L’Union européenne s’apprête à adopter la première loi au monde spécifiquement dédiée à la réglementation de l’intelligence artificielle. L’AI Act constitue un texte important pour l’IA mais il subsiste encore des interrogations notamment quant aux conséquences sur le droit d’auteur, sa mise en œuvre et le respect de ses dispositions ou son influence sur l’IA en Europe ou sur le développement d’une industrie européenne.

 

Le futur règlement sur l’intelligence artificielle (« IA ») (appelé communément l’« AI Act ») constituera la première loi au monde spécifiquement dédiée à la règlementation de ce type de technologie. Il placera l’Union européenne (« UE ») en tête du mouvement de règlementation de l’intelligence artificielle, non seulement chronologiquement mais aussi du fait de sa portée extraterritoriale et de l’influence que ce modèle de règlement, fondé sur une exigence s’accroissant en fonction du niveau de risque (allant jusqu’à l’interdiction pure et simple de certains systèmes posant un risque jugé « inacceptable »), pourrait avoir sur les systèmes législatifs d’autres pays. A ce titre, l’approche de l’UE rappelle celle qu’elle a pu avoir avec le Règlement général sur la protection des données personnelles (le « RGPD »), qui a fait d’elle une super-puissance règlementaire dans le domaine du digital. Il faudra en effet appréhender l’AI Act dans le « millefeuille » législatif dans lequel il s’inscrira et qui comprend déjà notamment le RGPD, la directive (UE) 2019/790 sur le droit d’auteur et les droits voisins dans le marché numérique (la directive « Droit d’auteur »), le Digital Services Act, le Digital Market Act, le Data Act et le Data Governance Act.

 

Quelle est la portée de l’AI Act et pourquoi est-il important pour l’UE ?

A titre de comparaison, les Etats-Unis emploient, pour atteindre un objectif similaire au nôtre de souveraineté et leadership dans le domaine de l’IA, une approche bien différente : encourager l’accès aux ressources nécessaires à l’innovation en matière d’IA par les chercheurs et start ups en créant un fonds doté de 2,25 milliards de dollars (le « National Artificial Intelligence Research Resource »), s’assurer que les grands acteurs du secteurs tels que Microsoft ou Google n’enfreignent pas les règles existantes en matière de concurrence par le biais d’enquêtes de la Federal Trade Commission, adopter des mesures par voie d’ordonnances présidentielles (« executive orders ») plutôt que par recours aux textes législatifs, encourager le recours aux négociations sectorielles (par exemple entre les syndicats des acteurs ou des auteurs et les sociétés de production) ou au règlement des conflits de façon « traditionnelle » devant les tribunaux (par exemple dans l’affaire opposant le New York Times à Open AI sur l’utilisation d’articles de ce journal pour les besoins de la constitution de la base de données utilisée par ChatGPT).

Certains se demandent ainsi si l’UE se contente d’émettre des normes en réaction à des technologies créées ailleurs, en particulier aux Etats-Unis. Et si l’absence (relative) de règlementation spécifique dans ces autres pays aurait pour effet d’encourager leur développement là où les européens créeraient un environnement, certes plus protecteur pour le public, mais aussi plus contraignant pour les entreprises souhaitant innover dans le domaine. On peut comprendre cette vision des choses de façon superficielle, en constatant que l’UE a adopté l’AI Act après le lancement de grands systèmes américains d’IA génératives tels que ChatGPT ou Bard (aujourd’hui Gemini). Mais l’UE avait proposé une première mouture de l’AI Act dès avril 2021, avant que ces systèmes rencontrent le succès qu’on leur connaît aujourd’hui. Et il existe des entreprises européennes qui se sont également lancées dans la course telles que les françaises Mistral AI et Kyutai et l’allemande Aleph Alpha. Google a par ailleurs choisi d’ouvrir récemment à Paris un nouveau pôle de recherche dédié à l’IA, hébergeant plus de 300 chercheurs et ingénieurs. L’Europe ne manque donc pas de talent en la matière.

