AI Act : tout savoir sur le nouveau règlement européen sur l’intelligence artificielle

Le règlement sur l’intelligence artificielle, l’AI Act, vient d’être publié au Journal Officiel et entrera en vigueur le 1er août 2024 en Europe. Parmi ses nombreuses ambitions, il encadrera le développement de l’IA sur le Vieux Continent. Voici tout ce qu’il y a à savoir sur la nouvelle arme de l’Europe.

Après le DSA (règlement sur les services numériques) et le DMA (règlement sur les marchés numériques, l’Europe est sur le point de sortir sa nouvelle arme, l’AI Act. Il s’agit du nouveau règlement sur l’intelligence artificielle qui est d’ailleurs la première législation générale (ou exhaustive) au monde sur ce domaine.

L’AI Act, ou règlement sur l’intelligence artificielle (RIA), a été publié au Journal Officiel de l’Union européenne ce vendredi 12 juillet, la dernière étape majeure avant l’entrée en vigueur qui se fera le 1er août 2024, après de longues négociations entre la Commission, le Parlement et le Conseil.

Mais que prévoit concrètement le nouveau règlement européen et qui est concerné ? Voici tout ce qu’il faut savoir sur la nouvelle arme de l’UE.

Que prévoit le règlement sur l’IA ?

L’intelligence artificielle prend de plus en plus de place dans notre quotidien et s’installe dans de nombreux domaines. Cela nous donne, certes, plusieurs bénéfices inédits mais peut aussi poser des risques sur notre sécurité, notre santé ou nos droits fondamentaux, comme l’évoque la CNIL (Commission nationale de l’informatique et des libertés).

Afin de garantir notre sécurité, le règlement sur l’IA va classer les systèmes d’IA en quatre niveaux de risque :

• risque inacceptable : concerne les systèmes allant à l’encontre des valeurs de l’UE et des droits fondamentaux. Le RIA les interdira
• haut risque : concerne les systèmes pouvant porter atteinte à la sécurité des personnes ou à leurs droits fondamentaux, comme les systèmes utilisés dans le recrutement. Le RIA imposera des conditions strictes
• risque spécifique en matière de transparence : concerne principalement les chatbots et les générateurs de contenus, le RIA va imposer des obligations de transparence
• risque minimal : concerne la plupart des systèmes IA actuellement utilisés en Europe, le RIA ne prévoit pas d’obligation spécifique pour ceux-là

Source : CNIL

Il existe toutefois des plateformes si importantes qu’il est difficile de les classer dans un niveau de risque précis. C’est pourquoi en plus de ces quatre niveaux de risque, le RIA va créer une nouvelle catégorie de systèmes IA : les modèles d’IA à usage général. Cela concerne principalement des modèles d’IA générative, à l’instar de ChatGPT d’OpenAI, qui seront soumis à plusieurs niveaux d’obligation allant de la transparence à des mesures d’atténuation des risques.

Quand entre en vigueur l’AI Act ?

Comme nous l’avons déjà indiqué précédemment, le règlement sur l’IA (RIA) entrera en vigueur le 1er août 2024. L’entrée en application se fera, quant à elle, en plusieurs temps :

• 2 février 2025 (6 mois après l’entrée en vigueur) : interdictions relatives aux systèmes d’IA présentant des risques inacceptables ;
• 2 août 2025 (12 mois après l’entrée en vigueur) : entrée en application des règles pour les modèles d’IA à usage général et nomination des autorités compétentes au niveau des Etats membres ;
• 2 août 2026 (24 mois après l’entrée en vigueur) : toutes les dispositions du règlement sur l’IA deviennent applicables et mise en œuvre d’au moins un bac à sable réglementaire par les autorités des Etats membres ;
• 2 août 2027 (36 mois après l’entrée en vigueur) : application des règles relatives aux systèmes d’IA à haut risque.

L’entrée en application de l’AI Act s’appuiera aussi sur des « normes harmonisées » au niveau européen qui sont en cours de rédaction.

Qui est chargé de faire respecter l’AI Act ?

Les règles et le périmètre du règlement sur l’IA étant connu, reste à savoir qui sera chargé de le faire respecter. Pour cela, le RIA prévoit la désignation d’une ou plusieurs autorités compétentes pour chaque Etat membre. Comme l’indique la CNIL, chaque Etat a un délai d’un an pour désigner son ou ses autorité.s de surveillance du marché.

Mais ce n’est pas tout car il faut également désigner une autorité compétente pour endosser le rôle de point de contact national, afin de faciliter les  échanges avec Bruxelles et les autorités homologues.

De son côté, la CNIL rappelle qu’elle est chargée du respect du RGPD entré en vigueur en 2018 mais elle prévoit d’accompagner les acteurs dans le respect du RIA, ce dernier ayant des dénominateurs commun avec le règlement sur la protection des données, en particulier sur les modèles d’IA à usage général à l’instar de Gemini de Google, ChatGPT d’OpenAI ou encore Mistral AI.

En savoir plus sur l’IA Act

Si vous souhaitez en savoir plus sur le règlement sur l’IA, sachez que de nombreuses ressources sont disponibles en ligne. Vous avez, par exemple, la FAQ de la CNIL publiée ce vendredi 12 juillet ainsi que la FAQ de la Commission européenne publiée le 12 décembre 2023 ou encore la page dédiée au RIA de Vie Publique publiée le 4 juin dernier.