"En matière d'intelligence artificielle, la confiance est une nécessité, mais pas un plaisir", déclare la vice-présidente du numérique, Margrethe Vestager (photo), "avec ces règles historiques, l'UE est à l'avant-garde du développement de nouvelles normes mondiales pour garantir que l'on puisse faire confiance à l'IA. En fixant des normes, nous pouvons ouvrir la voie à une sans souci dans le monde entier et garantir que l’UE reste compétitive tout au long de son parcours. À l’épreuve du temps et favorables à l’innovation, nos règles interviendront là où cela est strictement nécessaire : lorsque la sécurité et les droits fondamentaux des citoyens de l’UE sont en jeu. »
Les règles font la distinction entre les applications d'IA à haut risque, à risque limité et à risque minimal.
Systèmes d'IA identifiées comme à haut risque comprennent la technologie de l’IA utilisée dans :
- Les infrastructures critiques (par exemple les transports), qui pourraient mettre en danger la vie et la santé des citoyens;
- Formation éducative ou professionnelle, qui peut déterminer l'accès à l'éducation et le cours professionnel de la vie d'une personne (par exemple, la notation des examens);
- Composants de sécurité des produits (par exemple, application de l'IA dans la chirurgie assistée par robot);
- Emploi, gestion des travailleurs et accès au travail indépendant (par exemple, logiciel de tri de CV pour les procédures de recrutement);
- Services publics et privés essentiels (par exemple, la notation du crédit refusant aux citoyens la possibilité d'obtenir un prêt);
- Application de la loi qui peut interférer avec les droits fondamentaux des personnes (par exemple, évaluation de la fiabilité des preuves);
- Gestion de la migration, de l'asile et du contrôle aux frontières (par exemple, vérification de l'authenticité des documents de voyage);
- Administration de la justice et processus démocratiques (par exemple, application de la loi à un ensemble concret de faits).
Les systèmes d'IA à haut risque seront soumis à des obligations strictes avant de pouvoir être mis sur le marché:
- Systèmes adéquats d'évaluation et d'atténuation des risques;
- Haute qualité des ensembles de données alimentant le système pour minimiser les risques et les résultats discriminatoires;
- Enregistrement de l'activité pour assurer la traçabilité des résultats;
- Une documentation détaillée fournissant toutes les informations nécessaires sur le système et son objectif pour permettre aux autorités d'évaluer sa conformité;
- Information claire et adéquate pour l'utilisateur;
- Des mesures de surveillance humaine appropriées pour minimiser les risques;
- Haut niveau de robustesse, de sécurité et de précision.
En particulier, tous les systèmes d’identification biométrique à distance sont considérés comme à haut risque et soumis à des exigences strictes. Leur utilisation en direct dans des espaces accessibles au public à des fins répressives est en principe interdite.
Des exceptions étroites sont strictement définies et réglementées (par exemple, lorsque cela est strictement nécessaire pour rechercher un enfant disparu, pour prévenir une menace terroriste spécifique et imminente ou pour détecter, localiser, identifier ou poursuivre un auteur ou un suspect d'une infraction pénale grave).
Une telle utilisation est soumise à l'autorisation d'un organe judiciaire ou autre indépendant et à des limites appropriées dans le temps, la portée géographique et les bases de données recherchées.
Les systèmes d'IA à risque limité auront des obligations de transparence spécifiques : par exemple, lorsqu'ils utilisent des systèmes d'IA tels que des chatbots, les utilisateurs doivent être conscients qu'ils interagissent avec une machine afin de pouvoir prendre une décision éclairée de continuer ou de prendre du recul.
Les systèmes d'IA à risque minimal sans aucune nécessité de réglementation comprennent : les jeux vidéo compatibles avec l'IA ou les filtres anti-spam. La grande majorité des systèmes d’IA entrent dans cette catégorie.
Le comité européen de l'intelligence artificielle facilitera la mise en œuvre de la réglementation et pilotera le développement de normes pour l'IA.
Des amendes de 6% du chiffre d'affaires sont prévues pour les entreprises qui ne respectent pas les interdictions ou les exigences en matière de données
Des amendes plus petites sont prévues pour les entreprises qui ne se conforment pas aux autres exigences énoncées dans les nouvelles règles
Les règles s'appliqueront à la fois aux développeurs et aux utilisateurs de systèmes d'IA à haut risque
Les fournisseurs d'IA à risque doivent la soumettre à une évaluation de conformité avant son déploiement
Les autres obligations relatives à l'IA à haut risque comprennent l'utilisation d'ensembles de données de haute qualité, la garantie de la traçabilité des résultats et la surveillance humaine pour minimiser les risques.
Les critères pour les applications «à haut risque» comprennent le but prévu, le nombre de personnes potentiellement affectées et l'irréversibilité du préjudice.
Les règles doivent être approuvées par le Parlement européen et les États membres avant de devenir loi - un processus qui peut prendre plusieurs années.