 

Quels sont les principaux points ou dispositions de l’AI Act ?

L’AI Act mettra un place une échelle à trois niveaux qui classera les systèmes en fonction du risque pour le public :

• Les applications qui présentent un « risque inacceptable » pour les droits fondamentaux des personnes seront interdites. Celles-ci comprennent les systèmes qui « manipulent le comportement humain pour contourner le libre arbitre », des jouets qui encourageraient des comportements dangereux chez les enfants, certaines applications de police prédictive ainsi que des dispositifs de reconnaissance faciale dédiés au maintien de l’ordre.

 

• Les modèles présentant un « risque élevé » pour la santé, la sécurité ou les droits fondamentaux devront se conformer à un dispositif d’atténuation des risques et une supervision humaine. Ils devront donner des garanties en termes de documentation, de cybersécurité et d’information aux utilisateurs permettant de savoir si l’on échange avec une machine plutôt qu’un être humain. Les contenus générés artificiellement, notamment les deep fakes, devront être identifiés comme tels.

 

• Les applications présentant un « risque minimal », comme les systèmes de recommandation ou les filtres anti-spam, pourront faire l’objet de codes de bonne conduite sur la base du volontariat.

L’AI Act introduira aussi des règles spécifiques applicables aux modèles d’IA à usage général, mais seulement s’ils présentent des « risques systémiques ». Dans ce cas, ces derniers se verront imposer des obligations supplémentaires par le biais de codes de bonnes pratiques obligatoires en matière de gestion des risques, de surveillance des incidents graves, d’évaluation des modèles et de tests contradictoires.

Pourquoi la France a-t-elle pris plus de sept mois pour prendre la décision de ratifier l’AI Act ?

C’est dans les termes suivants que le président Macron avait pris position en décembre 2023, avant l’adoption de l’AI Act : « On peut décider de réguler beaucoup plus vite et beaucoup plus fort que nos grands compétiteurs mais on régulera des choses qu’on ne produira plus ou qu’on n’inventera pas. Ce n’est jamais une bonne idée. Il faut donc qu’on soit toujours à la bonne vitesse et en tout cas au bon rythme. » Cette position faisait écho aux craintes exprimées par certains acteurs européens du secteur (émergents comme Mistral AI, mais aussi bien installés comme Airbus et Siemens) de se voir appliquer des règles plus contraignantes que leurs concurrents, en particulier aux Etats Unis, et de rater ainsi (à nouveau selon eux) un tournant technologique. C’était d’ailleurs la position commune de la France, de l’Allemagne et de l’Italie.

C’est donc au nom de l’innovation et de la compétitivité européenne que les trois plus grands pays de l’UE s’étaient longuement opposés à la réglementation particulière des systèmes d’IA à finalité générale tels que ChatGPT (sauf s’ils remplissaient les critères pour être qualifiés de systèmes à haut risques). Ces derniers plaidaient plutôt pour une auto-régulation par le biais de l’adoption de « codes de conduite ».

Cette approche n’a été jugée acceptable ni par le Parlement européen, ni par la Commission et c’est dans le cadre du dernier trilogue avec le Conseil et au regard du calendrier électoral pressant (les élections européennes ayant lieu en juin) que l’Allemagne et l’Italie ont fini par accepter l’approche par niveau, suivis par la France, non sans avoir obtenu certaines concessions. Ne seraient ainsi considérés comme ayant un impact systémique nécessitant une réglementation particulière que les systèmes d’IA à usage général ayant une rapidité de calcul supérieure à 10^25 FLOPS, ce qui ne concerne qu’un faible nombre de systèmes particulièrement avancés. Ils ont aussi obtenu que le principe de transparence qui devait permettre d’identifier les titulaires des droits des œuvres et données ayant servi à la constitution du système par la publication d’un résumé détaillé, soit soumis au secret des affaires. Enfin, une exemption générale devrait s’appliquer aux modèles d’IA open source et gratuits dont les paramètres seront rendus publics, à l’exception des aspects relatifs au respect des droits d’auteur.

