L'UE interdit toutes les technologies d'IA jugées « inacceptablement risquées »

À compter d'aujourd'hui, l'Union européenne ferme la porte aux systèmes d'IA qu'elle juge « inacceptablement risqués ». C'est incontestable.

Les autorités réglementaires ont désormais le pouvoir de supprimer des gammes de produits entières du jour au lendemain. La première échéance de mise en conformité avec la réglementation européenne sur l'IA était de toute façon fixée au 2 février, et le message de l'UE est clair : toute infraction à ces règles entraînera une amende de 35 millions d'euros (environ 36 millions de dollars) ou de 7 % du chiffre d'affaires mondial, selon le montant le plus élevé.

Le Parlement européen a approuvé la loi sur l'IA en mars dernier après des années de négociations. Dès le 1er août, elle est entrée en vigueur. Désormais, les entreprises de tous les secteurs doivent s'y conformer.

Qu'est-ce qui figure sur la liste noire de l'UE ?

La liste noire de l'UE couvre certains aspects obscurs de l'IA. Oubliez les systèmes qui notent les individus en fonction de leur comportement ou de leur réputation, comme le système de crédit social dystopique en vigueur en Chine. Ce système est interdit. L'IA conçue pour manipuler les choix des individus par des stratagèmes sournois ou des messages subliminaux est également proscrite.

De plus, l'IA qui exploite les vulnérabilités – par exemple, l'âge ou le handicap d'une personne pour la manipuler – est exclue. Et voici un exemple historique : l'UE a interdit de prédire si une personne commettra un crime à partir de ses traits du visage.

Si votre IA exploite des données biométriques pour formuler des hypothèses sur le genre, l'orientation sexuelle ou les opinions politiques, il est temps d'y mettre fin. La surveillance biométrique en temps réel à des fins de maintien de l'ordre est également interdite, sauf conditions très spécifiques, conformément à la réglementation européenne sur l'IA.

Cela signifie qu'il n'y aura plus de scans faciaux dans les stations de métro ni lors d'événements publics pour appréhender des « suspects potentiels ». L'utilisation de l'IA detracdes émotions dans les écoles et les lieux de travail a également été supprimée, sauf dans de rares cas liés à un traitement médical ou à la sécurité.

Ces interdictions s'appliquent à toutes les entreprises opérant au sein de l'UE. Le siège social n'a aucune importance : géants de la Silicon Valley, start-ups asiatiques spécialisées en IA, laboratoires européens, etc. Si vous utilisez un système soumis à restrictions, l'UE vous informe que vous devrez payer une amende.

Les géants du secteur privé divisés sur la conformité

En septembre 2024, plus de 100 entreprises technologiques (dont Google, OpenAI et Amazon) ont signé un engagement volontaire appelé le Pacte européen sur l'IA, dans lequel elles se seraient engagées à assainir leurs projets d'IA en amont des échéances prévues par la loi, et à identifier les systèmes susceptibles d'être classés dans les catégories à haut risque ou interdites.

Curieusement, Meta, Apple et la société française d'IA Mistral ont catégoriquement refusé, affirmant que la réglementation était trop rigide et étoufferait l'innovation en octobre 2024.

Toutefois, le fait de ne pas respecter le Pacte n'exempte personne de l'obligation de se conformer à la loi, même si, en réalité, la plupart de ces entreprises technologiques n'abordent même pas les catégories interdites.

Cependant, selon la loi européenne sur l'IA, les forces de l'ordre peuvent toujours utiliser des systèmes d'IA collectant des données biométriques dans l'espace public, sous réserve d'une autorisation préalable des autorités compétentes. Cette exemption s'applique aux situations d'urgence telles que tracde personnes disparues ou la prévention d'attaques imminentes, ainsi qu'à l'IA de détection des émotions dans les écoles et les bureaux, mais uniquement lorsque cela est justifié par des raisons médicales ou de sécurité.

Mais la loi sur l'IA ne s'applique pas isolément. Le Règlement général sur la protection des données (RGPD), la directive sur la sécurité des réseaux et de l'information (NIS2) et la loi sur la résilience opérationnelle numérique (DORA) comportent tous des exigences similaires en matière de traitement et de sécurité des données.