Le récent accord provisoire sur l’IA (AI Act) entre le Conseil, le Parlement et la Commission européenne va réglementer l’intelligence artificielle et sera pleinement effectif fin 2025. Il encadre les usages de l’IA en fonction des risques avec sanctions à la clé. Ce règlement est le fruit d’un compromis entre innovation et évaluation du niveau de risque.
Présenté comme le premier au monde sur l’intelligence artificielle, ce règlement négocié au forceps rappelle le rôle central de l’Europe dans l’arsenal législatif sur les usages du numérique. La DSI des entreprises est directement concernée car elle assure notamment, une fonction de conseil auprès de la direction générale et des collaborateurs concernés. Le développement très rapide de l’IA va impacter la stratégie commerciale des organisations, la sécurité des infrastructures et bien d’autres domaines. Au même titre que le RGPD, les sanctions ne seront pas anecdotiques puisque les infractions les plus graves des cas d’usages interdits seront punies d’amendes jusqu’à 7 % du chiffre d’affaires. L’IA Act comprend une liste de cas d’usages considérés comme présentant un risque important pour la sécurité et les droits fondamentaux des personnes. Concernant les entreprises, cela inclut l’emploi, les infrastructures critiques et les responsabilités liées à la supply chain (chaîne d’approvisionnement). A ce propos, les fournisseurs de solution d’IA générative tels ChatGPT et consorts, devront fournir toutes les informations de conformité légale à toutes les parties prenantes de la supply chain.
A noter, les exemptions qui touchent à la sécurité publique, les forces de l’ordre pouvant utiliser la reconnaissance faciale en direct, sous le contrôle d’une autorité judiciaire.
Les entreprises doivent déjà anticiper les impacts de l’IA ACT
Toutes les organisations doivent prendre conscience que les usages à haut risque concernent de nombreux domaines : logiciels de sélections de CV, les IA présentes dans les infrastructures IT, les services financiers, la cybersécurité, etc. Face au déploiement de l’IA, il est difficile d’anticiper tous ses impacts sur les métiers. A terme, les organisations devront assurer le reporting, la mise en conformité des procédures ainsi que la signalisation des alertes aux autorités compétentes comme la CNIL ou l’ANSSI.
Encore susceptible d’évolution, l’accord vise sans surprises la régulation des LLM (grand modèle de langage) de l’IA générative. Sur ces points comme sur d’autres, une veille sur le texte définitif devra être exercée par les DPO et la DSI, en accord avec les métiers.