Règles de transparence de l'AI Act européen : ce que signifient les nouvelles obligations d'étiquetage

L'AI Act de l'Union européenne, le cadre phare du bloc régulant l'intelligence artificielle, a commencé à déployer de nouvelles obligations de transparence conçues pour permettre plus facilement aux gens de savoir quand ils interagissent avec un chatbot ou visionnent un contenu généré ou modifié par l'IA. Ces règles sont entrées en vigueur ce mois-ci dans le cadre du calendrier de mise en œuvre échelonné de la loi, qui introduit différentes obligations à différentes dates selon la catégorie de risque attribuée à chaque type d'usage de l'IA.

Au cœur de ces nouvelles règles se trouve une distinction entre deux types d'entreprises : les fournisseurs, c'est-à-dire les entreprises qui développent et commercialisent des systèmes d'IA, et les déployeurs, c'est-à-dire les plateformes et services qui mettent ces systèmes en œuvre pour leurs propres clients ou utilisateurs. Certaines entreprises, en particulier les grandes sociétés technologiques qui à la fois conçoivent des modèles d'IA et exploitent des produits destinés aux consommateurs, relèvent simultanément des deux catégories et doivent satisfaire aux obligations propres à chaque rôle.

Les fournisseurs sont tenus de concevoir les systèmes d'IA de sorte que le contenu audio, image, vidéo ou texte synthétique qu'ils génèrent puisse être identifié comme produit ou manipulé artificiellement, généralement au moyen de marqueurs lisibles par machine intégrés au fichier, parfois appelés filigranes, bien que la méthode technique soit en partie laissée au choix des fournisseurs, tant qu'elle permet une détection fiable.

Les déployeurs, de leur côté, doivent veiller à ce que les personnes soient clairement informées lorsqu'elles interagissent avec un système d'IA plutôt qu'avec un humain, sauf si ce fait est déjà évident au vu du contexte. Cette obligation vise directement les chatbots et assistants vocaux utilisés dans le service client, les lignes d'information sanitaire et des contextes similaires où un utilisateur pourrait autrement raisonnablement penser s'adresser à une personne.

Une obligation connexe cible ce que la loi appelle les hypertrucages (deepfakes) : un contenu image, audio ou vidéo généré ou manipulé par IA représentant des personnes, lieux ou événements réels d'une manière qui paraîtrait authentique à une personne raisonnable. Quiconque génère ou partage ce type de contenu doit désormais indiquer qu'il a été créé ou manipulé artificiellement, avec des exceptions plus restreintes pour les œuvres clairement satiriques ou artistiques, à condition que cette mention ne nuise pas à l'expression de l'œuvre.

La Commission européenne a publié un ensemble d'étiquettes IA standardisées que les entreprises peuvent adopter directement plutôt que de concevoir leur propre langage et iconographie de divulgation à partir de zéro, une approche destinée à créer une certaine cohérence visuelle entre les plateformes et à rendre les étiquettes plus reconnaissables pour les utilisateurs au fil du temps, à la manière dont fonctionnent les étiquettes nutritionnelles standardisées sur les emballages alimentaires.

L'application de ces règles incombe aux régulateurs nationaux de chaque État membre de l'UE, coordonnés au niveau de l'Union par le Bureau de l'IA, qui peut infliger des amendes en cas de non-conformité proportionnelles au chiffre d'affaires annuel mondial d'une entreprise, reprenant la structure d'application utilisée pour le Règlement général sur la protection des données de l'UE. Les premières priorités d'application devraient cibler les plus grands fournisseurs et plateformes d'IA plutôt que les développeurs plus modestes, bien que les obligations s'appliquent techniquement de manière large.

Les règles de transparence ne constituent qu'un élément d'un déploiement plus large et échelonné dans le cadre de l'AI Act, qui interdit par ailleurs un petit nombre d'usages de l'IA jugés porteurs d'un risque inacceptable, comme la notation sociale par les gouvernements, et impose des obligations plus strictes aux systèmes d'IA classés à haut risque, notamment certains usages dans le recrutement, l'évaluation du crédit, les forces de l'ordre et les infrastructures critiques, ces obligations entrant en vigueur selon un calendrier ultérieur à celui des règles de transparence entrées en vigueur ce mois-ci.

Les entreprises opérant en dehors de l'UE ne sont pas exemptées si leurs systèmes d'IA sont utilisés par des personnes au sein du bloc, une disposition de portée similaire à la manière dont le RGPD s'applique à toute entreprise traitant les données de résidents de l'UE, quel que soit le lieu où l'entreprise elle-même est établie. Cela a poussé de nombreux fournisseurs d'IA mondiaux à intégrer des fonctionnalités d'étiquetage et de divulgation spécifiques à l'UE dans leurs produits plutôt que de maintenir des versions distinctes pour différents marchés.

Pour les utilisateurs ordinaires, l'effet pratique des nouvelles règles devrait se traduire par un nombre croissant d'étiquettes IA visibles sur les images générées, des divulgations plus claires au début des conversations avec un chatbot, et des mentions de divulgation associées aux contenus manipulés par IA partagés en ligne, bien que la rapidité et la cohérence avec lesquelles les plateformes déploieront ces fonctionnalités en pratique dépendront fortement de l'ardeur avec laquelle les régulateurs nationaux feront appliquer les nouvelles exigences dans les mois à venir.