Artificial Intelligence Act : pour une IA mieux contrôlée

L’intelligence artificielle se développe un peu plus de jour en jour et occupe déjà une place importante dans notre quotidien. Avec l’Artificial Intelligence Act, l’Union Européenne a pour objectif d’encadrer les usages de l’intelligence artificielle.

En proposant un cadre clairement identifié, l’UE veut empêcher toutes les dérives et les abus. En effet, l’IA pourrait s’avérer dangereuse, intrusive, menaçante si elle est utilisée sans contrôle.

Factorial vous en dit un peu plus sur ce projet de réglementation et sur les mesures qui le composent.

L’artificial intelligence act, c’est quoi ?

C’est le 21 avril 2021 que la Commission européenne a dévoilé un projet de réglementation sur l’intelligence artificielle nommé Artificial Intelligence Act.

Cette loi a pour but d’imposer un cadre réglementaire et juridique commun pour l’intelligence artificielle et ses usages. Elle s’applique à tous les secteurs et à tous les types d’IA.

Ce projet de réglementation est la suite logique de plusieurs travaux déjà réalisés par l’Europe. En février 2020 déjà, un livre blanc avait été publié. En octobre 2020, le Parlement européen avait adopté certaines réglementations en matière d’éthique, de responsabilité et de propriété intellectuelle avant d’appeler à une IA garante des droits fondamentaux.

En quoi cela consiste ?

L’artificial Intelligence Act a pour vocation de mettre en place une régulation de l’intelligence artificielle. Utilisée dans de nombreux domaines comme le management, l’IA a très vite attirée l’attention de la Commission européenne qui avait déclaré vouloir se pencher sur son cas afin d’éviter tout abus, notamment de la part des entreprises.

La loi Intelligence artificielle repose essentiellement sur la notion de risque. En effet, pour établir un cadre juridique juste et crédible, l’UE a décidé d’imposer un barème afin de déterminer le niveau de risque d’une application de l’IA.

Ainsi, 4 catégorie ont été définies :

• Les IA inacceptables : Ce sont les intelligences artificielles interdites qui vont clairement à l’encontre des valeurs de l’Union Européenne. Les IA participant à la manipulation inconsciente des comportements ou bien à l’exploitation des vulnérabilités sont concernées ;
• Les IA à risque élevé : On pense ici aux applications qui représentent un risque élevé pour la santé et la sécurité ou les droits fondamentaux des personnes physiques. Les audits, le scoring de crédit ou de CV, la notation d’examen en font partie par exemple. Ces IA devront être soumises à une évaluation de conformité strict par un tiers ;
• Les IA à risque limité : Cela concerne tous les systèmes qui interagissent avec les humains comme ceux qui détectent les émotions ou utilisent des données biométriques. Les IA soumises à la transparence comme les chatbots ou le deepfake sont également concernées ;
• Les IA à risque minimal : Ce sont ces IA à risque minime comme les filtres anti-spam ou les jeux vidéos par exemple. Elles ne feront l’objet d’aucune obligation particulière car elles ne présentent pas de réels dangers. 

Pourquoi cette loi ?

Si l’AI Act a pour ambition d’encadrer au mieux cette nouvelle technologie, cette loi a, comme spécifié dans son texte, pour objectif de : 

• Veiller à ce que les systèmes d’IA présents sur le marché européen soient sûrs et conformes avec les valeurs de l’UE et les droits fondamentaux ;
• Garantir la sécurité juridique afin de faciliter l’investissement et l’innovation dans le domaine de l’intelligence artificielle ;
• Renforcer la gouvernance et l’application effective de la législation existante en matière de droits fondamentaux et des exigences de sécurité applicables aux systèmes d’IA ;
• Faciliter le développement d’un marché unique pour des applications d’IA légales, sûres et dignes de confiance, et empêcher la fragmentation du marché.

Comment cela fonctionne ? 

Les catégories de risques

Comme nous l’avons vu plus haut, l’Artificial Intelligence Act définit des catégories de risques du système d’IA utilisé : Risque inacceptable, élevé, limité et minimal.

Ces catégories ont pour vocation de contrôler au mieux les IA et d’empêcher les dérives, notamment avec les applications qui auraient tendance à récolter trop d’informations sensibles ou à participer à la manipulation humaine.

Ce cadre mis en place par l’Union Européenne s’appliquera à la fois aux acteurs publics et privés. Si l’IA en question est disponible sur le marché européen, l’entreprise devra se conformer aux obligations du texte.

Les Regulatory Sandboxes

Un système de regulatory sandboxes a également été implanté. Ces sandboxes permettent de déployer un environnement contrôlé pour tester les technologies innovantes sur une durée limitée. 

