Transparence IA : l'UE impose de nouvelles règles strictes

Une nouvelle ère de transparence pour l'IA en Europe

L'article 50 de la loi européenne sur l'intelligence artificielle est désormais en vigueur, introduisant des exigences de transparence rigoureuses pour les entreprises qui utilisent et déploient des systèmes d'IA à travers l'Union européenne. Cette réglementation impose aux fournisseurs et aux utilisateurs de systèmes d'IA générative de notifier clairement aux utilisateurs lorsqu'ils interagissent avec une machine, et de marquer les contenus générés par l'IA pour qu'ils soient facilement identifiables.

L'objectif de ces nouvelles règles est de répondre aux défis posés par les avancées rapides des technologies d'IA générative, qui rendent de plus en plus difficile pour les utilisateurs de distinguer les interactions avec des machines de celles avec des humains. De plus, les images générées par l'IA deviennent presque indiscernables des photos authentiques, et les individus peuvent être exposés à des outils de reconnaissance émotionnelle et de catégorisation biométrique sans en être informés.

Préoccupations de manipulation et de fraude

La Commission européenne a souligné les risques de manipulation à grande échelle et de fraude, notamment à travers l'usurpation d'identité et la tromperie des consommateurs. L'article 50 vise à contrer ces menaces en assurant un déploiement de l'IA qui soit à la fois responsable et sécurisé dans toute l'Europe.

Obligations des fournisseurs d'IA

Selon l'article 50, les fournisseurs doivent développer des systèmes qui permettent aux utilisateurs de savoir qu'ils interagissent avec une IA, sauf dans les cas où cela est évident pour une personne raisonnablement informée. Les systèmes utilisés par les forces de l'ordre pour des enquêtes criminelles sont exemptés de cette obligation, à condition que les droits des tiers soient protégés, sauf si le public peut utiliser le système pour signaler un crime.

Les fournisseurs de systèmes générant des contenus synthétiques, tels que l'audio, les images, les vidéos ou les textes, doivent marquer ces contenus de manière à ce qu'ils soient détectables comme artificiellement générés. Ce marquage doit être lisible par machine et interopérable, dans la mesure du possible techniquement, tout en tenant compte des coûts de mise en œuvre. L'édition assistée qui laisse l'entrée fournie par le déployeur essentiellement intacte ne déclenche pas cette exigence ; un simple retouche photo ne l'active pas, mais un remplacement généré par l'IA le fait.

Responsabilités des déployeurs

Les déployeurs de systèmes de reconnaissance émotionnelle ou de catégorisation biométrique doivent informer les personnes concernées de leur utilisation. Les données personnelles collectées par ces systèmes restent sous la juridiction des lois existantes sur la protection des données, telles que le RGPD pour le cas général, le règlement sur la protection des données des institutions de l'UE lorsque qu'un organisme de l'UE gère le système, et la Directive sur la police pour les contextes de maintien de l'ordre.

En ce qui concerne les deepfakes, les contenus générés ou manipulés artificiellement doivent être clairement identifiés. Les œuvres artistiques ou satiriques bénéficient d'une divulgation plus légère, qui ne doit pas nuire à l'expérience de l'œuvre.

Les textes destinés à informer le public sur des sujets d'intérêt public doivent également être marqués, sauf s'ils ont été revus par un humain avec une responsabilité éditoriale. Les contenus d'IA non édités ne satisfont pas à cette exigence.

Toutes les divulgations doivent être faites au plus tard lors de la première interaction ou exposition, de manière claire, distincte et accessible selon les règles d'accessibilité existantes. Aucune période de grâce ne couvre l'information après coup.

Mise en œuvre et conformité

Trois entités sont chargées de l'application de ces règles : les autorités nationales de surveillance du marché, le Bureau de l'IA pour les systèmes sous sa supervision, et le Contrôleur européen de la protection des données pour les institutions de l'UE.

Les lignes directrices fournissent des indications sur la manière dont les fournisseurs et les déployeurs peuvent démontrer leur conformité, notamment par l'inscription au Code de pratique sur la transparence des contenus générés par l'IA. Ceux qui choisissent de ne pas suivre ce Code doivent prouver leur conformité par d'autres moyens acceptés par la Commission.

Les autres obligations de transparence n'ont pas de code équivalent. Pas de code, pas de raccourci. Informer les gens qu'ils parlent à une IA est une obligation. Divulguer les deepfakes et signaler les textes d'intérêt public générés par l'IA complètent le reste, et les fournisseurs et déployeurs déterminent leurs propres mesures adéquates, les lignes directrices servant de point de référence plutôt que de liste de contrôle.

Définir les rôles et responsabilités

Le document précise ce qui constitue un système d'IA interactif, ce qui est considéré comme du contenu synthétique, et la distinction entre un deepfake et des médias édités de manière standard. Les lignes directrices abordent également la chaîne de valeur pour déterminer qui est considéré comme fournisseur ou déployeur, et comment les obligations de l'article 50 s'appliquent en fonction de cette distinction.

Les organisations qui envisagent d'adopter le Code de pratique ou de créer leur propre méthode de marquage disposent désormais d'un cadre de référence approuvé par la Commission, allant au-delà du texte brut de la réglementation.