Règlement IA : bataille perdue, mais horizon de conquête

Le Règle­ment européen sur l’In­tel­li­gence Arti­fi­cielle (RIA pour la CNIL, ou “AI act”) est applic­a­ble depuis le 1e août 2024 (selon un cal­en­dri­er pro­gres­sif, voir plus bas).

Face au 1e pro­jet d’avril 2021, la coali­tion d’or­gan­i­sa­tions de défense des droits humains #Pro­tect Not Sur­veil (com­posée de l’EDRi [dont fait par­tie La Quad­ra­ture du Net], d’Amnesty Inter­na­tion­al, Access Now, Algo­rithm Watch…) a mené un com­bat d’am­pleur pour obtenir l’in­ter­dic­tion des IA util­isant la recon­nais­sance faciale en temps réel ou a pos­te­ri­ori, de celles per­me­t­tant la police et la jus­tice pré­dic­tive, l’usage de critères por­tant sur le genre ou la race, la nota­tion automa­tisée, l’analyse com­porte­men­tale (recon­nais­sance des émo­tions)…

La bataille menée par cette coali­tion, passée presque inaperçue en France (essen­tielle­ment relayée par Katia Roux, pour Amnesty), avait réus­si à obtenir le vote d’un texte au Par­lement européen qui repre­nait l’essen­tiel de ses deman­des en juin 2023 par 499 voix pour, 28 con­tre et 93 absten­tions, soit à une très large majorité (avec cepen­dant une restric­tion notable, celle de ne pas pro­téger les migrants, ce qui avait provo­qué un appel en leur faveur de 151 organ­i­sa­tions européennes).

Mais les Etats (au pre­mier rang la France macro­niste, qui aurait dû renon­cer à la VSA…) ont obtenu le déclasse­ment de cer­tains dis­posi­tifs “inter­dits” vers seule­ment “régle­men­tés”, et beau­coup de droits d’ex­cep­tion, ce qui déna­ture le texte négo­cié avec le Par­lement. La ver­sion finale de ce règle­ment n’interdira pas la sur­veil­lance bio­métrique de masse.

L’EDRi (Europan Dig­i­tal Rights) garde comme objec­tif de long terme le texte négo­cié avec le Par­lement. Par ailleurs, elle inven­to­rie ci-dessous quelques axes de con­tes­ta­tion qui pour­raient y men­er.

Som­maire

1. Cal­en­dri­er d’ap­pli­ca­tion du RIA (d’après la CNIL)

2. Qua­tre niveaux de risque (d’après la CNIL)

3. Extraits de la déc­la­ra­tion de l’EDRi

4. Nos arti­cles sur des thèmes spé­ci­fiques d’ap­pli­ca­tion nuis­i­ble de l’IA (migrant.es, sur­veil­lance de masse, guerre pilotée, pau­vres, con­séquences écologiques…)

5. Nos Arti­cles sur le déroule­ment de la négo­ci­a­tion

1. Cal­en­dri­er d’ap­pli­ca­tion du RIA (d’après la CNIL)

1er août 2024 : entrée en appli­ca­tion du règle­ment

2 févri­er 2025 : Inter­dic­tions rel­a­tives aux sys­tèmes d’IA présen­tant des risques inac­cept­a­bles.

2 août 2025 : appli­ca­tion des règles pour les mod­èles d’IA à usage général, et nom­i­na­tion des autorités com­pé­tentes au niveau des États mem­bres.

2 août 2026 : Toutes les dis­po­si­tions du règle­ment sur l’IA devi­en­nent applic­a­bles, notam­ment pour les sys­tèmes d’IA à haut risque dans les domaines de la bio­métrie, des infra­struc­tures cri­tiques, de l’édu­ca­tion, de l’emploi, de l’accès aux ser­vices publics essen­tiels, de l’appli­ca­tion de la loi, de l’immi­gra­tion et de l’admin­is­tra­tion de la jus­tice.

2 août 2027 : appli­ca­tion pour les jou­ets, équipements radio, dis­posi­tifs médi­caux de diag­nos­tic in vit­ro, sécu­rité de l’avi­a­tion civile, véhicules agri­coles, etc.

2. Quatre niveaux de risque (d’après la CNIL)

Le RIA pro­pose une approche fondée sur les risques en clas­sant les sys­tèmes d’IA en qua­tre niveaux :

