Un élément central des systèmes d’IA est leur capacité d’inférence, décrite dans le règlement comme « le processus consistant à générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions, qui peuvent influencer l’environnement physique ou virtuel ». Cette capacité inclut également l’aptitude à inférer des modèles ou des algorithmes à partir d’entrées ou de données.
Les techniques d’inférence
Les techniques qui permettent cette inférence sont variées. D’une part, les approches d’apprentissage automatique, qui permettent aux systèmes d’apprendre à partir des données pour atteindre des objectifs spécifiques. D’autre part, les approches basées sur la logique et les connaissances, qui effectuent des inférences à partir d’informations encodées ou de représentations symboliques de la tâche à accomplir. Ces techniques vont bien au-delà du simple traitement de données, offrant aux systèmes d’IA la capacité d’apprentissage, de raisonnement et de modélisation.
Les systèmes d’IA peuvent ainsi fonctionner à différents niveaux d’autonomie, bénéficiant d’une certaine indépendance par rapport à l’intervention humaine. Ils peuvent agir sans supervision directe, une caractéristique clé qui les distingue des systèmes traditionnels.
Identification biométrique et interdictions spécifiques
Le règlement aborde aussi les systèmes d’identification biométrique à distance, définis comme des systèmes d’IA conçus pour identifier des individus sans leur participation active, généralement à distance, en comparant des données biométriques avec celles figurant dans une base de données. Le texte fait une distinction importante entre les systèmes d’identification en temps réel, où l’acquisition des données biométriques, leur comparaison et l’identification se déroulent instantanément, et ceux opérant avec un léger décalage.
Certaines pratiques en matière d’IA sont strictement interdites par le règlement. Parmi celles-ci, on trouve :
- L’utilisation de techniques subliminales, en dessous du seuil de conscience humaine, pour altérer le comportement de manière à causer un préjudice.
- L’exploitation des vulnérabilités dues à l’âge ou au handicap pour influencer le comportement d’une manière préjudiciable.
- Les systèmes d’IA destinés à évaluer ou classer la fiabilité des individus en fonction de leur comportement social ou de caractéristiques personnelles, ce qui pourrait entraîner des traitements injustifiés ou disproportionnés.
- Les systèmes d’évaluation du risque criminel basés uniquement sur le profilage ou les traits de personnalité, bien que des exceptions existent pour appuyer les évaluations humaines dans des enquêtes criminelles.
Le règlement interdit également l’utilisation de l’IA pour la création de bases de données de reconnaissance faciale en moissonnant des images sur Internet ou via la vidéosurveillance, ainsi que la reconnaissance des émotions sur les lieux de travail et dans les établissements d’enseignement, sauf pour des raisons médicales ou de sécurité.
L’interdiction s’étend aussi aux systèmes d’identification biométrique à distance en temps réel dans les espaces publics à des fins répressives, sauf dans des circonstances spécifiques, telles que la recherche de victimes potentielles de crimes, la prévention d’une menace imminente, ou l’identification de suspects d’infractions graves.
Conditions strictes pour l’utilisation de l’IA à haut risque
L’utilisation de ces systèmes doit respecter des critères rigoureux, tenant compte de la situation, de la gravité potentielle du préjudice en l’absence d’utilisation du système, ainsi que des conséquences sur les droits et libertés des personnes concernées. De plus, une autorisation préalable d’une autorité judiciaire ou administrative est nécessaire.
L’annexe III du règlement répertorie les systèmes d’IA à haut risque, incluant ceux qui peuvent influencer le résultat d’élections ou le comportement des électeurs, soulignant l’importance d’une analyse d’impact obligatoire sur les droits fondamentaux. Le secteur bancaire et des assurances est également concerné par ces exigences.
Droits des citoyens et sanctions
Le règlement accorde des droits importants aux citoyens, notamment celui de déposer des plaintes concernant les systèmes d’IA et de recevoir des explications sur les décisions prises par des systèmes à haut risque affectant leurs droits. En cas de non-respect des règles, les entreprises s’exposent à des sanctions sévères, pouvant atteindre jusqu’à 35 millions d’euros ou 7% de leur chiffre d’affaires mondial, selon la gravité de l’infraction.
En somme, ce règlement représente une étape majeure dans la régulation de l’intelligence artificielle au sein de l’UE, en établissant des règles claires pour encadrer l’utilisation de cette technologie, tout en protégeant les droits des citoyens et en promouvant une IA éthique et responsable.
Bien que le règlement ait été adopté et publié, sa pleine application n’entrera donc en vigueur que le 2 août 2026. Ce délai permet aux États membres, aux entreprises et aux autres parties prenantes de se préparer à l’entrée en vigueur des nouvelles exigences. Durant cette période, des mesures de transition seront mises en place pour faciliter l’adaptation des systèmes existants et la mise en conformité des nouvelles technologies.
Par ailleurs, l’entrée en application s’appuiera sur des « normes harmonisées » au niveau européen qui doivent définir précisément les exigences applicables aux systèmes d’IA concernés. La Commission européenne a ainsi commandé au CEN/CENELEC (Comité européen de normalisation en électronique et en électrotechnique) dix normes actuellement en cours de rédaction. La CNIL participe activement à leur élaboration depuis janvier 2024. A cet égard, elle a d’ores et déjà publié sur son site les premières questions réponses s’agissant du RIA.
