Le 19 mars 2024
L’AI Act a été voté au Parlement européen le 13 mars dernier, offrant ainsi un cadre protecteur au déploiement des technologies d’intelligence artificielle au sein des entreprises. Ce texte concerne aussi bien les entreprises développant elles-mêmes des systèmes ou modèles d’IA que les entreprises « simples » utilisatrices de ces technologiques.
A travers ce billet, nous nous adressons plus particulièrement aux entreprises utilisatrices. Ainsi, après un bref rappel du cadre légal, quelques recommandations juridiques vous sont présentées. Elles diffèrent selon que vous utilisiez déjà des systèmes d’IA ou que vous envisagiez d’en faire usage dans un futur proche pour de nouveaux besoins.
1. En synthèse, que retenir de ce texte ?
L’AI Act (Artificial Intelligence Act) est un règlement qui vise à encadrer et favoriser le développement et la commercialisation des systèmes d’IA dans l’Union européenne. Initié par la Commission européenne en avril 2021, l’AI Act entrera en vigueur en mai 2024.
Cette nouvelle réglementation, tout comme le RGPD, a une application extraterritoriale. Ainsi, ce texte s’applique à tous les fournisseurs, distributeurs ou déployeurs de systèmes d’IA (personnes morales) dont le siège social est situé soit dans un pays membre de l’UE, soit hors de l’UE mais dont la commercialisation a lieu sur le territoire de l’UE (ex. une société américaine qui met à disposition de sociétés françaises des modèles d’IA).
L’AI Act fixe des obligations selon le niveau de risque du système ou modèle d’IA (risque inacceptable, haut risque, risque faible ou minime) et le profil des personnes concernées (fournisseur, importateur, distributeur, déployeur,….). Les entreprises utilisatrices de technologies d’IA sont concernées par la règlementation.
Parmi les obligations pesant sur les différentes sociétés concernées nous pouvons citer : le marquage CE, l’élaboration de documentation technique, l’enregistrement des systèmes d’IA dans une base de données de l’UE, la mise en place de mesures techniques de robustesse, l’obligation d’information et de transparence vis-à-vis des utilisateurs, et le respect de code de conduite.
Les sanctions sont particulièrement sévères puisqu’elles vont de 7,5 millions d’euros à 35 millions d’euros ou de 1% du CA annuel mondial à 7% du CA annuel mondial. La CNIL est pressentie pour être désignée comme la Haute autorité française en charge du contrôle des systèmes d’IA.
2. Entreprises utilisatrices : comment démarrer votre conformité ?
Les technologies d’IA offrent de tels avantages (productivité/compétitivité), que la question aujourd’hui n’est plus de savoir s’il faut y aller ou non, mais plutôt comment.
La mise en conformité est, selon nous, plus facilement accessible pour les entreprises utilisatrices (que pour les éditeurs/fournisseurs de systèmes d’IA) – et ce d’autant plus que les travaux à mener sont proches de ceux déjà réalisés pour le RGPD.
Bien que la conformité à l’AI Act dépende de la taille de votre organisation, nous vous proposons ci-après quelques recommandations juridiques communes à toute entreprise.
a) Pilotage de l’IA au sein de votre organisation
Comme pour tout projet, nous vous recommandons de désigner en interne un pilote, votre référent IA. Ce collaborateur devra idéalement être épaulé par une équipe projet et suivre une formation sur la règlementation.
b) Vérification de l’utilisation conforme des systèmes d’IA déjà déployés au sein de votre entreprise
Parce que de nombreuses entreprises utilisent déjà (sans toujours en avoir connaissance) des outils comportant de l’IA, nous préconisons de réaliser (ou actualiser) votre cartographie des logiciels et applicatifs métiers. Si cet état des lieux révèle l’intégration de modules d’IA dans votre système d’information, alors il conviendra de déterminer le niveau de risque de ces outils, puis de revoir les contrats conclus avec vos prestataires (leurs outils vous offrent-ils suffisamment de garanties ?).
c) Encadrement de l’utilisation à venir de nouveaux systèmes d’IA
Au-delà de l’existant, votre entreprise peut souhaiter, pour les besoins d’un nouveau projet ou à des fins de productivité, recourir à des outils d’IA. Dans ce cas, plusieurs actions peuvent être envisagées, telles que :
- L’identification des cas d’usage, afin d’affiner vos nouveaux besoins internes ou futurs besoins clients ;
- L’identification de vos obligations et responsabilités découlant de ces nouveaux usages ;
- L’identification des outils pertinents et la négociation éventuelle des contrats avec les fournisseurs des outils concernés ;
- La modification de vos contrats clients, afin que soit pris en compte les nouveaux usages de votre entreprise ;
- L’élaboration de documentation interne (ex. charte d’utilisation d’IAG à destination de vos salariés ou mise à jour de votre charte informatique existante ; complétion de vos notes internes relatives à la gestion de projet) ;
- La formation de vos équipes.
Le Cabinet d’avocats June est à votre disposition pour tout besoin d’accompagnement sur cette nouvelle réglementation.
