Vie des affaires

Règlement européen sur l'IA

Le règlement européen sur l’IA entre en vigueur le 1^er août 2024 !

Le premier acte au monde à encadrer l'intelligence artificielle (IA) a été adopté le 13 juin 2024. Il s'agit du règlement européen 2024/1689 sur l’IA. Au travers d’une série de Questions/Réponses, la CNIL fait une présentation de ce texte qui vise à protéger les utilisateurs en imposant certaines obligations aux fournisseurs et déployeurs de systèmes d’IA.

Un encadrement de l’intelligence artificielle selon les niveaux de risques

Le règlement IA (RIA) a pour objectif d’encadrer le développement, la mise sur le marché et l’utilisation de systèmes d'IA, qui peuvent poser des risques pour la santé, la sécurité ou les droits fondamentaux.

Le RIA classe ainsi les systèmes d’IA en 4 niveaux :

1/ Risque inacceptable : cela vise un ensemble limité de pratiques contraires aux valeurs de l'Union européenne et aux droits fondamentaux que le RIA interdit, comme par exemple les systèmes de reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement ;

2/ Haut risque : sont concernés les systèmes d’IA qui peuvent porter atteinte à la sécurité des personnes ou à leurs droits fondamentaux, comme par exemple les systèmes biométriques. Le RIA soumet leur développement à des exigences renforcées ;

3/ Risque limité : le RIA instaure des obligations de transparence spécifiques pour certains systèmes d’IA, notamment en cas de risque manifeste de manipulation. Par exemple, pour les chatbots, cela vise à s’assurer que la personne a conscience d’échanger avec une machine ;

4/ Risque minimal : pour tous les systèmes d’IA qui ne relèvent pas des 3 précédentes catégories, le RIA ne prévoit pas d’obligations spécifiques. Cela concerne la très grande majorité des systèmes d’IA actuellement utilisés dans l’UE.

Un traitement particulier réservé aux modèles d’IA à usage général

Le RIA traite à part les modèles d’IA dits à usage général, qui peuvent effectuer un grand nombre de tâches très variées ce qui les rend difficiles à catégoriser selon classement par niveau de risque. C’est notamment le cas des grands modèles de langage tels que ceux proposés par les sociétés Mistral AI ou OpenAI.

Pour cette catégorie, le RIA prévoit plusieurs niveaux d’obligation, allant de mesures de transparence et de documentation minimales à des obligations supplémentaires relatives à la gestion des risques en fonction de la puissance du modèle d’IA.

Une entrée en application progressive du règlement

Le RIA entrera en vigueur le 1^er août 2024 et son application se fera ensuite de façon échelonnée, en s'appuyant sur des normes harmonisées au niveau européen actuellement en cours de rédaction.

La première étape est fixée au 2 février 2025 avec l’application des interdictions relatives aux systèmes d’IA présentant des risques inacceptables.

Elle sera suivie par l’application des règles pour les modèles d’IA à usage général prévue au 2 août 2025.

Le 2 août 2026, l’ensemble des dispositions du RIA deviendront applicables, à l'exception de certaines règles relatives aux systèmes d’IA à haut risque dont l'application est fixée au 2 août 2027.

Les principales sanctions prévues par le règlement

En cas de manquement de la part des fournisseurs ou déployeurs de systèmes d’IA, les sanctions financières pourront s’élever jusqu’à 35 millions d’euros ou 7% du chiffre d’affaires annuel mondial.

Sont aussi prévus, le cas échéant, le retrait du marché ou le rappel des produits litigieux intégrant de l’IA.

Coexistence du RIA avec le règlement général sur la protection des données (RGPD)

Le RIA et le RGPD ont des objets différents, respectivement les systèmes et modèles d’IA et le traitement de données personnelles.

Ils sont appelés à cohabiter et parfois à s’appliquer simultanément. Ce sera par exemple le cas pour un système d’IA utilisé pour le tri automatique de CV, en ce qu'il est à la fois à haut risque, tout en nécessitant le traitement de données personnelles.

Questions-réponses de la CNIL sur l'entrée en vigueur du règlement européen sur l'IA, 12 juillet 2024