Digital Omnibus : ou comment déréglementer le numérique européen pour complaire à Trump et aux big tech

COMMUNIQUÉ : Accord IA omnibus, les lég­is­la­teurs de l’UE devraient rejeter un recul des garanties

Un dossier de déréglementation présenté comme une simplification

Le Règle­ment sur l’IA [RIA ou AI act] a été adop­té après des années de négo­ci­a­tion et de com­pro­mis, mais cer­taines de ses garanties les plus impor­tantes n’ont même pas com­mencé à s’appliquer.

Au lieu de soutenir la mise en œuvre par le biais d’orientations et d’élab­o­ra­tion d’outils tels que des normes, la Com­mis­sion européenne a rou­vert la loi sous la ban­nière de la “sim­pli­fi­ca­tion”. En réal­ité, comme dans la plu­part des pro­grammes omnibus numériques, la volon­té est de déré­gle­menter. L’ac­cord final va bien au-delà des change­ments tech­niques.

Entre autres change­ments, il retarde les oblig­a­tions pour les sys­tèmes d’IA à haut risque, affaib­lit la trans­parence vis à vis du pub­lic, mod­i­fie la façon dont le Règle­ment sur l’IA s’applique à l’IA indus­trielle et ajoute à la dernière minute de nou­velles pra­tiques inter­dites .

Ce sont des choix poli­tiques qui ont de réelles con­séquences sur les droits fon­da­men­taux et sur les respon­s­abil­ités qui en découlent.

De plus, ce proces­sus crée un dan­gereux précé­dent : des acteurs puis­sants peu­vent, avant leur mise en œuvre, chercher à affaib­lir les règles qui leur déplaisent.

Pour les règles déjà exis­tantes mais qui néces­sit­eraient une appli­ca­tion plus stricte, y com­pris le Règle­ment Général sur la Pro­tec­tion des Don­nées (RGPD) et la direc­tive sur la pro­tec­tion de la vie privée en ligne, le mes­sage est tout aus­si dan­gereux : sous la ban­nière de la “com­péti­tiv­ité”, des droits fon­da­men­taux peu­vent être rejetés. À l’échelle mon­di­ale, l’UE risque de ren­forcer la course vers le bas dans la (dé)réglementation numérique.

Cela est aggravé par un proces­sus mar­qué par l’ab­sence d’é­val­u­a­tion sur l’im­pact des mesures, par une con­sul­ta­tion d’in­térêt pub­lic insuff­isante et par un cal­en­dri­er pré­cip­ité pour des change­ments juridique­ment et poli­tique­ment com­plex­es.

L’accord affaiblit les principales garanties du règlement sur l’IA

L’une des pires propo­si­tions de la Com­mis­sion a été blo­quée. L’accord final ne sup­prime pas l’obligation d’enregistrer les sys­tèmes d’IA dans la base de don­nées de l’UE lorsque les four­nisseurs s’appuient sur l’article 6, para­graphe 3, pour class­er les sys­tèmes comme “non à haut risque”.

Cela est impor­tant parce que l’ar­ti­cle 6, para­graphe 3, donne déjà aux four­nisseurs le pou­voir dis­cré­tion­naire de décider que cer­tains sys­tèmes util­isés dans les zones à haut risque ne devraient pas être traités comme à haut risque. Sans l’en­reg­istrement pub­lic, les entre­pris­es auraient pu éviter les prin­ci­pales oblig­a­tions de l’AI Act sans presque aucune trace publique.

Mais l’ac­cord affaib­lit encore la trans­parence publique. Les four­nisseurs devront télécharg­er moins d’in­for­ma­tions dans la base de don­nées publique. Cela sig­ni­fie que les régu­la­teurs, les chercheurs, la société civile et les per­son­nes touchées auront moins d’informations pour éval­uer si les four­nisseurs classent cor­recte­ment leurs sys­tèmes, et par con­séquent auront moins de capac­ité à riposter lorsque des dom­mages se pro­duisent.

L’ac­cord déplace égale­ment le règle­ment sur les machines de la sec­tion A à la sec­tion B de l’an­nexe I. Dans la pra­tique, cela pousse les sys­tèmes d’IA inté­grés dans les machines vers les règles sec­to­rielles des machines, plutôt que dans le cadre à haut risque défi­ni par l’AI Act.

C’est un change­ment sérieux. Le Règle­ment sur l’IA a été conçu comme une loi hor­i­zon­tale parce que les méfaits liés à l’IA ne s’in­tè­grent pas par­faite­ment dans les boîtes de sécu­rité des pro­duits. Le droit des machines peut traiter de la sécu­rité physique, mais il n’a pas été conçu pour cou­vrir toute la gamme des risques liés aux droits fon­da­men­taux et spé­ci­fiques à l’IA.

Les sys­tèmes d’IA embar­qués dans les machines peu­vent affecter la sécu­rité des tra­vailleurs, le rythme de tra­vail, l’attribution des tâch­es, la sur­veil­lance, l’autonomie et la capac­ité de remet­tre en ques­tion les déci­sions. Si ces sys­tèmes sont conçus comme de l’optimisation, de l’automatisation, de l’efficacité ou du con­trôle de la qual­ité, leur impact sur les droits peut devenir plus dif­fi­cile à cap­tur­er.

