Entrée en vigueur des premières obligations de l’AI Act

L’AI Act est entré en vigueur le 1er août 2024, et à partir du 2 août 2026, la plupart des obligations devront être respectées par les entreprises. Toutefois, les premières obligations entreront en vigueur dès le 2 février 2025, et concernent, d’une part, la promotion de la maîtrise de l’IA et, d’autre part, l’interdiction de certaines pratiques en matière d’IA. 

Objectif et champ d’application 

Avec l’AI Act, l’Union européenne vise à créer un cadre juridique uniforme pour le développement, la mise sur le marché, la mise en service et l’utilisation de systèmes d’intelligence artificielle. L’AI Act a pour objectif de promouvoir l’adoption de l’IA (intelligence artificielle) axée sur l’humain et digne de confiance, tout en garantissant un niveau élevé de protection de la santé, de la sécurité et des droits fondamentaux consacrés dans la Charte de l’Union européenne. 

L’AI Act s’applique aux fournisseurs qui développent et mettent sur le marché des systèmes d’IA, ainsi qu’aux déployeurs (ci-après « utilisateurs ») qui utilisent ces systèmes. Si, en tant qu’employeur, vous utilisez des systèmes d’IA, par exemple dans le cadre du recrutement, vous devrez être particulièrement attentifs aux obligations prévues à charge des utilisateurs. Dans notre précédent newsflash, nous avons dressé un aperçu des principales lignes directrices et points d’actions. 

Maîtrise de l’IA

La première obligation, qui entrera en vigueur le 2 février 2025, consiste à garantir un niveau suffisant de maîtrise de l’IA.  L’objectif est de s’assurer que toutes les personnes impliquées dans les systèmes d’IA au sein de l’entreprise disposent des compétences et des connaissances nécessaires pour prendre des décisions éclairées et utiliser ces systèmes de manière responsable.

Les mesures permettant de garantir un niveau suffisant de maîtrise de l’IA doivent être déterminées en tenant compte : 

• de la connaissance technique du personnel, son expérience, son éducation et sa formation ;
• du contexte dans lequel les systèmes d’IA seront utilisés ; et 
• des personnes ou des groupes de personnes à l’égard desquels les systèmes d’IA seront utilisés. 

L’AI Act ne précise pas les mesures qu’un employeur doit prendre pour atteindre un niveau « suffisant » de maîtrise de l’IA. Il peut donc être difficile de démontrer le respect de cette obligation, mais cela offre également la possibilité de déterminer soi-même ce qui est « suffisant » pour votre entreprise et vos travailleurs. Il incombe toutefois à l’office AI, un organe créé au sein de la Commission européenne en tant que centre d’expertise en matière d’IA, de fournir des informations complémentaires à ce sujet.

Les entreprises qui utilisent des systèmes d’IA ont tout intérêt à organiser des formations sur la maîtrise de l’IA. La mise en place d’une politique détaillée en matière d’utilisation acceptable de l’IA (Responsible AI Use Policy) contribue également au respect de l’obligation de maîtrise de l’IA.

Par ailleurs, tous les travailleurs ne doivent pas atteindre le même niveau de maîtrise de l’IA. Il ne s’agit pas d’une obligation ‘one size fits all’, mais d’une exigence sur mesure. Toute personne concernée par les technologies d’IA doit en comprendre les principes de base et être capable d’adopter une approche critique et responsable vis-à-vis des systèmes d’IA. En outre, le respect de cette obligation est un processus continu et évolutif.

Pratiques interdites en matière d’IA

À partir du 2 février 2025, l’AI Act interdit un certain nombre de pratiques inacceptables en matière d’IA. Il s’agit de pratiques contraires aux normes et valeurs fondamentales de l’Union européenne, telles que la violation des droits fondamentaux consacrés par la Charte de l’Union européenne.

Les pratiques d’IA suivantes sont, entre autres, interdites :

• les systèmes d’IA qui ont recours à des techniques subliminales au-dessous du seuil de conscience d’une personne, ou à des techniques délibérément manipulatrices ou trompeuses. Cela inclut les systèmes incitant les personnes à prendre des décisions qu’elles n’auraient pas prises autrement, d’une manière qui cause ou est raisonnablement susceptible de causer un préjudice important ;
• les systèmes d’IA qui exploitent les vulnérabilités d’une personne ou d’un groupe spécifique de personnes, telles que l’âge ou le handicap, afin d’altérer substantiellement leur comportement, et susceptibles de causer un préjudice important ;
• les systèmes d’IA pour l’évaluation ou la classification des personnes en fonction de leur comportement social ou de leurs caractéristiques personnelles (« social scoring »), entraînant un traitement préjudiciable ou défavorable ;
• les systèmes d’IA qui créent ou développent des bases de données de reconnaissance faciale par l’extraction non ciblée d’images faciales provenant de l’internet ou d’images vidéo ;
• les systèmes d’IA destinés à inférer les émotions d’une personne sur le lieu de travail ou dans les établissements d’enseignement, sauf pour des raisons médicales ou de sécurité ;
• …

Les entreprises qui développent ou utilisent des pratiques interdites en matière d’IA s’exposent à des amendes administratives pouvant aller jusqu’à 35 millions d’euros ou jusqu’à 7 % de leur chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu. Lors de la détermination des amendes infligées aux PME et aux start-ups, leurs intérêts et leur viabilité économiques seront pris en compte et une amende moins élevée pourra être imposée.

Politique en matière d’IA 

L’office AI encourage l’élaboration de codes de conduite ou de politiques liées à l’application des dispositions de l’AI Act. Dans une politique en matière d’IA, l'employeur peut établir des lignes directrices claires pour l'utilisation de l’IA au sein de l'entreprise. Il peut y être précisé quels systèmes d'IA peuvent être utilisés, par qui, et dans quelle mesure ces systèmes d'IA peuvent être appliqués dans le cadre de la fonction de certains travailleurs. La politique peut également établir la manière dont le personnel peut rester suffisamment familiarisé avec l’IA.

Point d’action

Les premières obligations de l’AI Act entreront en vigueur le 2 février 2025. Par conséquent, cartographiez les systèmes d'IA utilisés au sein de votre entreprise. Qualifiez ces systèmes d'IA et arrêtez d’utiliser ceux présentant un risque inacceptable.

Évaluez ensuite le niveau de maîtrise de l’IA au sein de l'entreprise et déterminez les mesures complémentaires nécessaires (telles que des formations, des règlements internes,...).

Notre Data & Privacy Team peut toujours vous assister à élaborer une politique en matière d'IA, à organiser des formations et à répondre aux questions concernant les RH, la protection de la vie privée et l'IA au sein de votre entreprise.

Nous avons le plaisir de vous annoncer notre partenariat avec Umaniq, pionnier en matière de gouvernance des données, gestion des risques et conformité et d’IA. Ensemble, nous vous proposons des formations sur mesure pour renforcer la culture de l’IA au sein de votre organisation. 

Curieux d’en savoir plus ? Découvrez tous les détails via ce lien.