L’idée ici pour les autorités compétentes est d’assurer la conformité du système d’IA pour un accès sur les marchés bien plus rapide. D’ailleurs, les PME et les start-ups auront un accès prioritaire à ces regulatory sandboxes.

Le marquage CE

Avec les systèmes d’IA à risque élevé, l’UE a dû créer un marquage CE. Obligatoire, il assure la conformité aux exigences fixées par la réglementation communautaire et applique les normes imposées par l’Artificial Intelligence Act.

Qui plus est, ces systèmes d’IA devront obligatoirement être enregistrés dans une base de données européenne pour un traçage plus précis et une plus grande sécurité.

Les obligations à respecter

La loi intelligence artificielle oblige les entreprises à respecter certaines exigences dans l’élaboration de leurs système d’IA :

• Surveillance humaine : Des personnes physiques devront superviser et surveiller les systèmes d’IA à haut risque durant leur utilisation afin de prévenir ou réduire au minimum les risques pour la santé, la sécurité ou les droits fondamentaux ;
• Gestion des risques : Anticiper les risques, les identifier et les éliminer sont des obligations à respecter. Des process de gestion des risques doivent être mis en place dès la conception et tout au long du cycle de vie de l’IA ;
• Données et gouvernance des données : L’AI Act oblige les systèmes d’IA à tester et valider des ensembles de données répondant aux critères de qualité. Ces jeux de données doivent être pertinents, représentatifs, exempts d’erreurs, complets et utilisés à bon escient ;
• Transparence et information des utilisateurs : Les IA concernées se doivent d’être transparentes et d’informer les utilisateurs sur leur fonctionnement et l’utilisation des données. Ces informations sont faciles d’accès et permettent une interprétation des résultats compréhensibles par tous ;
• Traçabilité : Une tenue de registres d’activités est obligatoire grâce à la conception d’un système permettant l’enregistrement automatique des événements. Ce journal est un moyen d’offrir une traçabilité des événements ;
• Documentation : Comme pour l’obligation de transparence, l’Artificial Intelligence Act impose aux systèmes d’IA de fournir une documentation technique établie avant la mise sur le marché ou la mise en service de ce système pour que les autorités compétentes puissent évaluer la conformité de l’IA ;
• Précision, robustesse et cybersécurité : Les systèmes d’IA ont une obligation de performance. Elles doivent répondre à des objectifs de précision, de robustesse et de cybersécurité, tout au long de leur cycle de vie.

Les pratiques interdites

En plus de ces obligations à observer, les IA ne doivent pas utiliser certaines pratiques. L’Artificial Intelligence act interdit :

• La manipulation inconsciente des comportements ;
• L’exploitation des vulnérabilités de certains groupes d’individus dans l’optique d’influencer leur comportement et leurs décisions ;
• La notation sociale basée sur l’IA ;
• L’utilisation de systèmes d’identification biométrique à distance « en temps réel » dans des espaces accessibles au public.

Quel impact sur les RH ?

L’Artificial Intelligence Act pourrait avoir un impact non-négligeable dans le domaine des ressources humaines, car elle introduit de nouvelles règles de transparence pour les IA de gestion du capital humain.

En effet, ces types d’IA sont considérés comme étant à risque élevé. Ainsi, elles doivent se conformer à des règles strictes de transparence qui, si elles ne sont pas respectées, peuvent entraîner des sanctions financières allant de 2% à 6% du chiffre d’affaires. 

En cas de violation de l’AI Act, les sanctions encourues suivent la même logique que celle du régime du RGPD. En cas de non-respect des règles d’usage, la personne fautive encourt une amende de 30 millions d’euros ou pouvant aller jusqu’à 6% du chiffre d’affaires s’il est question d’une entreprise. 

L’Artificial Intelligence Act prévoit également des amendes pour manquement de coopération avec les autorités, jusqu’à 10 millions d’euros ou 2% du chiffre d’affaires.  

Ainsi, de nombreuses solutions RH sont concernées et devront être en conformité avec cette loi intelligence artificielle. Il sera impératif d’éviter la discrimination et de fournir des résultats facilement exploitables.

L’utilisation des données sera tout autant cruciale, qui plus est pour les logiciels utilisant les données d’autres applications. Les responsabilités seront à définir et il conviendra de prêter attention aux moindres détails pour ne pas se retrouver dans l’illégalité. 

Actuellement en cours de discussion devant les institutions bruxelloises, l’Artificial Intelligence Act devrait bientôt voir le jour et changer la donne. Si la France et d’autres acteurs européens poussent pour un IA Act plus flexible, les entreprises vont devoir s’adapter pour une IA plus performante et moins dangereuse.