AI Act : la Commission consulte sur les usages d’IA qui seront interdits

À moins de trois mois des premières obligations concrètes de l’AI Act, l’Union européenne veut réduire les zones grises. La Commission européenne lance une consultation publique sur deux questions décisives : qu’est-ce qu’un système d’intelligence artificielle au sens du règlement, et quels usages doivent être considérés comme prohibés ? Pour les entreprises, les administrations, les chercheurs et les organisations de la société civile, l’enjeu est immédiatement pratique : certaines pratiques seront interdites dans toute l’Union européenne à partir du 2 février 2025.

Le travail est piloté par le Bureau européen de l’IA, créé au sein de la Commission en février 2024. La consultation, ouverte pendant quatre semaines, doit se clore le 11 décembre 2024. Elle ne remet pas le règlement à plat. Elle vise à recueillir des exemples concrets, des difficultés d’interprétation et des retours d’expérience afin de préparer des lignes directrices utilisables par les autorités nationales comme par les organisations qui développent ou déploient de l’IA.

Pourquoi la Commission consulte-t-elle maintenant ?

L’AI Act est entré en vigueur le 1er août 2024, mais ses dispositions ne s’appliquent pas toutes à la même date. Le texte européen organise une mise en œuvre progressive. Les règles les plus urgentes concernent les pratiques jugées incompatibles avec les droits fondamentaux ou la sécurité : elles appartiennent à la catégorie dite des risques inacceptables.

La Commission doit publier des lignes directrices sur la définition des systèmes d’IA et sur les pratiques prohibées au plus tard le 2 février 2025. Ces documents ne créent pas de nouvelles interdictions : celles-ci figurent déjà dans le règlement. Leur rôle est d’expliciter la manière dont les règles doivent être comprises dans des situations réelles, parfois beaucoup moins simples que les grands principes inscrits dans la loi.

Qu’est-ce qu’un système d’IA selon l’AI Act ?

La question peut sembler théorique, mais elle détermine le champ d’application de tout le règlement. L’AI Act définit un système d’IA comme un système fondé sur une machine, conçu pour fonctionner avec différents niveaux d’autonomie. Après son déploiement, il peut aussi présenter une capacité d’adaptation. À partir de données reçues, il déduit la façon de produire des résultats, tels que des prédictions, des contenus, des recommandations ou des décisions, susceptibles d’influencer des environnements physiques ou virtuels.

Cette définition ne vise donc pas simplement tout logiciel qui traite des données. Le point important est la capacité du système à produire des sorties à partir d’un mécanisme d’inférence, pour atteindre des objectifs explicites ou implicites. Dans la pratique, la frontière peut être délicate à tracer pour certains outils d’analyse, de classement automatisé, de recommandation ou d’aide à la décision.

C’est précisément là que la Commission attend des exemples. Une définition trop large risquerait d’englober des logiciels ordinaires qui ne devraient pas relever du règlement. Une définition trop étroite pourrait, à l’inverse, laisser hors du cadre des systèmes ayant un effet significatif sur les personnes. Les futures lignes directrices devront aider les acteurs à qualifier leurs outils de façon cohérente dans les 27 États membres.

Quelles pratiques d’IA seront interdites à partir de février 2025 ?

L’AI Act ne prohibe pas l’intelligence artificielle en général, ni même tous les systèmes capables de prendre des décisions automatisées. Il cible une série d’usages considérés comme porteurs d’un risque inacceptable. Ces interdictions s’appliquent à l’utilisation du système, selon son objectif et son contexte, pas seulement à la technologie employée.

Parmi les pratiques visées figurent notamment :

• les systèmes utilisant des techniques subliminales, manipulatrices ou trompeuses qui altèrent de manière significative la capacité d’une personne à prendre une décision éclairée et sont susceptibles de lui causer un préjudice important ;
• les systèmes qui exploitent des vulnérabilités liées à l’âge, au handicap ou à une situation sociale ou économique particulière, avec un risque de préjudice important ;
• la notation sociale, lorsqu’elle conduit à un traitement défavorable injustifié ou disproportionné, notamment sur la base de comportements sociaux ou de caractéristiques personnelles ;
• l’évaluation du risque qu’une personne commette une infraction lorsqu’elle repose uniquement sur le profilage ou sur des traits de personnalité ;
• la création ou l’enrichissement de bases de données de reconnaissance faciale par l’extraction non ciblée d’images de visages sur internet ou à partir de vidéosurveillance ;
• les systèmes de reconnaissance des émotions utilisés dans les établissements d’enseignement ou au travail, sauf raisons médicales ou de sécurité ;
• certains systèmes de catégorisation biométrique visant à déduire des informations sensibles, par exemple les opinions politiques, les convictions religieuses ou l’orientation sexuelle ;
• l’identification biométrique à distance en temps réel dans les espaces accessibles au public à des fins de maintien de l’ordre, sous réserve d’exceptions très limitées et strictement encadrées par le règlement.

