de la Commission Européenne, voir partie ci-dessous- se réserve toutefois le droit de modifier ce seuil, ou d’établir d’autres critères pour l’identification de ces modèles. Des obligations supplémentaires incombent aux fournisseurs de ces modèles: évaluation des atténuation des risques, faire remonter tout incident sérieux, etc.

🗓️ Où en est l’AI Act ?

Le texte est sujet à une dernière vérification juridique et devrait être définitivement adopté d’ici la fin de la législature actuelle (été 2024). Le texte sera ensuite officiellement entériné par le Conseil.

Il entrera en vigueur 20 jours après publication dans le journal officiel, et sera pleinement applicable 24 mois après son entrée en vigueur, à l’exception de certaines mesures qui seront applicables plus tôt, comme l’interdiction des pratiques inadmissibles (6 mois après l’entrée en vigueur) ou plus tard comme les obligations liées aux risques élevés (36 mois après l’entrée en vigueur).

Le 21 février 2024 l’Artificial Intelligence Office a été instauré au sein de la Commission. Il sera chargé du suivi la mise en oeuvre de l’AIA, en particulier en ce qui concerne la GPAI.

Même si l’entrée en vigueur du texte marquera une étape importante dans l’effort européen de régulation de l’IA, le principal défi à venir sera la traduction de ses dispositions de haut niveau en standards clairs, actionnables et adaptés aux systèmes IA.

Notes et références

À propos de l’auteur

Après des études en ingénierie et en géopolitique, et des expériences au sein des Nations Unies et en conseil en stratégie, Ismaïl El Hatimi rejoint La Javaness en tant que data scientist en 2020. Parallèlement à ses activités da cadrage et de réalisation de projets en machine learning, il s’intéresse également aux sujets liés à l’IA de confiance et aux impacts politiques et sociaux de l’IA.

Références

1,2 : https://digital-strategy.ec.europa.eu/fr/policies/regulatory-framework-ai

3 : https://artificialintelligenceact.eu/fr/high-level-summary/

4 : https://ec.europa.eu/commission/presscorner/detail/en/qanda_21_1683