  • Risque inac­cept­able : le RIA inter­dit un ensem­ble lim­ité de pra­tiques con­traires aux valeurs de l’U­nion européenne et aux droits fon­da­men­taux.
    Exem­ples : la nota­tion sociale, l’exploitation de la vul­néra­bil­ité des per­son­nes, le recours à des tech­niques sub­lim­i­nales, l’utilisation par les ser­vices répres­sifs de l’i­den­ti­fi­ca­tion bio­métrique à dis­tance en temps réel dans des espaces acces­si­bles au pub­lic, la police pré­dic­tive ciblant les indi­vidus, recon­nais­sance des émo­tions sur le lieu de tra­vail et dans les étab­lisse­ments d’en­seigne­ment.
  • Haut risque : le RIA définit les sys­tèmes d’IA comme étant à haut risque lorsqu’ils peu­vent porter atteinte à la sécu­rité des per­son­nes ou à leurs droits fon­da­men­taux ce qui jus­ti­fie que leur développe­ment soit soumis à des exi­gences ren­for­cées (éval­u­a­tions de con­for­mité, doc­u­men­ta­tion tech­nique mécan­ismes de ges­tion des risques). Ces sys­tèmes sont listés dans l’annexe I pour les sys­tèmes inté­grés dans des pro­duits qui font déjà l’objet d’une sur­veil­lance de marché (dis­posi­tifs médi­caux, jou­ets, véhicules, etc.) et dans l’annexe III pour les sys­tèmes util­isés dans huit domaines spé­ci­fiques.
    Exem­ples : sys­tèmes bio­métriques, des sys­tèmes util­isés dans le recrute­ment, ou pour des usages répres­sifs.
  • Risque spé­ci­fique en matière de trans­parence : le RIA soumet des sys­tèmes d’IA à des oblig­a­tions de trans­parence spé­ci­fiques, notam­ment en cas de risque man­i­feste de manip­u­la­tion.
    Exem­ples : recours à des chat­bots ou à la généra­tion de con­tenu arti­fi­ciel.
  • Risque min­i­mal : pour tous les autres sys­tèmes d’IA, le RIA ne prévoit pas d’obligation spé­ci­fique. Il s’agit de la très grande majorité des sys­tèmes d’IA actuelle­ment util­isés dans l’UE ou sus­cep­ti­bles de l’être selon la Com­mis­sion européenne.
L’attribut alt de cette image est vide, son nom de fichier est RIA-NiveauxRisques-1024x766.png.

3. Extraits de la déc­la­ra­tion de l’EDRi

(Déc­la­ra­tion com­plète en anglais)

L’en­trée en vigueur le 1er août 2024 du régle­ment européen sur l’in­tel­li­gence arti­fi­cielle (RIA), est une étape admin­is­tra­tive qui sig­nale aux gou­verne­ments et aux entre­pris­es qu’ils doivent se pré­par­er à respecter ces nou­velles règles. A défaut, ils s’ex­posent à des sanc­tions lorsqu’ils dévelop­pent, vendent et utilisent des sys­tèmes d’IA à risque dans l’UE.

L’Acte final (AI act) con­tient plusieurs pistes de reven­di­ca­tion :

  • exi­gences tech­niques accrues pour les développeurs de sys­tèmes d’IA et règles de trans­parence pour les entités publiques util­isant ces sys­tèmes, exi­gences d’ac­ces­si­bil­ité.
  • mesures de répa­ra­tion pour les per­son­nes affec­tées, et lignes rouges con­tre le sous-ensem­ble d’u­til­i­sa­tions les plus nuis­i­bles et violant les droits.

Nous deman­dons instam­ment aux décideurs de veiller à :
1. La mise en œuvre respectueuse des droits du règle­ment sur l’IA au niveau européen et nation­al :

  • respecter la Charte des tech­nolo­gies inter­dites et à risque
  • se soumet­tre aux autorités de con­trôle indépen­dantes
  • respecter les lignes direc­tri­ces et les codes respectueux des droits humains pro­mus par le règle­ment
  • réalis­er des éval­u­a­tions d’im­pact sur les droits fon­da­men­taux (EIDF).

2. Combler les lacunes lais­sées par ce règle­ment :

3. Des inter­dic­tions ou des lim­i­ta­tions nationales sup­plé­men­taires con­cer­nant l’IA inac­cept­able et nuis­i­ble dans les cas où le règle­ment sur l’IA le per­met, par­ti­c­ulière­ment nous appelons à l’inter­dic­tion de l’utilisation de sys­tèmes d’identification bio­métrique à dis­tance (RBI) comme la recon­nais­sance faciale publique.

4. L’arrêt rapi­de des util­i­sa­tions non con­formes de l’IA.

5. Des proces­sus véri­ta­ble­ment trans­par­ents et inclusifs. Les normes sont sou­vent opaques et priv­ilégient les entités privées. Elles doivent être trans­par­entes et inclure dans leur négo­ci­a­tion des représentant.es de la société civile.

L’EDRi recom­mande d’u­tilis­er les ressources suiv­antes pour plac­er les droits de l’homme au cen­tre des lois et poli­tiques sur l’intelligence arti­fi­cielle :

Le régle­ment européen sur l’IA ne parvient pas à établir une norme de référence en matière de droits de l’homme

La société civile appelle à une loi européenne sur l’IA pour mieux pro­téger les per­son­nes en déplace­ment

La société civile appelle l’UE à don­ner la pri­or­ité aux droits fon­da­men­taux dans la loi sur l’IA

Com­ment lut­ter con­tre la sur­veil­lance bio­métrique de masse après le régle­ment sur l’IA : un guide juridique et pra­tique (en anglais)

4. Nos arti­cles sur des thèmes spé­ci­fiques d’ap­pli­ca­tion nuis­i­ble de l’IA

5. Nos arti­cles sur le déroule­ment de la négo­ci­a­tion