Les premiers effets de l’AI Act : guide pratique pour s’adapter

Introduction

L’AI Act européen n’est même pas appliqué qu’il a déjà fait couler un torrent d’encre. Il faut dire que l’entrée en vigueur du règlement le 1^er août 2024, trois ans après la proposition de la législation de la Commission européenne en avril 2021, a laissé le temps à un ensemble d’acteurs de s’exprimer sur un texte dont les contours n’étaient pas totalement définis.

Désormais, le Bureau européen de l’IA (« EU AI Office »), organisme créé et porté par la Commission européenne, doit porter l’implémentation du texte dans les 27 pays membres de l’Union européenne.

Le volet principal du texte n’a pas changé. Il s’agit de documenter et de contrôler les systèmes d’IA suivant une échelle de risque sur quatre niveaux principaux : minimal, limité, élevé et inacceptable.

Or, quand cette échelle a été conçue, ChatGPT n’existait pas. Les grands modèles de langage n’avaient pas encore pris la dimension qu’on leur connaît aujourd’hui. En un an à peine (ce qui est un temps relativement court pour les institutions de l’UE) s’est greffée la notion de « risques systémiques ». Celle-ci vise à exiger des fournisseurs de LLM nécessitant une puissance de calcul supérieure à 10 puissance 25 FLOPS (aussi appelé modèle « frontière »), une grande transparence, de respecter le droit d’auteur et la propriété intellectuelle en Europe et d’endiguer les contenus dangereux. Quelques exceptions s’appliquent, mais toutes les organisations et entreprises devront signaler les contenus générés par une IA.

En cas de non-respect de ces deux grands principes, les entreprises et organisations risqueront une amende pouvant atteindre 7 % de leur chiffre d’affaires ou jusqu’à 35 millions d’euros. L’on retrouve là les préceptes du RGPD.

Les risques inacceptables seront interdits dès le mois de février 2025, mais le Bureau de l’IA doit encore collaborer avec les autorités locales afin de mettre en place l’ensemble des règles d’ici au mois d’août 2027. Une attention toute particulière sera portée aux systèmes d’IA à haut risque (ou élevé), rangés dans huit catégories. Ils représentent une portion limitée de l’ensemble des applications d’IA déjà déployées.

Il n’est pas évident que les pays membres soient tous coopératifs. La France et l’Allemagne, pays d’origine de Mistral AI et d’Aleph Alpha, ont déjà tenté d’abaisser le niveau d’obligations incombant aux spécialistes de l’IA. D’autant que des enjeux subsistent en matière de compatibilité de l’AI Act et du RGPD. Des frictions que certains géants du Web, principalement Meta, comptent bien exploiter. Outre-Atlantique, le texte inspire autant qu’il passe pour une menace pour la compétitivité américaine.

Malgré tout ce bruit, il faut bien que les entreprises se préparent. Certaines, comme celles rassemblées au sein de Positiv AI, ont pris les devants. La Commission européenne a elle-même instauré un programme volontaire en place nommé Pacte européen sur l’IA. La CNIL, espérant devenir l’autorité d’application de l’AI Act en France, a posté un ensemble de recommandations afin de respecter le texte et le RGPD. Ce guide essentiel évoque l’ensemble de ces points et recense quelques conseils pour se préparer à la mise en application d’un texte d’ici à trois ans.

1AI Act-

Le texte et son implémentation

2Extensions-

Les à-côtés de l’AI Act

3Conflits-

L’AI Act est-il compatible avec le RGPD ?

4Conséquences-

Les répercussions de l’AI Act aux États-Unis

5GAFAM-

Le cas Meta

6Conseils-

Bien se préparer à la législation

7Outils-

Déjà des solutions pour suivre la conformité