Obligations à venir de la loi sur l’IA de l’UE : Formation obligatoire et pratiques interdites
À partir du 2 février 2025, les fournisseurs et déployeurs de systèmes d’IA devront s’assurer de la littératie en IA au sein de leurs équipes, tout en éliminant les pratiques d’IA interdites. La loi sur l’IA de l’UE est entrée en vigueur le 1er août 2024, et les premières obligations en vertu de cette loi commenceront à s’appliquer à partir du 2 février 2025.
Littératie en IA
Quelque chose d’important à considérer est : quelles sont les obligations de formation en IA auxquelles mon entreprise doit se conformer ? L’article 4 de la loi sur l’IA impose une exigence générale élevée en matière de littératie en IA : « Les fournisseurs et déployeurs de systèmes d’IA doivent prendre des mesures pour garantir, dans la mesure du possible, un niveau suffisant de littératie en IA de leur personnel et d’autres personnes s’occupant de l’exploitation et de l’utilisation des systèmes d’IA en leur nom, en tenant compte de leurs connaissances techniques, de leur expérience, de leur éducation et de leur formation ainsi que du contexte dans lequel les systèmes d’IA doivent être utilisés. »
Les entreprises disposent donc d’une flexibilité considérable pour concevoir le contenu et le format de leur formation en IA pour leur personnel, afin de répondre à cette obligation d’ici le 2 février. Bien qu’il soit difficile de se défendre contre des allégations de non-conformité si les entreprises ne mettent en œuvre aucune forme de formation ou de ressources d’apprentissage en IA, il sera beaucoup plus facile de se défendre contre les régulateurs ou les plaignants soutenant que la formation en IA fournie était inadéquate. Une formation de base est certainement préférable à l’absence de formation dans ce contexte.
Quelles sont les conséquences de la non-conformité aux obligations de littératie en IA ?
Aucune amende directe ou autre sanction n’appliquera pour avoir violé les exigences de littératie en IA en vertu de l’article 4 de la loi sur l’IA. À partir du 2 août 2026 (date à laquelle les dispositions de sanctions de la loi sur l’IA deviendront applicables), les fournisseurs et déployeurs de systèmes d’IA pourraient faire face à une responsabilité civile, par exemple si l’utilisation des systèmes d’IA par un personnel non correctement formé cause des dommages aux consommateurs, partenaires commerciaux ou autres tiers.
Que peuvent faire les entreprises dès maintenant ?
Une première étape utile consiste à analyser les formations ou autres ressources destinées à atteindre la littératie en IA que l’entreprise a fournies à son personnel par le passé – et à documenter ces mesures pour prouver la conformité et se défendre contre de futures enquêtes des régulateurs ou des réclamations de tiers.
Si une analyse n’est pas réalisable ou indique des lacunes dans la formation en IA, les entreprises peuvent opter pour mettre rapidement en œuvre des mesures de littératie en IA pour combler les lacunes existantes de manière efficace avant le 2 février 2025.
Solutions pratiques pour atténuer les risques
- Évaluer les besoins en formation en IA : Évaluer les programmes de formation actuels pour identifier les lacunes en matière de littératie en IA.
- Documenter les mesures existantes : Conserver des dossiers de toutes les initiatives de formation pour démontrer la conformité.
- Choisir une approche par couches : Tous les domaines d’activité ou employés n’auront pas besoin d’avoir le même degré de littératie en IA. Offrir une formation de base générale à tous les employés et déployer des formations plus sophistiquées ou spécifiques aux rôles au besoin, dans une approche par phases.
- Consulter vos conseillers juridiques : Ils peuvent vous aider à mettre en œuvre des ateliers de littératie en IA ou des cours en ligne adaptés aux besoins de vos différentes équipes.
Pratiques interdites en IA
Quelles pratiques d’IA la loi sur l’IA interdit-elle ?
L’article 5 de la loi sur l’IA énumère un certain nombre de pratiques et d’applications d’IA interdites. Ces pratiques interdites sont décrites en termes relativement généraux, ce qui laisse place à l’interprétation et nécessite une analyse nuancée pour déterminer leur application en pratique. Les pratiques interdites incluent :
- Systèmes d’IA manipulateurs : Systèmes d’IA utilisant des techniques subliminales au-delà de la conscience d’une personne pour modifier significativement son comportement, pouvant entraîner des dommages physiques ou psychologiques.
- Systèmes d’IA exploitants : Systèmes d’IA exploitant les vulnérabilités de groupes spécifiques, tels que les enfants ou les personnes handicapées, pour modifier significativement le comportement de manière nuisible.
- Analyse des émotions au travail : Systèmes d’IA effectuant une analyse des émotions ou une catégorisation biométrique des employés, ce qui peut entraîner des violations de la vie privée et des pratiques discriminatoires.
- Notation sociale à des fins commerciales déloyales : Systèmes d’IA utilisés pour le scoring social, évaluant ou classifiant les individus en fonction de leur comportement social ou de leurs caractéristiques personnelles, entraînant un traitement défavorable ou injustifié.
Quelles sont les conséquences de la non-conformité aux interdictions de l’article 5 de la loi sur l’IA ?
L’article 99 de la loi sur l’IA prévoit des sanctions sévères pour engagement dans des pratiques d’IA interdites, y compris des amendes pouvant atteindre le plus élevé entre 35 millions d’euros ou 7 % du chiffre d’affaires mondial de l’année précédente par violation. Comme mentionné précédemment, le régime de sanctions de la loi sur l’IA s’appliquera à partir du 2 août 2026. En général, le droit de l’UE ne prévoit pas d’amendes rétroactives.
Que peuvent faire les entreprises dès maintenant ?
Les entreprises peuvent accéder à diverses façons pratiques d’atténuer les risques associés aux pratiques d’IA interdites par l’article 5 de la loi sur l’IA. Bien que le cours normal des affaires présente un faible risque pour de nombreuses entreprises, des problèmes potentiels sont plus susceptibles de surgir en raison de la description ambiguë de ces activités interdites dans la loi sur l’IA. Par exemple, la définition de l’inférence d’émotion alimentée par l’IA dans le milieu de travail ou des techniques manipulatrices dans les processus commerciaux est très ambiguë en pratique.
Par conséquent, dans le processus de mise en place de structures de conformité robustes conformément à la loi sur l’IA, les entreprises doivent identifier, évaluer et documenter les systèmes d’IA qu’elles utilisent dans leurs processus commerciaux. En particulier, elles doivent analyser les systèmes qui pourraient potentiellement relever des catégories de pratiques d’IA interdites.
Solutions pratiques pour atténuer les risques
- Identifier et évaluer les systèmes d’IA : Passer en revue les systèmes d’IA pour s’assurer qu’ils ne relèvent pas de catégories interdites.
- Documenter les efforts de conformité : Documenter la raison pour laquelle certaines utilisations de l’IA ne violent pas les interdictions prévues à l’article 5.
- Autres objectifs possibles : Analyser les systèmes d’IA pour des activités potentiellement à haut risque et s’assurer que les obligations de transparence sont respectées.
