L’UE ouvre la consultation sur les règles des modèles d’IA générale

Le débat européen sur l’intelligence artificielle entre dans une phase très concrète. Le 14 novembre 2024, la Commission européenne a publié un premier projet de code de pratique consacré aux modèles d’IA à usage général. Derrière ce nom technique se trouve une question simple, mais décisive : comment encadrer les modèles capables d’écrire, traduire, programmer, générer des images ou servir de base à des milliers de services, sans freiner inutilement leur développement ?

Ce texte ne vise pas les seuls grands noms de l’IA générative. Il cherche à fournir une méthode commune aux entreprises qui conçoivent ces modèles et à celles qui les intègrent dans des produits. Transparence sur les données et le fonctionnement, respect du droit d’auteur, évaluation des dangers les plus graves : le projet traduit en pratiques opérationnelles une partie des exigences prévues par le règlement européen sur l’IA, l’AI Act.

Un code de pratique pour rendre l’AI Act applicable

L’AI Act est entré en vigueur le 1er août 2024. Ce règlement établit un cadre européen pour les systèmes d’intelligence artificielle, avec des obligations graduées selon les usages et les risques. Les modèles d’IA à usage général y occupent une place particulière : ils peuvent être adaptés ou intégrés dans de nombreuses applications, parfois très différentes de leur objectif initial.

Un modèle d’IA à usage général n’est donc pas forcément une application directement utilisée par le public. Il s’agit plutôt d’une brique technologique entraînée sur de grandes quantités de données, susceptible d’accomplir un large éventail de tâches. Une entreprise peut ensuite l’intégrer à un assistant conversationnel, un outil de traduction, un logiciel de bureautique ou une solution destinée aux professionnels.

Le projet publié par la Commission ne constitue pas un second règlement qui s’ajouterait à l’AI Act. Il propose plutôt des moyens concrets de respecter les obligations prévues par le texte européen. Il a été élaboré avec la participation de groupes de travail rassemblant des représentants de l’industrie, du monde académique et de la société civile, sous la conduite d’experts indépendants.

L’enjeu est d’éviter deux écueils. Des règles trop vagues laisseraient les fournisseurs dans l’incertitude et compliqueraient les contrôles. À l’inverse, des exigences excessivement rigides pourraient devenir rapidement obsolètes dans un secteur où les méthodes d’entraînement et les capacités des modèles évoluent vite.

Quelles obligations pour les fournisseurs de modèles ?

Le premier volet du code concerne l’ensemble des fournisseurs de modèles d’IA à usage général concernés par le cadre européen. L’objectif est de rendre la chaîne de valeur plus lisible, depuis le concepteur du modèle jusqu’à l’entreprise qui l’utilise dans un produit final.

Les engagements envisagés portent notamment sur la documentation technique. Un fournisseur doit pouvoir donner aux acteurs qui réutilisent son modèle des informations suffisantes pour comprendre ses capacités, ses limites et les conditions d’intégration. Cette circulation d’informations est importante : sans elle, une entreprise qui bâtit un service sur un modèle tiers peut difficilement évaluer les risques propres à son usage.

Le projet aborde aussi le respect du droit d’auteur. L’AI Act prévoit que les fournisseurs mettent en place une politique destinée à assurer le respect du droit de l’Union dans ce domaine. Le code de pratique doit aider à concrétiser cette obligation, notamment en rendant plus explicites les procédures internes et les informations liées aux contenus utilisés pour entraîner les modèles.

La transparence ne signifie pas dévoiler publiquement tous les secrets industriels d’un système. Il s’agit de trouver un équilibre entre la protection d’informations sensibles et la nécessité de permettre aux entreprises utilisatrices, aux autorités et aux titulaires de droits de comprendre ce qui est mis sur le marché.

Pourquoi certains modèles sont-ils considérés comme systémiques ?

Le projet réserve une attention renforcée aux modèles présentant des risques systémiques. Cette expression désigne des dangers susceptibles d’affecter un grand nombre de personnes, plusieurs secteurs économiques ou le fonctionnement de la société, plutôt qu’un dommage isolé lié à un usage particulier.

L’ébauche propose une taxonomie, c’est-à-dire une classification structurée des risques selon leur type, leur nature et leur source. Parmi les menaces citées figurent les cyberattaques, les risques biologiques, la perte de contrôle sur des IA autonomes et la désinformation à grande échelle. Le texte reconnaît que cette liste ne peut pas être figée : les risques doivent être réévalués à mesure que les modèles gagnent en capacités ou que de nouveaux modes de détournement apparaissent.

La perte de contrôle ne renvoie pas à une fiction dans laquelle une machine prendrait seule le pouvoir. Dans ce contexte réglementaire, il s’agit plutôt du risque qu’un modèle ou un système autonome accomplisse des actions non souhaitées, échappe aux mécanismes de supervision prévus ou soit utilisé de façon difficile à maîtriser. L’objectif est d’anticiper ces scénarios par des tests, des limites techniques et des procédures d’intervention.

Le projet préconise ainsi la mise en place de cadres robustes de sécurité, désignés par l’acronyme SSF, pour Safety and Security Frameworks. Ces cadres doivent organiser les priorités, les mesures de réduction des risques et les indicateurs permettant de vérifier leur efficacité tout au long du cycle de vie d’un modèle.

