07/01/2024
Cybersecurity Insights
Intelligence artificielle : enjeux, risques et régulation
Alors que l’Intelligence artificielle est de plus en plus présente aussi bien dans notre vie quotidienne que dans les systèmes d’information des organisations, les experts et les états se questionnent sur les enjeux de cette nouvelle technologie.
L’Organisation de coopération et de développement économiques (OCDE) a proposé en novembre 2023 une révision de la définition d’Intelligence artificielle comme suit :
"Un système d'IA est un système basé sur une machine qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu'il reçoit, comment générer des résultats tels que des prédictions, du contenu, des recommandations ou des décisions pouvant influencer les environnements physiques ou virtuels. Les systèmes varient dans leurs niveaux d'autonomie et d'adaptabilité après le déploiement."
On peut notamment citer les Systèmes d’Intelligence Artificielle (SIA) dits faibles ou étroits, utilisés pour effectuer des tâches spécifiques ou encore les SIA génératives capables de produire du texte, des images et autres médias, comme par exemple les systèmes de reconnaissance de personnes sur des photos, ou encore Siri l’assistant des appareils mobiles Apple.
Durant la phase d’apprentissage ainsi qu’après déploiement, les SIA reçoivent de grandes quantités de données à traiter, ce qui peut poser des problèmes de confidentialité et également de gestion de données personnelles. De plus, à l’instar de toute nouvelle technologie, les SIA peuvent être les cibles d’attaques ou encore sujets à des défaillances. C’est pourquoi malgré les opportunités que les SIA proposent, de nombreuses interrogations complexes sur le questionnement éthique et le besoin de régulation sont soulevées. Comment tirer le meilleur parti de cette technologie tout en appréhendant ses risques ?
La multiplicité des acteurs de l’IA en Europe et en France
L’encadrement et la définition de ces rôles
Au niveau européen et en France, plusieurs acteurs jouent un rôle crucial dans la régulation de l’IA. En France, l’acteur principal est la Commission Nationale de l’Informatique et des Libertés (CNIL), elle a notamment publié sept fiches pratiques de recommandations dans le cadre du développement de SIA. Ces fiches pratiques permettent de définir le régime juridique applicable aux données personnelles et ainsi les traiter selon le Règlement Général à la Protection des Données (RGPD).
En Europe, le Parlement européen, la Commission européenne et le Conseil de l’Union Européenne travaillent ensemble pour établir un cadre législatif de l’IA. En 2019, les « Lignes directrices en matière d’éthique pour une IA digne de confiance » ont été écrites par le groupe d’experts de haut niveau sur l’intelligence artificielle constitué par la Commission européenne. D’après ces lignes directrices, une IA digne de confiance est :
- elle doit être licite, en assurant le respect des législations et réglementations applicables ;
- elle doit être éthique, en assurant l’adhésion à des principes et valeurs éthiques ; et
- elle doit être robuste, sur le plan tant technique que social car, même avec de bonnes intentions, les systèmes d’IA peuvent causer des préjudices involontaires
Ces lignes directrices sont non-contractuelles, et n’agissent qu’en tant que recommandation. C’est en février 2020, après la publication d’une étude d’impact de la régulation sur l’IA qui définit plusieurs risques liés au développement de l’IA, que l’Europe décide de prendre une approche législative, et que les premiers échanges concernant l’IA Act ont lieu.
Depuis plusieurs semaines, le Parlement européen, la Commission européenne et le Conseil de l’UE sont en pleines négociations pour déterminer une version commune de l’IA Act. Cependant, quelques points de blocages subsistent. En effet, la France soutenue de l’Allemagne et de l’Italie, s’est opposée à une régulation trop stricte sur les IA génératives, comme ChatGPT d’OpenAI. Selon ces trois pays, cette nouvelle réglementation pourrait entraver la compétitivité des pays membres de l’UE sur ce marché. Finalement, après toutes ces négations, le trilogue a réussi à se mettre d’accord sur une version générale le 8 décembre 2023, soit deux ans après la première proposition de la Commission. La date de l’entrée en vigueur du règlement n’est cependant pas encore officiellement connue même si 2025 semble le plus probable. Les objectifs principaux de l’IA Act sont de veiller à ce que les SIA mis sur le marché soient conformes avec les valeurs de l’Union Européenne et qu’ils ne compromettent aucun des droits fondamentaux en encadrant leur développement au sein des états membres, tout en promouvant l’innovation et la compétitivité du marché européen.
Des rôles prédéfinis et essentiels dans l’IA Act
Les autorités de surveillance qui seront désignées par chaque état membre auront la charge de l’application des dispositions légales de l’IA Act. Chacune de ces autorités de surveillance représentera son état membre au conseil d’administration du Bureau de l’IA. En plus de leur rôle de surveillance du marché, elles seront également chargées d’effectuer des enquêtes pour vérifier la conformité des SIA à haut risque déjà en circulation sur le marché avec les obligations et exigences de l’IA Act. Les fournisseurs de SIA à haut risque sur le marché européen devront signaler tout incident majeur qui constitue une infraction portant atteinte aux droits fondamentaux, aux autorités de surveillance des états membres dans lesquels les infractions ont eu lieu. De plus, les autorités de surveillance se voient accorder un total accès aux jeux de données d’entrainement et de test utilisés par les fournisseurs de SIA. Ce sont notamment les autorités de surveillance qui infligent les sanctions et amendes sous réserve des montants maximums fixés par l’IA Act.