Ces catégories appellent des distinctions importantes. Un outil qui analyse une expression faciale pour prétendre déduire un état émotionnel n’est pas la même chose qu’un dispositif qui vérifie une identité. De même, la constitution massive d’une base de visages par aspiration d’images en ligne est différente d’une recherche ciblée réalisée dans le cadre légal prévu pour les forces de l’ordre. Le règlement traite ces situations séparément, car leurs risques pour la vie privée, la non-discrimination et les libertés publiques ne sont pas identiques.

L’exception concernant l’identification biométrique à distance en temps réel ne donne pas un blanc-seing à la reconnaissance faciale dans l’espace public. L’AI Act ne la tolère, sous conditions, que pour des objectifs précis, tels que la recherche de victimes de certaines infractions graves, la prévention d’une menace grave et imminente pour la vie ou la sécurité physique, ou la recherche de suspects dans des affaires déterminées. Des garanties et autorisations sont prévues.

Pratiques interdites et systèmes à haut risque : deux régimes différents

Une confusion fréquente consiste à mettre sur le même plan les IA interdites et les systèmes à haut risque. Or, le premier groupe relève d’une interdiction de principe. Le second peut être mis sur le marché ou utilisé, mais doit respecter une série d’exigences, par exemple en matière de gestion des risques, de documentation, de qualité des données, de traçabilité et de supervision humaine.

Un système à haut risque n’est donc pas nécessairement illégal. Sa qualification dépend notamment des cas listés par l’AI Act, par exemple dans certains domaines sensibles, ou de son intégration dans des produits réglementés. À l’inverse, une pratique interdite ne peut pas être rendue acceptable par une simple amélioration technique ou une information donnée aux utilisateurs : c’est l’usage lui-même qui franchit une ligne rouge fixée par le législateur européen.

À qui s’adresse la consultation et que peut-elle changer ?

La Commission invite les parties prenantes à partager leurs expériences. Cela concerne les autorités nationales, les fournisseurs de systèmes d’IA, les entreprises qui les utilisent, les chercheurs, les organisations de défense des droits, mais aussi toute structure confrontée aux effets concrets de ces technologies.

Les contributions peuvent être particulièrement utiles lorsqu’elles décrivent un cas d’usage précis. Une entreprise peut, par exemple, signaler les difficultés qu’elle rencontre pour savoir si son logiciel entre dans la définition d’un système d’IA. Une organisation peut attirer l’attention sur les risques d’un outil de recrutement, de contrôle d’accès ou d’évaluation des personnes. Les autorités peuvent exposer les problèmes de contrôle auxquels elles anticipent d’être confrontées.

Cette participation peut influencer la manière dont les lignes directrices illustreront le règlement et traiteront les cas limites. Elle ne modifiera toutefois pas, à elle seule, le texte de l’AI Act ni la liste des pratiques fixées par celui-ci. Cette nuance compte : la consultation est un instrument d’interprétation et de mise en œuvre, pas une procédure législative destinée à réécrire la loi.

Comment les organisations peuvent-elles se préparer ?

À l’approche du 2 février 2025, les acteurs concernés ont intérêt à examiner leurs usages réels de l’IA plutôt qu’à se limiter aux solutions achetées sous l’étiquette « intelligence artificielle ». Un inventaire interne peut inclure les outils développés en propre, les services fournis par des prestataires et les fonctionnalités automatisées intégrées à des logiciels plus larges.

Quelques questions permettent d’identifier rapidement les situations sensibles :

• Le système cherche-t-il à influencer fortement le comportement d’une personne ou à exploiter une fragilité ?
• Produit-il une note, un classement ou une décision ayant des conséquences défavorables pour un individu ?
• Utilise-t-il des données biométriques, des visages ou des signaux censés révéler des émotions ou des caractéristiques sensibles ?
• S’agit-il d’un outil destiné à un salarié, à un élève, à un client, à un usager d’un service public ou à une personne présente dans l’espace public ?

Documenter la finalité du système, les données mobilisées, les personnes concernées et les effets possibles de ses résultats aidera à répondre à ces questions. Pour les usages proches d’une interdiction, il peut être nécessaire d’envisager une modification profonde du dispositif, voire son abandon avant l’entrée en application des règles.

Ce qu’il faut surveiller d’ici février 2025

Le premier point à suivre est la publication des lignes directrices de la Commission. Elles devront éclairer des sujets qui peuvent paraître techniques, mais qui auront des effets très concrets sur les produits numériques commercialisés et sur les outils utilisés au travail, dans l’éducation, dans les services publics ou dans la sécurité.

Le deuxième enjeu est l’harmonisation. L’AI Act est un règlement européen, directement applicable dans l’ensemble de l’Union. Son interprétation devra pourtant être partagée par les autorités nationales et les acteurs économiques pour éviter que des usages identiques reçoivent des traitements différents d’un pays à l’autre.

Enfin, le débat sur les pratiques prohibées rappelle le choix central du texte européen : tous les risques liés à l’IA ne se gèrent pas par davantage de transparence ou de contrôle humain. Pour certains usages, l’Union européenne estime que la protection des personnes exige une interdiction. La consultation ouverte jusqu’au 11 décembre 2024 doit aider à rendre cette frontière plus prévisible, avant qu’elle ne devienne une obligation applicable.