Les garanties retardées signifient une responsabilité repoussée

L’ac­cord final retarde les oblig­a­tions clés pour les sys­tèmes d’IA à haut risque. Pour de nom­breux sys­tèmes à haut risque, les mesures de pro­tec­tion sont reportées au 2 décem­bre 2027. Pour les sys­tèmes d’IA cou­verts par l’an­nexe I, le cal­en­dri­er est poussé plus loin, jusqu’au 2 août 2028.

Cela sig­ni­fie que les sys­tèmes d’IA poten­tielle­ment nuis­i­bles peu­vent être mis sur le marché ou déployés plus longtemps sans les garanties com­plètes du Règle­ment sur l’IA. Ces mesures de pro­tec­tion com­pren­nent des règles sur la ges­tion des risques, la doc­u­men­ta­tion, la sur­veil­lance humaine, la trans­parence, l’ex­ac­ti­tude, la robustesse et la sur­veil­lance.

Cela est par­ti­c­ulière­ment préoc­cu­pant parce que les sys­tèmes d’IA sont déjà déployés dans des domaines sen­si­bles tels que les lieux de tra­vail, les ser­vices publics, la san­té, l’éducation, la police, la migra­tion et le sys­tème de jus­tice.

Retarder les garanties n’est pas une étape admin­is­tra­tive neu­tre. Il retarde la respon­s­abil­ité et pro­longe la péri­ode pen­dant laque­lle les per­son­nes touchées par les sys­tèmes d’IA ne béné­fi­cient pas des pro­tec­tions que le Règle­ment sur l’IA était cen­sé fournir.

Les données sensibles et les interdictions de titres ne doivent pas détourner l’attention du recul plus large

L’AI Omnibus intro­duit égale­ment une déro­ga­tion inquié­tante pour le traite­ment de caté­gories spé­ciales de don­nées per­son­nelles pour la détec­tion et la cor­rec­tion de biais. Bien sûr, la détec­tion des biais est impor­tante, mais elle ne doit pas être util­isée pour nor­malis­er la présence de don­nées haute­ment sen­si­bles dans les pipelines d’IA. Les don­nées révélant la san­té, les opin­ions poli­tiques, l’ori­en­ta­tion sex­uelle ou l’o­rig­ine eth­nique exi­gent une pro­tec­tion stricte en ver­tu de la loi européenne sur la pro­tec­tion des don­nées.

Cela est par­ti­c­ulière­ment inquié­tant dans le con­texte du soi-dis­ant “Omnibus de don­nées”, l’autre pili­er de l’Omnibus numérique, qui risque de créer de nou­velles déro­ga­tions pour l’utilisation de caté­gories spé­ciales de don­nées per­son­nelles dans le développe­ment de l’IA. Ensem­ble, ces fichiers risquent de déplac­er le traite­ment de don­nées sen­si­bles d’exceptionnel à nor­mal.

L’accord final ajoute égale­ment de nou­velles inter­dic­tions pour les sys­tèmes d’IA de génér­er ou de manip­uler du matériel intime non con­sen­ti et du matériel d’abus sex­uel sur des enfants. Les préju­dices abor­dés ici sont réels et graves. Mais ces inter­dic­tions ont été insérées dans un dossier Omnibus présen­té comme une sim­pli­fi­ca­tion tech­nique, bien que le Règle­ment sur l’IA dis­pose déjà d’un mécan­isme de révi­sion pour les pra­tiques inter­dites, et alors que la recon­nais­sance des émo­tions abu­sives con­tre les per­son­nes en mou­ve­ment et les tech­nolo­gies de sur­veil­lance fab­riquées par l’UE affec­tant des per­son­nes en dehors de l’UE con­tin­u­ent d’être autorisées.

Une inter­dic­tion des titres ne devrait pas détourn­er l’at­ten­tion de la réal­ité plus large: le même accord retarde les garanties, affaib­lit la trans­parence et crée de nou­velles failles.

Le Parlement et le Conseil devraient rejeter l’accord AI Omnibus

L’AI Omnibus affaib­lit le Règle­ment sur l’IA avant même que des garanties clés n’aient com­mencé à s’appliquer. Il retarde la respon­s­abil­ité, réduit la trans­parence, frag­mente la logique hor­i­zon­tale de l’AI Act et donne aux lob­by­istes de l’industrie la pos­si­bil­ité de redis­cuter des oblig­a­tions con­tenues dans l’AI act qui ne leur con­vi­en­nent pas.

Cela compte au-delà de l’IA. La même logique de déré­gle­men­ta­tion est vis­i­ble dans l’Omnibus Data et le Dig­i­tal Fit­ness Check, ain­si que dans d’autres domaines bien au-delà des droits numériques. Si ce mod­èle devient la norme, la règle­men­ta­tion numérique de l’UE restera ouverte à la pres­sion per­ma­nente chaque fois que les garanties devi­en­nent gênantes.

Dans l’analyse jointe, nous expliquons les prin­ci­paux change­ments plus en détail. La con­clu­sion est claire : le Par­lement européen devrait rejeter l’ac­cord AI Omnibus. Les décideurs poli­tiques qui se soucient des droits fon­da­men­taux, de l’état de droit et de la respon­s­abil­ité sig­ni­fica­tive doivent résis­ter à la déré­gle­men­ta­tion, que ce soit par le biais de fichiers Omnibus ou de toute autre procé­dure pré­cip­itée util­isée pour affaib­lir les garanties dure­ment gag­nées.