Les directives de l'UE sur l'IA font l'objet de vives critiques

Avec le code de bonnes pratiques pour l'IA à usage général (code GPAI), l'UE a publié son premier code de conduite visant à réglementer l'IA. Il vise à simplifier la mise en conformité avec la loi européenne sur l'IA. Ces directives entreront en vigueur le 2 août 2025. L'UE a l'intention de les mettre en œuvre dans la pratique à partir de 2026. Cependant, ces lignes directrices ne sont pas sans susciter la controverse et ont été critiquées par des groupes de pression, des PDG et des DSI, ainsi que des ONG.

Le code de conduite

Le code de conduite comprend trois chapitres : transparence, droits d'auteur, et sûreté et sécurité.

Le chapitre sur la transparence fournit un modèle de documentation convivial. Il vise à permettre aux fournisseurs de documenter facilement les informations requises pour se conformer à l'obligation imposée par la loi sur l'IA aux fournisseurs de modèles de garantir une transparence suffisante (article 53 de la loi sur l'IA).

Le chapitre sur le droit d'auteur offre aux fournisseurs des solutions pratiques pour se conformer à l'obligation imposée par la loi sur l'IA d'élaborer une stratégie visant à respecter le droit d'auteur de l'UE (article 53 de la loi sur l'IA).

La section « Sûreté et sécurité » présente des pratiques concrètes et de pointe pour faire face aux risques systémiques, c'est-à-dire les risques posés par les modèles d'IA les plus avancés. Les fournisseurs peuvent s'appuyer sur ce chapitre pour respecter les obligations de la loi sur l'IA applicables aux fournisseurs de modèles d'IA à usage général présentant des risques systémiques (article 55 de la loi sur l'IA). Il s'applique uniquement aux fournisseurs de modèles d'IA à usage général (GPAI) présentant des risques systémiques.

Les critiques de Bitkom

L'association allemande pour le numérique Bitkom reste relativement diplomate dans ses critiques à l'égard du code de bonnes pratiques GPAI. Elle y voit une opportunité de créer une sécurité juridique pour le développement de l'IA en Europe. En outre, il a été simplifié par rapport aux versions initiales et est plus conforme au texte juridique, ce qui le rend plus facile à appliquer pour les entreprises.

Susanne Dehmel, membre du comité directeur de Bitkom, salue les lignes directrices, mais soulève certains points critiques. « Le code de bonnes pratiques ne doit pas freiner la position de l'Europe en matière d'IA », met en garde Susanne Dehmel, membre du comité directeur de Bitkom. Toutefois, pour que la loi sur l'IA soit réellement mise en œuvre dans la pratique, Mme Dehmel ajoute que « les exigences d'audit très complètes mais formulées de manière vague doivent être améliorées et la charge administrative considérablement réduite ». Bitkom critique le renforcement des exigences en matière d'identification ouverte des risques pour les modèles d'IA très puissants.

Susanne Dehmel, membre du comité directeur de Bitkom, salue ces lignes directrices, mais soulève certains points critiques. (Crédit Bitkom)

Ce qu'en disent les PDG de l'UE

Plus de 45 cadres supérieurs ont également envoyé un message clair dans une lettre ouverte à l'UE. Ils avertissent que l'UE se perd dans la complexité de la réglementation de l'intelligence artificielle et risque ainsi de compromettre sa propre compétitivité. Les réglementations sont floues dans certains domaines et contradictoires dans d'autres. Les dirigeants demandent que la mise en œuvre de la loi européenne sur l'IA soit reportée de deux ans. La lettre a été initiée par le groupe de pression EU AI Champions Initiative, qui représente environ 110 entreprises de l'UE. Parmi les signataires figurent des dirigeants de Mercedes-Benz, Lufthansa, Philips, Celonis, Airbus, AXA et BNP Paribas, pour n'en citer que quelques-uns.

SAP et Siemens réclament une nouvelle loi sur l'IA

Le PDG de Siemens, Roland Busch, et le PDG de SAP, Christian Klein, étaient absents, estimant que les critiques n'allaient pas assez loin. Dans une interview accordée au Frankfurter Allgemeine Zeitung (FAZ), ils ont appelé à une révision fondamentale de la loi européenne sur l'IA, afin de trouver un nouveau cadre qui favorise l'innovation plutôt que de l'entraver. Pour M. Busch, la loi sur l'IA, dans sa forme actuelle, est « toxique pour le développement des modèles commerciaux numériques ». Pour Roland Busch, PDG de Siemens, la loi sur l'IA dans sa forme actuelle est toxique pour les modèles commerciaux numériques.

Pour Roland Busch, PDG de Siemens, la loi sur l'IA dans sa forme actuelle est toxique pour les modèles économiques numériques. (Crédit Siemens)

Le point de vue d'une ONG

The Future Society, une ONG qui se considère comme représentative de la société civile, critique également ces directives. L'ONG s'inquiète particulièrement du fait que les fournisseurs de technologies américains aient réussi à affaiblir et à édulcorer des points essentiels lors d'une session à huis clos. Nick Moës, directeur exécutif de The Future Society, déclare : « Ce code affaibli désavantage les citoyens et les entreprises européens et passe à côté d'opportunités de renforcer la sécurité et la responsabilité à l'échelle mondiale. Il porte également préjudice à toutes les autres parties prenantes dont l'engagement et les efforts pour le bien commun sont restés éclipsés par l'influence des géants américains de la technologie. »

Quatre points critiques

L'ONG critique particulièrement les quatre points suivants :

• Le bureau de l'IA ne reçoit les informations importantes qu'après la mise sur le marché du produit.

Les fournisseurs ne communiquent le rapport type avec l'évaluation des risques qu'après le déploiement, suivant l'approche « publier d'abord, questionner ensuite ». Cela permet à des modèles potentiellement dangereux d'atteindre les utilisateurs européens sans contrôle. En cas de violation, le bureau de l'IA doit lancer un rappel, ce qui peut alimenter des critiques infondées à l'égard de l'innovation.

• Pas de protection plus efficace des lanceurs d'alerte.

Les informations provenant de l'intérieur sont cruciales dans les secteurs axés sur le capital et le marché. Dans un monde où les entreprises d'IA en savent beaucoup sur les utilisateurs, mais où ces derniers en savent peu sur elles, les lanceurs d'alerte internes sont essentiels. Le bureau de l'IA doit être un refuge sûr et offrir les mêmes normes de protection que celles requises par la directive européenne sur les lanceurs d'alerte.

• Pas de plans obligatoires pour les scénarios d'urgence.

De tels protocoles sont courants dans d'autres domaines à haut risque. Les dommages peuvent également se propager très rapidement dans le domaine des GPAI. Les fournisseurs doivent donc être tenus de planifier à l'avance des stratégies d'intervention d'urgence et d'atténuation des dommages.

• Les fournisseurs disposent d'un large pouvoir décisionnel en matière de gestion des risques.

Grâce à des actions de lobbying, des règles fondées sur les résultats ont été introduites. Les fournisseurs sont désormais autorisés à identifier eux-mêmes les risques, à définir des seuils et à procéder à une évaluation continue, prouvant ainsi qu'ils méritent cette confiance.