Quelles sont les conséquences pour le droit d’auteur ?

Contrairement à ce qu’ont pu craindre les associations représentant les titulaires de droits d’auteur, l’AI Act ne créera pas d’exception particulière à la directive « Droits d’auteur » pour faciliter la constitution des bases de données sous-jacentes aux systèmes d’IA, en particulier les modèles généraux « fondationnels » qui restent donc soumis au régime général du droit d’auteur applicable dans chacun des Etats membres de l’UE. C’est d’ailleurs également le cas pour l’instant au Royaume-Uni, où le gouvernement a récemment renoncé à créer une exception au droit d’auteur pour les systèmes IA, et aux Etats-Unis, où les tribunaux devront juger si l’exception classique aux droits d’auteur dite de « fair use » peut s’appliquer aux systèmes IA tels que ChatGPT. De nombreux contentieux ont ainsi été initiés aux Etats-Unis contre Open AI, notamment par l’Authors Guild, une association regroupant plus de 14.000 écrivains, l’agence de photographie Getty Image ou, plus récemment en décembre 2023, le New York Times.

L’AI Act encouragera ainsi la rémunération des auteurs en prévoyant la divulgation des sources des bases de données ayant servi à l’«entraînement » des systèmes d’IA, ce qui permettra également l’exercice du droit d’« opt out » prévu par la directive « Droits d’auteur » au bénéfice des ayants-droits souhaitant s’opposer à l’utilisation des données par les systèmes d’IA. Cet état de fait devrait encourager les négociations entre les développeurs ou utilisateurs de systèmes d’IA, d’une part, et les ayants droits, d’autre part. Certaines d’entre elles ont d’ailleurs déjà abouti, notamment entre Open AI et le groupe de presse allemand Axel Springer.

Néanmoins, l’AI Act ne tranche pas la question de l’éventuelle titularité de droits d’auteur sur les « œuvres dérivées » créées par l’IA ou sur les « prompts » utilisés pour créer ces œuvres. Cette question devra être tranchée pays par pays et même si les Etats membres de l’UE ont tous transposé la directive « Droit d’auteur », l’harmonisation en la matière est imparfaite, notamment en matière de droit procédural et de charge de la preuve, ce qui devrait donner lieu à des questions préjudicielles devant la Cour de justice de l’Union européenne.

En France, on notera à ce titre une initiative originale émanant d’une proposition de loi déposée le 12 septembre 2023, et qui prévoit notamment que « Lorsque l’œuvre est créée par une intelligence artificielle sans intervention humaine directe, les seuls titulaires des droits sont les auteurs ou ayants droit des œuvres qui ont permis de concevoir ladite œuvre artificielle. » Cette proposition, qui a été renvoyée à la commission des affaires culturelles et de l’éducation, a peu de chances d’aboutir, notamment au regard des complexités techniques qu’elle soulève pour identifier les ayants-droits mais aussi de l’attitude actuelle du gouvernement français qui se révèle protectrice des intérêts des développeurs de systèmes d’IA.

 

Comment l’UE prévoit-elle de mettre en œuvre et de faire respecter l’AI Act ?

En application de l’approche fondée sur le risque au centre de son dispositif, l’AI Act contient des prohibitions relatives à certains types d’IA et pour d’autres types d’IA met à la responsabilité des différentes parties prenantes des obligations détaillées. Ces obligations en matière notamment de gouvernance, de transparence, de test et de gestion des risques devront être minutieusement documentées pour apporter la preuve du respect des procédures prescrites par l’AI Act.

Pour veiller à la mise en œuvre et au respect des prohibitions et des mécanismes essentiellement mis en œuvre en interne par les acteurs des systèmes d’IA, l’AI Act prévoit des mécanismes d’accompagnement, de supervision et de sanction.

