IA Act : une première série d'interdictions entre en vigueur

Une première étape dans la mise en œuvre de la législation européenne sur l’intelligence artificielle (IA Act) a été franchie hier, six mois après sa publication au journal officiel de l’UE. Les premières mesures comportent l’interdiction de systèmes d’IA présentant des risques inacceptables et une menace pour la sécurité et les droits des personnes.

Exceptions pour la reconnaissance faciale

Il s'agit notamment de la manipulation comportementale cognitive, de la police prédictive, de la reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement, de la catégorisation biométrique des personnes pour déduire leur race, leurs opinions politiques, religieuses, leur orientation sexuelle ou leur appartenance syndicale ainsi que de la notation sociale.

L'utilisation de systèmes d'identification biométrique à distance en temps réel, tels que la reconnaissance faciale par les forces de l'ordre dans les espaces publics, est également prohibée, à quelques exceptions près, notamment en cas de menace grave à l’ordre public.

Conçu selon une approche fondée sur les risques, l’IA Act prévoit cinq niveaux de menaces, les plus sévères, donc interdites, les risques spécifiques induits par des systèmes d’IA qui produisent des émotions et sur lesquels il faut informer les utilisateurs ainsi que des risques propres aux modèles d’IA à usages général.

Les dispositions concernant ces modèles entreront en vigueur à partir du 1er août prochain dans le cadre d’une mise en œuvre progressive de la législation européenne. Elles comportent des exigences de transparence, d’évaluation des risques et de cybersecurité dans les phases de développement et de déploiement de nouveaux outils. En cas de non-conformité avec ces conditions, l’IA ACT a prévu des sanctions oscillant entre 7,5 à 35 millions d’euros d’amende pour les entreprises contrevenantes.

Des questions en suspens

L’établissement de sanctions  est du ressort de l’Office de l’IA de la Commission européenne, mis en place par Bruxelles en février 2024 pour superviser l’application de l’IA Act. Cette structure doit aussi élaborer et publier des lignes directrices qui précisent les obligations pour les systèmes d'IA en fonction de leurs risques potentiels et de leur niveau d'impact. Mais ces normes n’ont pas encore été rendues publiques au grand dam des défenseurs de la vie privées.

Dans une déclaration il y a deux semaines, une vingtaines d’associations dont European Digital Rights, Access Now et Amnesty International ont demandé à la Commission européenne de mettre "les droits de l’homme et la justice au cœur des prochaines lignes directrices". Elles estiment que les pratiques qui posent problème doivent être mieux définies.