Quand la loi sur l’IA de l’UE entre-t-elle en vigueur et que signifie-t-elle pour votre entreprise ?
La loi sur l’IA de l’UE est devenue la loi officielle de l’UE le 1er août 2024, mais les premières mesures concernant les utilisations interdites de l’IA et les programmes de sensibilisation à l’IA pour les entreprises concernées entreront en vigueur le 2 février 2025.
Dans cet article, nous vous aiderons à déterminer si votre entreprise est concernée par la loi sur l’IA. À la fin, vous comprendrez comment la loi sur l’IA est pertinente pour votre entreprise et ce que vous devez faire quand pour être conforme. Les pénalités pour non-conformité peuvent être significatives, avec des amendes maximales allant jusqu’à 7 % du revenu annuel mondial d’une entreprise ou 35 millions d’euros, selon le montant le plus élevé.
Qu’est-ce que l’IA ?
Il a été soutenu lors d’ateliers que l’intelligence artificielle n’est pas une chose unique, mais de nombreuses choses. La loi sur l’IA adopte la même approche, faisant référence à l’IA comme à une « famille de technologies ».
Cependant, nous avons besoin d’une définition de ce qui est réglementé, qui n’est pas l’IA en général, mais les « systèmes d’IA ». Un système d’IA est défini comme un système basé sur une machine conçu pour fonctionner avec des niveaux d’autonomie variables et qui peut montrer une adaptabilité après déploiement, et qui, pour des objectifs explicites ou implicites, inférence, à partir des entrées qu’il reçoit, comment générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer des environnements physiques ou virtuels.
Quelles entreprises sont concernées par la loi sur l’IA ?
Commençons par les entreprises exclues. Si votre entreprise ne fournit ni n’utilise l’IA sous quelque forme que ce soit, vous pouvez ignorer la loi sur l’IA. Cependant, il n’est pas si sûr de garantir que votre entreprise ne fournit ni n’utilise l’IA, comme vous pouvez l’apprécier à partir de la section précédente définissant les systèmes d’IA.
Une exclusion plus simple concerne les personnes physiques (par opposition aux personnes morales telles que les sociétés) qui utilisent l’IA de manière non professionnelle. Ainsi, il n’est pas nécessaire d’enregistrer votre assistant OpenAI pour écrire des cartes de Noël ou votre bot d’IA développé vous-même qui vous rappelle de faire du yoga auprès d’une agence de réglementation.
Une autre exclusion facile concerne les institutions de recherche pures. Le travail de recherche et développement est également hors du champ d’application de la loi sur l’IA. Avec certaines réserves que nous mentionnerons ci-dessous, cette exclusion s’applique également aux entreprises développant de l’IA avant de mettre leur IA sur le marché externe ou dans un service interne.
Le dernier groupe exclu a été la source de débats et de changements significatifs entre le premier projet et le final : l’industrie de la défense.
Ces exclusions nous donnent des exemples de la manière dont la loi sur l’IA vise à suivre une approche « basée sur le risque » qui permet (et dans certains cas encourage) l’innovation tout en gérant les risques lorsque l’IA échoue.
Mon entreprise est-elle concernée par la loi sur l’IA. Que faire maintenant ?
La loi sur l’IA est entrée en vigueur le 1er août 2024, mais ses exigences pour les entreprises et les agences gouvernementales entreront en vigueur par vagues, la prochaine vague étant le 2 février 2025, couvrant spécifiquement les systèmes d’IA interdits et des exigences assez larges en matière de sensibilisation à l’IA.
Les exigences en matière de sensibilisation à l’IA couvrent un large éventail
Contrairement à la majorité de la loi sur l’IA, l’exigence de sensibilisation à l’IA s’applique à toutes les entreprises fournissant ou déployant de l’IA. Il est tentant de penser que l’utilisation d’un service d’IA ne fait pas de votre entreprise un « déployeur » d’IA, pourtant la définition laisse peu de doute que toute utilisation de l’IA dans un cadre professionnel fait de votre entreprise un « déployeur », et donc requiert de prouver une forme de formation à la sensibilisation à l’IA à ses employés.
Les catégories de risque de la loi sur l’IA
Les catégories de risque de la loi sur l’IA se divisent en deux domaines principaux, que nous pouvons appeler grossièrement les risques de « quoi » et les risques de « comment », où les risques de « quoi » se rapportent aux tâches que le système d’IA est censé effectuer, tandis que les risques de « comment » se concentrent sur l’interaction du système d’IA avec ses utilisateurs finaux.
Les catégories de risque « quoi » de la loi sur l’IA de l’UE
Les catégories de risque « quoi » se divisent selon la gravité des conséquences d’une défaillance d’un système d’IA pour la santé, la sécurité ou les droits fondamentaux. Les catégories sont « interdites », « à haut risque » et « à risque minimal ».
Les systèmes d’IA interdits sont ceux jugés incompatibles avec la santé, la sécurité ou les droits fondamentaux des résidents de l’UE. Exemples :
- Notation sociale hors du contexte dans lequel les données ont été recueillies, comme l’utilisation de flux Facebook pour accorder ou refuser des prêts bancaires.
- IA manipulatrice, comme la génération de fausses critiques sur des sites de vente.
- IA prédictive du crime.
- Identification à distance des personnes sauf dans certaines situations étroites de maintien de l’ordre.
Les systèmes d’IA à haut risque sont ceux où les tâches effectuées par les systèmes d’IA présentent des risques reconnus pour la santé, la sécurité ou les droits fondamentaux. Exemples :
- Décisions de prêt bancaire par IA.
- Décisions d’accès à l’assurance vie ou santé.
- Utilisation de l’IA pour des décisions d’emploi.
- IA utilisée pour la sécurité des produits ou des infrastructures.
La dernière catégorie, basée sur les tâches effectuées par le système d’IA, est celle des systèmes à risque minimal, ce qui signifie que les inconvénients potentiels de l’utilisation du système d’IA sont suffisamment faibles pour que la réglementation n’entrave pas l’innovation sans fournir de protection supplémentaire suffisante pour les résidents de l’UE.
Exemples de systèmes d’IA à risque minimal incluent :
- Filtres de spam par e-mail.
- Détection de fraudes.
- Applications d’IA procédurales étroites.
Pourquoi cette classification de risque « quoi » est-elle importante ? Parce que les actions requises par votre entreprise diffèrent selon que votre système d’IA est interdit, à haut risque ou à risque minimal.
Ce que votre entreprise doit faire et quand : un résumé
Maintenant que vous avez un aperçu des définitions et concepts les plus importants de la loi sur l’IA de l’UE, résumons ce que votre entreprise doit faire :
- 2 février 2025 : Les exigences en matière de sensibilisation à l’IA et de systèmes d’IA interdits entrent en vigueur.
- 2 août 2025 : Les exigences pour l’IA à usage général entrent en vigueur.
- 2 août 2026 : Toutes les exigences restantes, y compris les systèmes d’IA à haut risque, entrent en vigueur.
- 2 février 2027 : Exigences pour les systèmes d’IA à haut risque intégrés dans des produits déjà réglementés entrent en vigueur.
