Mise en conformité AI Act - les clés pour comprendre et appliquer la loi

Alors que le règlement sur l’Intelligence Artificielle a été voté par les Etats membres le 2 février 2024, il est maintenant hautement probable que l’AI Act entrera en vigueur d’ici juin 2024 après un dernier vote au Parlement européen. 

France Digitale s’associe à Wavestone et Gide pour publier un guide pratique dans lequel ils décryptent le texte voté le 2 février 2024, pour permettre aux entreprises – startups, PME et grands groupes – de comprendre rapidement les enjeux de cette nouvelle réglementation de l’IA et anticiper les prochaines étapes de la mise en conformité de leurs systèmes d’IA. 

Quelles sont les conséquences directes de l’AI Act pour les entreprises ? 

Selon Marianne Tordeux Bitker, directrice des affaires publiques de France Digitale: “Cette décision a un goût doux amer. Si l’AI Act répond à un enjeu majeur en matière de transparence et d’éthique, il crée néanmoins des obligations conséquentes pour toutes les entreprises qui utilisent ou développent de l’intelligence artificielle, malgré quelques aménagements prévus pour les startups et PME notamment au travers de bacs à sable réglementaires. Nous craignons que le texte ne fasse que créer des barrière réglementaires supplémentaires qui profiteront à la concurrence américaine et chinoise et réduirons nos opportunités de faire émerger des champions européens de l’IA.”

En pratique, l’AI Act crée une réglementation produit, allant de l’interdiction de mise sur le marché au marquage CE, applicable aux systèmes d’intelligence artificielle faisant l’objet d’une commercialisation. Il s’applique à toutes les entreprises qui développent, fournissent ou déploient des systèmes d’intelligence artificielle. L’AI Act prévoit par ailleurs des dispositions particulières pour les entreprises qui développent des modèles d’IA génératives.

Les entreprises qui développent, fournissent ou déploient des systèmes d’IA dans l’Union européenne devront adapter la mise en conformité au niveau de risques des IA 

Concrètement, les entreprises vont devoir cartographier les systèmes d’IA et leur niveau de risque, pour adapter les obligations de mise en conformité :  

• les systèmes d’IA présentant un risque inacceptable vont être interdits de mise sur le marché,
• les systèmes d’IA présentant un haut risque devront obtenir un marquage CE,
• et les systèmes d’IA à risque faible ou minime doivent intégrer des obligations d’information des utilisateurs ou suivre un code de conduite volontaire.

Selon Chadi Hantouche, Partner chez Wavestone : “Pour réussir cette mise en conformité, les entreprises vont devoir réaliser des tests, fournir la documentation requise, interagir avec la gouvernance prévue et suivre le processus de mise en conformité dans la durée.

3 conseils pour y arriver sereinement : suivre la méthode par étapes que nous proposons dans le guide, constituer une équipe dédiée et anticiper l’impact budgétaire pour votre entreprise.”  

Les modèles d’IA génératives – comme ceux développés par Mistral, ChatGPT ou Bard – vont aussi devoir se mettre en conformité, qu’ils soient open source ou ne le soient pas.

Concrètement, le niveau de régulation sera différent selon qu’il s’agit d’un modèle de base ou à risque systémique. A ce jour, seul le critère de la puissance de calcul (supérieur ou inférieur à 1025 FLOPS) a été retenu pour déterminer le risque “systémique” mais l’AI Office pourra compléter cette définition dans un second temps pour tenir compte de critères additionnels, comme le nombre de business users. 

Les entreprises doivent anticiper leur mise en conformité

Si l’AI Act va s’appliquer par étapes, les premières obligations vont entrer en vigueur dans les 6 mois suivant sa publication au Journal officiel de l’Union Européenne. 

Selon Julien Guinot-Deléry, Associé, et Matthieu Lucchesi, Counsel chez Gide : “L’application de l’AI Act va arriver très vite. Les opportunités mais aussi les défis que pose ce nouveau règlement sont significatifs et touchent un panel d’acteurs et d’industries très large. Il est essentiel que les entreprises se préparent dès maintenant et anticipent la mise en conformité de leurs systèmes d’IA, en tenant compte d’autres réglementations, dont celles sur le droit d’auteur.”