Règles européennes pour une intelligence artificielle digne de confiance dans l’Union européenne

Le règle­ment inter­dit les pra­tiques d’IA sui­vantes pré­sen­tant un niveau de risque inacceptable

• tech­niques sub­li­mi­nales ou trom­peuses de manipulation
• exploi­ta­tion des vul­né­ra­bi­li­tés fon­dées sur l’âge, un han­di­cap ou des situa­tions socio-éco­no­miques pour manipuler
• nota­tion sociale, entraî­nant un trai­te­ment injuste, hors contexte ou dis­pro­por­tion­né à la gra­vi­té du comportement
• éva­lua­tion du risque pénal, sauf dans le cadre d’enquêtes pénales objec­tives fon­dées sur les faits
• recon­nais­sance faciale par le mois­son­nage de bases de don­nées pro­ve­nant de l’internet ou des camé­ras de sécu­ri­té sans ciblage spécifique
• infé­rence sur les émo­tions dans des domaines sen­sibles tels que les lieux de tra­vail ou les éta­blis­se­ments d’enseignement, sauf s’ils sont uti­li­sés à des fins médi­cales ou de sécurité
• caté­go­ri­sa­tion bio­mé­trique pour déduire des attri­buts sen­sibles (race, reli­gion ou opi­nions poli­tiques), à l’exception de l’utilisation légale dans le domaine répressif
• iden­ti­fi­ca­tion bio­mé­trique en temps réel en public à des fins répres­sives, sauf stricte néces­si­té pour cer­taines situa­tions par­ti­cu­lières (recherche de per­sonnes dis­pa­rues, pré­ven­tion de menaces immi­nentes ou iden­ti­fi­ca­tion des sus­pects de crimes graves, e.a.), mais juri­di­que­ment enca­dré (auto­ri­sa­tion préa­lable, por­tée limi­tée et garan­ties pour pro­té­ger les droits et les libertés)

La légis­la­tion suit une approche fon­dée sur les risques, ce qui signi­fie que plus le risque de nuire à la socié­té est éle­vé, plus les règles sont strictes. Le règle­ment défi­nit l’utilisation de l’IA dans les domaines sui­vants comme étant à haut risque, en rai­son de l’impact poten­tiel sur les droits fon­da­men­taux, la sécu­ri­té et le bien-être :

• les com­po­sants de sécu­ri­té dans les pro­duits rele­vant de la légis­la­tion d’harmonisation de l’UE (ou en tant que pro­duits auto­nomes) qui sont sou­mis à une éva­lua­tion de la confor­mi­té par un tiers selon la même légis­la­tion d’harmonisation de l’UE ;
• la bio­mé­trie, lorsqu’elle est uti­li­sée pour l’identification à dis­tance, la caté­go­ri­sa­tion des per­sonnes en fonc­tion d’attributs sen­sibles (comme la race ou la reli­gion), ou la recon­nais­sance des émo­tions, sauf lorsqu’elle est uti­li­sée pour véri­fier sim­ple­ment l’identité ;
• les infra­struc­tures cri­tiques, lorsque l’IA est un com­po­sant de sécu­ri­té dans des domaines tels que les infra­struc­tures numé­riques, le tra­fic, l’eau, le gaz, le chauf­fage et l’électricité ;
• l’éducation et la for­ma­tion pro­fes­sion­nelle, y com­pris l’accès aux ques­tions d’éducation, l’évaluation des acquis d’apprentissage, l’évaluation des niveaux d’enseignement ou la sur­veillance du com­por­te­ment durant les examens ;
• l’emploi, y com­pris le recru­te­ment, la sélec­tion des can­di­dats, la prise de déci­sions en matière d’emploi (pro­mo­tions, licen­cie­ments), l’attribution des tâches ou le sui­vi des performances ;
• les ser­vices essen­tiels — les sys­tèmes d’IA uti­li­sés par les auto­ri­tés publiques pour éva­luer l’admissibilité aux ser­vices publics (soins de san­té, pres­ta­tions), la note de cré­dit et les risques d’assurance, et hié­rar­chi­ser les inter­ven­tions d’urgence ;
• la répres­sion — les sys­tèmes d’IA uti­li­sés pour l’évaluation des risques en matière de cri­mi­na­li­té, les poly­graphes, l’évaluation de la fia­bi­li­té des preuves, la pré­vi­sion du risque de réci­dive ou le pro­fi­lage des indi­vi­dus dans le cadre d’enquêtes pénales ;
• la migra­tion et le contrôle des fron­tières — les sys­tèmes d’IA uti­li­sés pour éva­luer les risques liés à la migra­tion, à l’asile et aux demandes de visa, ou pour détec­ter et iden­ti­fier les per­sonnes dans des contextes migratoires ;
• l’admi­nis­tra­tion de la jus­tice et les pro­ces­sus démo­cra­tiques — les sys­tèmes d’IA uti­li­sés par les auto­ri­tés judi­ciaires pour la recherche et l’interprétation juri­diques ou les sys­tèmes qui pour­raient influen­cer les résul­tats des élections.

Le règle­ment intro­duit des obli­ga­tions d’information lorsqu’un risque pour­rait résul­ter d’un manque de trans­pa­rence autour de l’utilisation de l’IA :

• l’IA conçue pour usur­per l’identité d’êtres humains (par exemple un dia­lo­gueur) doit en infor­mer l’humain avec qui elle interagit ;
• la pro­duc­tion d’IA géné­ra­tive doit être mar­quée comme géné­rée par l’IA de manière lisible par la machine ;
• dans cer­tains cas, la pro­duc­tion d’IA géné­ra­tive doit être visi­ble­ment éti­que­tée, à savoir les hyper­tru­cages et le texte des­ti­nés à infor­mer le public des ques­tions d’intérêt public.

Tous les autres sys­tèmes d’IA sont répu­tés à risque limi­té, et le règle­ment n’introduit donc pas de nou­velles règles.

Transparence et protection des droits fondamentaux

L’amélioration de la trans­pa­rence s’applique au déve­lop­pe­ment et à l’utilisation de sys­tèmes d’IA à haut risque :

• avant qu’un sys­tème d’IA à haut risque ne soit déployé par des enti­tés four­nis­sant des ser­vices publics, son impact sur les droits fon­da­men­taux doit être évalué ;
• les sys­tèmes d’IA à haut risque et les enti­tés qui les uti­lisent doivent être enre­gis­trés dans une base de don­nées de l’UE.