Deux niveaux d’exigence, selon l’ampleur du risque

La logique du texte européen n’est pas de traiter tous les modèles de la même manière. Un modèle à usage général doit satisfaire à des exigences de base, notamment en matière de documentation et de droit d’auteur. Lorsqu’il atteint un niveau de capacité susceptible d’engendrer un risque systémique, des obligations supplémentaires deviennent nécessaires.

L’AI Act prévoit notamment une présomption de risque systémique pour certains modèles très puissants, évalués selon la quantité de calcul utilisée lors de leur entraînement. Le seuil de référence est fixé à 10 puissance 25 opérations en virgule flottante, tout en laissant à la Commission la possibilité de désigner d’autres modèles si leurs capacités le justifient.

Cette approche fondée sur le risque répond à une réalité technique : la taille d’un modèle ne suffit pas, à elle seule, à déterminer ses effets. Ses capacités effectives, ses modes de déploiement, les protections mises en place et les usages qui en sont faits comptent également. Le code de pratique cherche donc à donner aux fournisseurs un cadre évolutif, plutôt qu’une simple liste de cases à cocher.

Le droit d’auteur et la transparence au cœur du compromis

L’entraînement des modèles génératifs soulève une question particulièrement sensible : quels contenus ont été utilisés, et dans quelles conditions ? Textes, images, logiciels et autres œuvres protégées peuvent être présents dans les vastes corpus de données nécessaires à l’entraînement. Les créateurs et titulaires de droits demandent donc davantage de visibilité et un respect effectif des règles européennes.

Le projet de code entend clarifier la façon dont les fournisseurs peuvent démontrer leur conformité. Pour les entreprises, le défi sera autant juridique qu’organisationnel. Elles devront être capables de documenter leurs pratiques, de coordonner les équipes techniques et juridiques, et de transmettre des informations utiles aux partenaires qui intègrent leurs modèles.

Cette exigence de traçabilité est aussi importante pour les utilisateurs professionnels. Une société qui déploie une IA dans un service client, un outil de création ou un logiciel métier a besoin de savoir quelles garanties le fournisseur peut apporter. Le code tente ainsi de réduire une forme d’asymétrie : les concepteurs de modèles disposent d’informations que les intégrateurs, les clients et parfois les autorités ne possèdent pas.

Une consultation ouverte jusqu’au 28 novembre 2024

Le document est encore à l’état de projet. Les parties intéressées peuvent adresser des observations écrites jusqu’au 28 novembre 2024. Cette phase de consultation doit permettre de tester la faisabilité des mesures proposées, d’identifier les points trop imprécis et d’intégrer les retours des différents secteurs concernés.

Le calendrier est serré. La finalisation du code de pratique est attendue d’ici au 1er mai 2025, afin que les fournisseurs puissent se préparer aux règles spécifiques aux modèles d’IA à usage général. Ces obligations doivent commencer à s’appliquer à partir d’août 2025, tandis que d’autres dispositions de l’AI Act suivront leur propre calendrier, dont une large part en août 2026.

Ce que les entreprises ont intérêt à préparer

Même avant la version définitive, le projet donne une indication claire de la direction prise par l’Union européenne. Les fournisseurs de modèles ont intérêt à inventorier leurs jeux de données, leurs procédures de sécurité, leurs évaluations internes et les documents transmis aux partenaires. Les entreprises qui réutilisent des modèles tiers doivent, elles aussi, mieux connaître les limites techniques et juridiques des briques qu’elles intègrent.

La préparation ne se réduit pas à un exercice administratif. Les mesures de sécurité demandées impliquent des compétences en ingénierie, en cybersécurité, en droit, en gestion des risques et en gouvernance. Pour les structures de taille plus modeste, le code pourrait fournir un langage commun utile dans leurs échanges avec de grands fournisseurs internationaux.

Pour les citoyens, le bénéfice attendu est une plus grande capacité à demander des comptes aux acteurs qui développent ou déploient l’IA. Le dispositif ne supprimera pas les erreurs, les biais ou les usages malveillants. Il vise en revanche à imposer des méthodes de prévention, de documentation et de correction plus solides lorsque les conséquences potentielles sont importantes.

Ce qu’il faut surveiller d’ici à mai 2025

La consultation permettra de mesurer si les exigences proposées sont jugées assez précises par les associations de défense des droits et suffisamment applicables par les entreprises. Le point le plus sensible sera probablement l’équilibre entre la divulgation d’informations utiles, la protection des secrets industriels et le respect du droit d’auteur.

Il faudra aussi observer la définition pratique des risques systémiques. Une taxonomie trop étroite pourrait laisser passer de nouveaux dangers. À l’inverse, des critères trop larges pourraient imposer à certains fournisseurs des contraintes disproportionnées. La promesse du code est précisément de faire évoluer les mesures de sécurité avec la technologie, sans attendre qu’un dommage majeur survienne.

Au-delà de l’Union européenne, ce texte pourrait devenir une référence pour les entreprises qui commercialisent leurs modèles à l’international. L’ambition européenne est de protéger les droits fondamentaux et les consommateurs tout en laissant un espace à l’innovation. Sa réussite dépendra désormais de la clarté du code final, de l’adhésion des fournisseurs et de la capacité des autorités à en contrôler l’application.