En France, l’autorité compétente sera la CNIL où un nouveau service destiné à l’intelligence artificielle composé de juristes et d’ingénieurs spécialisé a été créé.
Un Bureau de l’intelligence artificielle sera également créé dont les missions sont les suivantes :
- Soutenir et conseiller les états membres, les autorités de surveillance et coopérer avec eux en ce qui concerne la mise en œuvre de l’IA Act ;
- S’assurer de l’application effective et cohérente de l’IA Act ;
- Contribuer à la coordination entre les autorités de surveillance,
- Publier un rapport annuel comprenant une évaluation de la mise en œuvre de l’IA Act.
Les enjeux importants de l’IA dans le secteur privé
Un besoin de sensibilisation important
La sensibilisation joue un rôle crucial pour assurer une conduite éthique et responsable en matière d’IA mais aussi dans le cadre d’une gestion des risques liés au développement et à l’utilisation d’IA. C’est ainsi que l’IA Act définit et classe trois types de SIA en fonction de leur niveau de risque.
- Les SIA à risque minimal : Ils présentent un niveau de risque faible et ne sont pas susceptibles de causer de préjudices importants à la santé, à la sécurité, aux droits fondamentaux et ou à l’environnement ;
- Les SIA à haut risque : Ce sont des systèmes, qui dès leur mise sur le marché ou en service, présentent des risques importants pour la santé, la sécurité, les droits fondamentaux des individus, l’environnement, la démocratie ou l’état de droit ;
- Les SIA interdits : Ce sont les systèmes qui répondent aux pratiques interdites énumérées par l’IA Act. Par exemple, d’après l’article 5, voici quelques pratiques interdites :
- La mise sur le marché, ou en service et l’utilisation de SIA ayant recourt à des techniques subliminales
- La mise sur le marché, ou en service et l’utilisation de SIA exploitant des vulnérabilités dues à l’âge ou au handicap physique ou mental.
- L’utilisation de système d’identification biométrique à distance.
Le développement de SIA peut compromettre la sécurité ou même les droits fondamentaux des individus. Il existe un risque de décisions ou résultats erronés et de reproduction de biais structurels, si les données que le SIA utilise n’ont pas été convenablement traitées. Certains SIA peuvent avoir un impact sur le doit à la vie privée et sur la protection des données personnelles, s’ils sont utilisés à des fins de reconnaissance faciale ou de traque. Avec l’utilisation de l’IA, les “deepfakes” (ou hypertrucages) deviennent de plus en plus réalistes et peuvent porter atteinte aux droits des individus, notamment en cas d’usurpation d’identité.
L’obligation de gestion des risques
L’utilisation, la mise sur le marché ou en service de SIA à haut risque sont conditionnées par plusieurs critères déterminés dans l’IA Act. En effet les acteurs sont soumis à de nombreuses exigences pour fournir, développer, déployer, importer ou distribuer des SIA.
Tout d’abord, les fournisseurs d’IA doivent s’assurer qu’elles respectent le socle de sécurité et de conformité, notamment en utilisant un jeu de données de très bonne qualité et en faisant certifier du marquage CE tous leurs produits. Ils doivent aussi minimiser les risques en mettant en place un système efficace de gestion des risques et en effectuant plusieurs séries de tests avant la mise sur le marché. De plus, ils sont également en charge de responsabiliser les autres acteurs en fournissant de la documentation et en dispensant des formations aux déployeurs d’IA concernant l’utilisation sécurisée de leur IA.
Les déployeurs doivent garantir une utilisation sécurisée des IA conformément aux exigences spécifiées par les fournisseurs, ils participent également aux différentes évaluations de conformité et analyses des risques.
Les distributeurs doivent vérifier que les SIA sont bien certifiés du marquage CE et que la documentation nécessaire à leur utilisation est présente. Ils doivent aussi contrôler que les fournisseurs ont respecté leurs obligations.
Enfin, les importateurs doivent s’assurer de la conformité de l’IA en vérifiant que toutes les exigences du fournisseur ont bien été réalisées.
La CNIL a publié un dossier intitulé « IA : professionnels, comment se mettre en conformité ? » dans lequel se trouve un article détaillant les obligations du RGPD vis-à-vis des SIA et un guide d’auto-évaluation pour évaluer de la maturité de leur SIA par rapport au RGPD.
En cas de manquement aux directives spécifiées par l’IA Act, c’est aux états membres de définir les sanctions et de les appliquer. Néanmoins par soucis d’harmonisation, l’IA Act détermine les sanctions maximales pour chaque type d’infraction, comme suit :
- Le non-respect de l’interdiction des pratiques interdites de l’article 5 et la non-conformité aux exigences des données et de la gouvernance des données de l’article 10 peuvent entrainer des amendes de 30 000 000EUR ou 6% du CA annuel mondial.
- Toute autre non-conformité aux exigences autres que celles des articles 5 et 10 entrainent des amendes d’un montant pouvant aller jusqu’à 20 000 000EUR ou 4% du CA annuel mondial.
- La fourniture d’informations inexactes ou trompeuses aux organismes notifiés et aux autorités nationales compétentes entraine des amendes d’un montant pouvant aller jusqu’à 10 000 000EUR ou 2% du CA annuel mondial.
Ornella FABI
Consultante Governance, Risks & Compliance