En termes d’accompagnement des acteurs des systèmes d’IA, l’AI Act prévoit notamment la vérification de conformité (article 43) relative aux systèmes d’IA à haut risque pouvant faire intervenir un organisme notifié qui est un organisme d’évaluation de la conformité qui sera désigné en vertu de l’AI Act ou d’autres instruments juridiques de l’UE.

La supervision et le contrôle de la mise en œuvre du respect de l’AI Act relèveront de chaque État membre qui devra désigner au moins une autorité de contrôle nationale qui sera une autorité notifiante (l’autorité nationale chargée de mettre en place et d’accomplir les procédures nécessaires à l’évaluation, la désignation et la notification des organismes d’évaluation de la conformité et à leur contrôle) et une autorité de contrôle nationale qui sera une autorité de surveillance du marché (autorité nationale assurant la mission et prenant les mesures prévues par le règlement (UE) 2019/1020 sur la surveillance du marché et la conformité des produits). A cela se superposera l’intervention d’instances européennes dédiées. Un bureau de l’IA sera mis en place au sein de la Commission européenne (AI Office) et sera notamment en charge du contrôle du respect de l’AI Act de manière coordonnée à l’échelle européenne, de la surveillance et du développement de normes relatives aux modèles et systèmes d’IA à usage général (GPAI, tel que ChatGPT). En plus de cela, afin notamment de garantir la cohérence et la convergence à travers l’UE, l’AI Act prévoit la création d’un Comité européen de l’intelligence artificielle (European Artificial Intelligence Board) qui sera assisté notamment par un comité technique (Advisory forum) et un panel scientifique (Scientific panel of independent experts).

En termes de pouvoirs et de sanctions, l’AI Act prévoit de larges pouvoirs de contrôle, d’injonction (notamment toutes mesures appropriées pour restreindre ou interdire la mise à disposition du système d’IA incriminé) et d’amendes administratives qui, en fonction de la gravité du manquement, pourra atteindre la plus élevée de ces deux sommes : 35 millions d’euros ou 7% du chiffre d’affaires annuel mondial de l’entreprise responsable.

 

Comment l’AI Act pourrait-il influencer le développement de la technologie et de l’industrie de l’IA sur le continent européen ?

La fragmentation actuelle des exigences relatives aux produits et services d’IA notamment quant à leur utilisation et la responsabilité associée constitue une entrave à la libre circulation.

L’AI Act s’inscrit dans le cadre de la stratégie numérique de l’UE et une de ses finalités est la création d’un cadre harmonisé, coordonné et convergent permettant de développer un écosystème de l’IA au sein du marché unique et de contribuer à une souveraineté numérique de l’UE. Pour le Conseil européen il s’agit de faire de l’UE un acteur mondial de premier plan dans le développement d’une intelligence artificielle sûre, fiable et éthique.

L’harmonisation des règles au sein du marché commun et la plus grande clarté et sécurité juridique qui en résulteront devraient créer un environnement permettant de faciliter les investissements et l’innovation dans le domaine de l’IA et de renforcer la compétitivité et la base industrielle de l’Europe dans le domaine de l’IA.

Par ailleurs, afin de promouvoir l’innovation et de mettre à disposition un accompagnement dans la conception et le développement de systèmes d’IA, l’AI Act prévoit également des mesures spécifiques telles que la mise en place de « bacs à sable réglementaires » sur l’IA (« AI regulatory sandboxes »).

Enfin, les instances ad hoc dont l’AI Act prévoit la création, notamment le comité technique et le panel scientifique, permettront de faire bénéficier l’industrie de l’IA d’expertise technique pointue et de mutualiser ce savoir-faire au sein de l’UE.

C’est en tout cas en ces termes que les institutions européennes conçoivent l’AI Act.

 

Quelles sont les principales critiques formulées à l’égard de l’AI Act au sein de l’UE ? De qui émanent-elles ?

