Présenté comme le premier au monde sur l’intelligence artificielle, ce règlement négocié au forceps rappelle le rôle central de l’Europe dans l’arsenal législatif sur les usages du numérique. La DSI des entreprises est directement concernée car elle assure notamment, une fonction de conseil auprès de la direction générale et des collaborateurs concernés. Le développement très rapide de l’IA va impacter la stratégie commerciale des organisations, la sécurité des infrastructures et bien d’autres domaines. Au même titre que le RGPD, les sanctions ne seront pas anecdotiques puisque les infractions les plus graves des cas d’usages interdits seront punies d’amendes jusqu’à 7 % du chiffre d’affaires. L’IA Act comprend une liste de cas d’usages considérés comme présentant un risque important pour la sécurité et les droits fondamentaux des personnes. Concernant les entreprises, cela inclut l’emploi, les infrastructures critiques et les responsabilités liées à la supply chain (chaîne d’approvisionnement). A ce propos, les fournisseurs de solution d’IA générative tels ChatGPT et consorts, devront fournir toutes les informations de conformité légale à toutes les parties prenantes de la supply chain.
A noter, les exemptions qui touchent à la sécurité publique, les forces de l’ordre pouvant utiliser la reconnaissance faciale en direct, sous le contrôle d’une autorité judiciaire.
Les entreprises doivent déjà anticiper les impacts de l’IA ACT
Toutes les organisations doivent prendre conscience que les usages à haut risque concernent de nombreux domaines : logiciels de sélections de CV, les IA présentes dans les infrastructures IT, les services financiers, la cybersécurité, etc. Face au déploiement de l’IA, il est difficile d’anticiper tous ses impacts sur les métiers. A terme, les organisations devront assurer le reporting, la mise en conformité des procédures ainsi que la signalisation des alertes aux autorités compétentes comme la CNIL ou l’ANSSI.Encore susceptible d’évolution, l’accord vise sans surprises la régulation des LLM (grand modèle de langage) de l’IA générative. Sur ces points comme sur d’autres, une veille sur le texte définitif devra être exercée par les DPO et la DSI, en accord avec les métiers.
Dans le collimateur de l’IA ACT, la puissance de calcul des IA génératives
L’approche du législateur européen pour classer les IA d’après leur risque systémique se fait aussi en fonction de la puissance de calcul des modèles. Le seuil de déclenchement mentionné dans la dernière mouture de l’IA ACT est de 10^25 flops, ce qui exclut la majorité des modèles GPAI existants. Aujourd’hui, seuls Chat GPT4 ou Gemini de Google seraient au-delà de ce seuil. Les autres modèles d’IA seront dans tous les cas concernés par les obligations présentes, à savoir la transparence qui fait partie du RGPD et le respect du droit de l’UE en matière de propriété intellectuelle.A ce jour, il reste très difficile d’évaluer les risques des IA sur tous les aspects de l’activité des entreprises car elles se déploient à grande vitesse. Reste à arbitrer entre l’innovation et les risques, un paradigme que très peu d’acteurs semblent maitriser et anticiper.
