Intelligence artificielle: La conformité juridique, un gage de déploiement réussi

L’essor de l’intelligence artificielle ne relève plus du seul domaine technologique. La protection des données à caractère personnel, la propriété intellectuelle, la cybersécurité, la responsabilité civile, la transparence des algorithmes, ainsi que le respect de la dignité humaine et des droits fondamentaux sont autant de questions qui accompagnent le développement de ces technologies. Dans son billet juridique du mois de septembre consacré à la conformité juridique des systèmes d’intelligence artificielle, l’Asin s’appuie notamment sur le Règlement européen sur l’intelligence artificielle, connu sous le nom d’AI Act, pour illustrer l’évolution vers un encadrement juridique plus structuré de l’IA.

Le billet juridique du mois de septembre précise que l’AI Act adopte une approche graduée et proportionnée, fondée sur le niveau de risque que présentent les différents systèmes d’intelligence artificielle. Quatre grandes catégories sont ainsi distinguées, allant des pratiques présentant un risque inacceptable aux applications présentant un risque minimal ou nul. Les pratiques considérées comme inacceptables concernent notamment certaines formes de manipulation ou d’exploitation des vulnérabilités, le social scoring ou encore certains usages de la catégorisation et de l’identification biométriques. Les systèmes à haut risque regroupent, pour leur part, des applications susceptibles d’avoir des conséquences importantes sur les personnes. Ils peuvent notamment concerner l’emploi et le recrutement, l’éducation, l’accès à certains services essentiels, les services publics, la sécurité ou encore la justice. D’autres systèmes présentent un risque limité et sont principalement soumis à des obligations de transparence. C’est notamment le cas lorsqu’un utilisateur doit être informé qu’il échange avec une IA ou qu’un contenu a été généré ou manipulé par celle-ci. Les applications à risque minimal, comme certains outils d’assistance à la rédaction, de traduction, de correction ou de recherche documentaire, sont soumises à des exigences réglementaires plus limitées, sous réserve du respect des règles générales applicables. Cette classification permet de déterminer les obligations qui s’imposent aux différents acteurs, notamment les fournisseurs, développeurs, intégrateurs, distributeurs et utilisateurs professionnels.

Pour les systèmes à haut risque, le billet juridique du mois de septembre note que les exigences portent notamment sur la gouvernance des données, la documentation technique, la supervision humaine, la transparence, la cybersécurité, la gestion des risques et l’évaluation de conformité. Dans ce contexte, la contractualisation apparaît comme un instrument important de maîtrise des risques juridiques. Les contrats relatifs au développement, à l’acquisition ou à l’utilisation de solutions d’IA doivent clairement définir les responsabilités des différentes parties et organiser la répartition des obligations de conformité. Une attention particulière doit notamment être accordée aux clauses relatives aux données. Celles-ci doivent préciser les catégories de données utilisées, qu’il s’agisse des données d’entraînement, de validation, d’entrée ou de sortie. Elles doivent également déterminer les droits d’utilisation, les modalités de conservation et de transfert, ainsi que les mesures de minimisation, de qualité et de sécurité. La propriété intellectuelle constitue un autre enjeu majeur. Les contrats doivent déterminer le régime applicable aux contenus générés par l’IA, aux modèles développés, aux jeux de données enrichis et aux différentes licences accordées entre les parties.

La gouvernance des données et des systèmes doit également être encadrée. Elle passe par une définition claire des rôles et responsabilités, des procédures de validation, des mécanismes d’audit, la traçabilité des traitements, la gestion des versions et l’archivage des documents de conformité. Les exigences de sécurité numérique occupent également une place centrale. Les contrats doivent notamment prévoir les obligations de notification des incidents, les audits de sécurité, la gestion des sous-traitants et les garanties relatives à la confidentialité, à l’intégrité et à la disponibilité des données. Le billet juridique du mois de septembre souligne que la prévention des biais algorithmiques constitue un autre volet important. Des contrôles réguliers sur la qualité des données, des évaluations des performances des systèmes et des mesures destinées à prévenir les discriminations doivent être envisagés. Lorsque les décisions prises par un système d’IA peuvent produire des effets significatifs sur les personnes, une supervision humaine effective apparaît nécessaire. Les clauses relatives à la responsabilité, aux garanties et à l’indemnisation doivent enfin tenir compte des particularités de l’intelligence artificielle. Elles permettent notamment de déterminer les responsabilités en cas de dysfonctionnement, d’erreur algorithmique, de violation des droits de tiers, de non-conformité réglementaire ou d’atteinte aux données.

Vers une gouvernance nationale de l’IA

Au-delà des contrats, l’Asin estime que la conformité juridique doit s’inscrire dans une véritable gouvernance de l’intelligence artificielle. Celle-ci implique notamment une cartographie des usages, une classification des systèmes selon leur niveau de risque, des procédures internes de contrôle, des audits réguliers, une politique documentaire adaptée et une sensibilisation continue des acteurs. Pour le Bénin, cette approche revêt une importance particulière au regard de l’accélération de l’adoption de l’IA dans les secteurs public et privé. Le Code du numérique et le régime national de protection des données personnelles constituent déjà un socle juridique. Mais le développement de l’IA appelle également un renforcement des règles relatives à la gouvernance, à la responsabilité et à la conformité des systèmes. Le billet juridique du mois de septembre indique que l’utilisation de l’intelligence artificielle pour assister les agents publics, croiser des données provenant de plusieurs administrations, appuyer la prise de décision dans la santé, l’éducation ou les services sociaux, ou encore dans le recrutement, l’analyse biométrique et la vidéosurveillance algorithmique peut présenter des niveaux de risque très différents. L’enjeu n’est donc pas de soumettre tous les usages de l’IA à une réglementation uniforme. Il s’agit plutôt de mettre en place une gouvernance proportionnée aux risques, fondée sur la protection des données personnelles, la sécurité, la transparence, la supervision humaine, la traçabilité, la maîtrise des biais et la responsabilité des acteurs. Une telle démarche pourrait conduire progressivement à l’élaboration d’une doctrine nationale de classification des systèmes d’IA, permettant de distinguer les usages interdits ou particulièrement sensibles, les systèmes nécessitant une évaluation renforcée et les applications pouvant être déployées sous réserve d’obligations de transparence et de sécurité. En définitive, la conformité juridique ne devrait pas être considérée comme un frein à l’innovation. Elle peut au contraire devenir un facteur de confiance, de sécurité et de compétitivité. Pour l’Asin, une intelligence artificielle juridiquement maîtrisée est ainsi appelée à être plus durable, plus responsable et davantage créatrice de valeur pour les différents acteurs.