Parmi les critiques formulées à l’encontre de l’AI Act on notera la préoccupation que l’adoption de ce corpus législatif serait prématurée et pourrait avoir l’effet inverse de celui escompté en allant freiner la liberté d’entreprendre dans le domaine de l’IA en Europe, en pénalisant les acteurs européens et en favorisant les acteurs de l’IA dans les pays plus permissifs. Cette crainte d’une réglementation trop contraignante et son effet sur les acteurs au sein de l’UE a également été déclinée par Digital Europe, un groupe de lobbying représentant les acteurs de l’IT au sein de l’Union.

L’opposition récente de la France, soutenue par l’Allemagne et l’Italie concernait particulièrement les modèles de fondation, c’est-à-dire les systèmes d’IA les plus puissants pour lesquels ces pays militaient pour une autorégulation obligatoire plutôt que des règles trop contraignantes. Mistral AI, un des leaders européens de ce type d’IA, considère pour sa part que le débat devrait plutôt se concentrer sur le caractère propriétaire et donc fermé de ces modèles de fondation ou au contraire sur leur nature libre ou « open source ».

D’autres voix se sont élevées contre certaines parties spécifiques de l’AI Act, sur la définition considérée trop large des systèmes d’IA, et sur la catégorisation trop stricte de certains types d’IA sectoriels comme dans le domaine de l’assurance.

 

Quelles sont les prochaines étapes concernant l’adoption de l’AI Act ?

Au terme de quasiment sept mois de négociations et la crainte d’un échec (notamment en raison des critiques précitées) du trilogue engagé le 14 juin 2023, un accord interinstitutionnel a été trouvé sur le projet d’AI Act déposé en avril 2021 par la Commission européenne et amendé par le Parlement européen. Les Etats membres de l’UE ont ensuite entériné le texte, à l’unanimité, au cours d’une réunion du COREPER (le comité des représentants permanents auprès de l’UE) le 2 février 2024. Le 13 février dernier, les députés européens au sein de la commission des Libertés civiles, de la Justice et des Affaires intérieures (LIBE) et ceux de la commission du Marché intérieur et de la Protection des consommateurs (IMCO) ont à leur tour approuvé, à une majorité écrasante, le projet d’AI Act. Suite à cette dernière étape, le projet d’AI Act fera l’objet d’un vote de tous les parlementaires européens, les 10 et 11 avril 2024. Si ce vote se déroule comme cela est attendu, la dernière étape institutionnelle consistera à une adoption par le Conseil des Ministres, l’instance de décision du Conseil de l’Europe. Le Conseil a déjà indiqué qu’il entérinera le projet si le Parlement vote favorablement. Puis, le projet d’AI Act pourra être signé, édité et publié. Conformément à l’article 85 du projet d’AI Act, son entrée en vigueur interviendra le vingtième jour suivant sa publication et son entrée en application deux ans après cela donc vraisemblablement au deuxième semestre de 2026. Le délai de deux ans entre l’entrée en vigueur et l’application connaitra plusieurs exceptions importantes notamment sur les systèmes d’IA prohibés pour lequel l’entrée en application interviendra six mois après l’entrée en vigueur.

Il faut ajouter qu’en raison de la grande complexité de l’AI Act et des systèmes d’IA visés que l’AI Act prévoit le recours à de nombreux actes délégués de la Commission européenne afin de préciser ou de faire évoluer notamment certains mécanismes et méthodes de calcul.

 

Conclusion

En conclusion, l’adoption imminente de l’AI Act par l’Union européenne marque une étape cruciale dans la réglementation de l’intelligence artificielle. Cependant, les questions concernant son impact sur le droit d’auteur, sa mise en œuvre et son influence sur le développement de l’IA en Europe restent d’actualité. Il est essentiel de suivre de près les évolutions futures dans ce domaine pour comprendre pleinement les implications de cette législation.