Loi sur l'IA : la présidence tchèque de l'UE propose une classification restreinte des systèmes à haut-risque

Un nouveau compromis partiel sur la loi sur l’intelligence artificielle (IA), consulté par EURACTIV vendredi (16 septembre), élabore davantage le concept de « niveau supplémentaire » qui qualifierait une intelligence artificielle comme étant à haut-risque uniquement si elle a un impact important sur la prise de décision.

La loi sur l’IA est une proposition historique visant à réglementer l’intelligence artificielle dans l’UE en suivant une approche basée sur le risque. Par conséquent, la catégorie de risque élevé est un élément clé de la réglementation, car il s’agit des catégories ayant le plus fort impact sur la sécurité des personnes et sur les droits fondamentaux.

Vendredi, la présidence tchèque du Conseil de l’UE a fait circuler le nouveau compromis, qui vise à apporter une réponse aux questions en suspens relatives à la catégorisation des systèmes à haut-risque et aux obligations qui en découlent pour les fournisseurs d’IA.

Le texte se concentre sur les 30 premiers articles de la proposition et couvre également la définition de l’IA, le champ d’application du règlement et les applications d’IA interdites. Le document servira de base à une discussion technique lors de la réunion du groupe « Télécommunications et société de l’information » du 29 septembre.

Classification des systèmes à haut-risque

En juillet, la présidence tchèque de l’UE a proposé d’ajouter un niveau supplémentaire pour déterminer si un système d’IA comporte des risques élevés, à savoir la condition que le système à haut-risque joue un rôle important dans la prise de décision finale.

L’idée centrale est de renforcer la sécurité juridique et d’empêcher les applications d’IA qui sont « purement accessoires » à la prise de décision de relever du champ d’application. La présidence tchèque de l’UE souhaite que la Commission européenne définisse la notion de « purement accessoire » par le biais d’un acte d’exécution dans un délai d’un an à compter de l’entrée en vigueur du règlement.

Le principe selon lequel un système capable de prendre des décisions sans contrôle humain sera considéré comme à haut-risque a été supprimé car « tous les systèmes d’IA automatisés ne sont pas nécessairement à haut-risque, et parce qu’une telle disposition pourrait être contournée en y mettant un être humain au milieu ».

De plus, le texte stipule que lorsque l’exécutif européen actualisera la liste des applications à haut risque, il devra prendre en compte les avantages potentiels que l’IA peut avoir pour les individus ou la société en général, plutôt que le seul dommage potentiel.

La présidence tchèque de l’UE n’a pas modifié les catégories à haut-risque énumérées à l’annexe III, mais a procédé à une reformulation importante. En outre, le texte indique désormais explicitement que les conditions permettant à la Commission de retirer des applications de la liste à haut risque sont cumulatives.

Exigences relatives aux systèmes à haut-risque

Dans la section sur la gestion des risques, la présidence tchèque de l’UE a modifié le libellé afin d’exclure la possibilité d’identifier les risques liés aux systèmes à haut-risque par des essais, cette pratique ne devant être utilisée que pour vérifier ou valider les mesures d’atténuation.

Les modifications donnent également une plus grande marge de manœuvre à l’autorité nationale compétente pour évaluer quelle documentation technique est nécessaire pour les PME fournissant des systèmes à haut-risque.

En ce qui concerne l’examen humain, le projet de règlement exige qu’au moins deux personnes supervisent les systèmes à haut-risque. Les Tchèques proposent toutefois une exception aux « principes des quatre yeux » — c’est à dire le contrôle d’une opération par deux personnes par mesure de sécurité. L’exception concernerait les applications de l’IA dans le domaine du contrôle des frontières, lorsque la législation européenne ou nationale l’autorise.

Pour les institutions financières, le compromis prévoit que le système de gestion de la qualité qu’elles devraient mettre en place pour les cas d’utilisation à haut-risque peut être intégré à celui déjà en place pour se conformer à la législation sectorielle existante afin d’éviter les doubles emplois.

Les autorités financières auraient également des pouvoirs de contrôle du marché en vertu du règlement sur l’IA, notamment la réalisation d’activités de surveillance a posteriori pouvant être intégrées dans le mécanisme de contrôle existant de la législation européenne sur les services financiers.

Définition

La présidence tchèque de l’UE a conservé la plupart des changements qu’elle avait apportés à la définition de l’IA, mais a supprimé la référence à l’obligation pour l’IA de suivre des objectifs « définis par l’homme », estimant qu’elle était « non essentielle ».

Le texte précise désormais que le cycle de vie d’un système d’IA prendrait fin s’il était retiré par une autorité de surveillance du marché ou s’il subissait une modification substantielle, auquel cas il devrait être considéré comme un nouveau système.

Le compromis a également introduit une distinction entre l’utilisateur et celui qui contrôle le système, qui n’est pas nécessairement la même personne que celle concernée par l’IA.

Les Tchèques ont également complété la définition de l’apprentissage automatique en précisant qu’il s’agit d’un système capable d’apprendre mais aussi de déduire des données.

En outre, le concept précédemment introduit d’autonomie d’un système d’IA a été décrit comme « le degré auquel un tel système fonctionne sans influence extérieure. »

Champ d’application

Les Tchèques ont introduit une exclusion plus directe des activités de recherche et de développement liées à l’IA, « y compris également en ce qui concerne l’exception pour la sécurité nationale, la défense et les objectifs militaires », indique la partie explicative.

La partie essentielle du texte sur l’IA à usage général sera réservée au prochain compromis.

Pratiques interdites

La partie sur les pratiques interdites, une question sensible pour le Parlement européen, ne suscite pas de controverse parmi les États membres qui n’ont pas demandé de modifications majeures.

Parallèlement, le préambule du texte définit plus précisément le concept de techniques de manipulation par l’IA comme des sollicitations qui vont « au-delà de la perception humaine ou d’autres techniques subliminales qui subvertissent ou portent atteinte à l’autonomie de la personne […], par exemple dans le cas d’interfaces neuronales directes ou de réalité virtuelle ».