BRUXELLES — Les députés européens font pression pour élargir le champ d’application de la réglementation phare de l’UE en matière d’IA afin de tenir les géants américains de la tech pour responsables des risques que leurs modèles les plus avancés font peser sur l’humanité, selon des échanges écrits consultés par POLITICO.
La proposition émanant de quatre élus de premier plan du Parlement européen viserait à ajouter de nouvelles règles à l’AI Act, le règlement européen sur l’intelligence artificielle de 2024, afin de garantir que des entreprises telles qu’OpenAI et Anthropic puissent être tenues pour responsables lorsque leur technologie est utilisée de manière imprévue.
Cette initiative montre que Bruxelles prend conscience d’une réalité dans laquelle les dommages causés par l’IA sont déjà une réalité et où les risques se multiplient — et elle marque la première tentative concrète au sein de l’UE visant à répondre aux craintes concernant la sécurité de l’IA, qui dominent actuellement l’agenda politique mondial.
Le groupe appelle la Commission à présenter une loi sur la responsabilité en matière d’IA “afin de combler les lacunes législatives qui existent actuellement concernant ce type d’incidents, de sorte qu’aucun citoyen ni aucune entreprise européenne ne se retrouve sans recours face à ces grands prestataires lorsqu’ils causent un préjudice”, selon une note adressée à l’exécutif européen le 16 septembre et consultée par POLITICO.
Pour l’eurodéputée néerlandaise Kim van Sparrentak, membre des Verts et du groupe d’élus chargés de suivre la mise en œuvre des règles de l’UE en matière d’IA au Parlement, l’évolution rapide de cette technologie oblige l’UE à actualiser sans délai ce qui était, il y a deux ans, la première législation contraignante d’envergure au monde visant à réglementer les modèles avancés d’intelligence artificielle.
“L’Europe doit reprendre les devants”, a plaidé Kim van Sparrentak, qui fait partie des quatre eurodéputés à la tête de cette initiative aux côtés du conservateur allemand Axel Voss, du social-démocrate italien Brando Benifei et de l’indépendant irlandais Michael McNamara.
Cet appel a reçu le soutien de députés du Parti populaire européen (centre droit), des groupes des Socialistes et démocrates et des libéraux de Renew, ce qui témoigne d’un large soutien politique.
Une menace existentielle pour l’humanité
Cette semaine marque une nouvelle étape importante pour les efforts mondiaux en matière de sécurité de l’intelligence artificielle, après un été marqué par de nombreux incidents de piratage liés à l’IA et des avertissements sur la menace existentielle qu’elle représenterait pour l’humanité. Ce sujet est au cœur des débats de l’Assemblée générale des Nations unies à New York et d’une réunion ce mardi des ministres du Numérique du G7, et il occupera le sommet qui se tiendra cette semaine entre le dirigeant chinois Xi Jinping et le président américain Donald Trump.
L’appel lancé par les députés européens met en lumière les lacunes de l’AI Act, qui avait été adoptée à une époque où l’idée que des agents d’IA puissent pirater d’autres entreprises relevait davantage de la science-fiction.
Les règles relatives à la responsabilité en matière d’IA pourraient permettre aux victimes de préjudices causés par cette technologie d’obtenir plus facilement et à moindre coût une indemnisation, par exemple en faisant peser la charge de la preuve sur les entreprises.
Cet intérêt nouveau pour la responsabilité du fait des produits en Europe serait également en phase avec certaines positions exprimées aux Etats-Unis, notamment le soutien apporté par l’ancien Monsieur IA de Donald Trump, David Sacks, lors du POLITICO Decoded Summit, qui s’est tenu à Washington la semaine dernière.
La proposition des députés européens d’introduire de nouvelles règles en matière de responsabilité marque un revirement radical par rapport à la position officielle adoptée par l’UE ces derniers mois.
Pendant des semaines, Bruxelles a apporté une réponse toute faite à la série d’incidents liés à l’IA, aux avertissements des chercheurs et aux appels de dirigeants de la tech à ralentir son développement : l’AI Act est déjà là pour empêcher les entreprises de perdre le contrôle de leurs modèles ou de leurs agents.
Cette nouvelle attention portée à la responsabilité constitue un aveu tacite que la législation sur l’IA ne suffira pas à elle seule.
Mais cet appel à instaurer de nouvelles règles pose également des difficultés sur le plan législatif. L’UE vient en effet de réviser l’ensemble de son dispositif régissant la conformité des produits aux normes de sécurité, dans le cadre d’une mise à jour de ses règles générales en matière de responsabilité du fait des produits, qui doit entrer en vigueur le 9 décembre.
Bruxelles ambitionne également d’alléger davantage la réglementation dans le domaine des technologies, dans le but de “simplifier” les règles afin de favoriser la croissance des entreprises. Des règles spécifiques en matière de responsabilité liées à l’IA avaient été proposées par la Commission européenne en septembre 2022, mais celle-ci les a retirées l’année dernière.
Protections juridiques
La réglementation actuelle de l’UE intègre déjà une approche de l’IA sous l’angle de la sécurité des produits. Elle incite les entreprises à évaluer leurs modèles ou applications d’IA et à déterminer le risque qu’ils présentent pour le public : inacceptable, élevé, limité ou minime.
Mais la loi ne fait pas grand-chose pour remédier aux dommages causés.
La loi ne s’applique pas non plus aux modèles d’IA avant leur déploiement, pendant leur phase d’entraînement ou de test, même si la plupart des piratages de l’été dernier ont été menés par des agents alimentés par des modèles de recherche à usage exclusivement interne.
“Le fonctionnement actuel du système ne reconnaît pratiquement aucun droit aux personnes lésées par l’intelligence artificielle”, a pointé Mario Mariniello, chercheur senior spécialisé dans les questions numériques et de concurrence au sein du think tank Bruegel. “Cela réduit les incitations pour les développeurs à prendre en compte ce risque et, par conséquent, d’investir dans la sécurité.”
Pour les experts en cybersécurité, les incidents survenus cet été, à l’image du piratage de Hugging Face par des agents développés par OpenAI, sont la preuve qu’il est nécessaire d’avoir un régime de responsabilité.
“Je ne pense pas qu’il soit judicieux d’affirmer que, sous prétexte qu’il n’y avait pas d’intention criminelle et que c’est un agent d’IA qui a agi, il n’y a pas de responsabilité juridique”, a estimé Marcus Hutchins, un expert britannique en cybersécurité surtout connu pour avoir mis fin à une attaque mondiale du rançongiciel WannaCry en 2017.
Certains experts, comme Irene Kamara, maître de conférences à l’université de Tilburg, ont souligné le fait que les agents d’IA sont souvent anthropomorphisés, comme s’il s’agissait de protagonistes à l’apparence humaine lançant une attaque de leur propre chef : cela “détourne l’attention de la recherche du ou des véritables responsables de l’incident”, a-t-elle soulevé.
Cet article a d’abord été publié par POLITICO en anglais, puis a été édité en français par Jean-Christophe Catalon.