Aller au contenu
Hacktion Wiki IA

IA Act (Règlement Européen)

Ce que vous saurez dans 3 minutes

L’adoption de l’IA Act marque la fin de la “Far West Era” de l’intelligence artificielle en Europe. Vous découvrirez comment cette loi structure le marché non pas en bloquant la technologie, mais en imposant des garde-fous proportionnels aux dangers.

  • Pour les décideurs : Comprendre pourquoi la conformité devient un actif stratégique et non juste un coût.
  • Pour les tech leaders : Anticiper les exigences de documentation, de logging et de robustesse technique pour vos pipelines ML.
  • Pour les citoyens : Savoir comment vos droits sont protégés face au profilage, à la surveillance biométrique et aux décisions automatisées.

1. Comprendre

Une Approche Prudente : La Pyramide des Risques

L’Union Européenne a choisi une approche “Risk-Based” (basée sur le risque). Contrairement à une régulation technologique qui viserait un type d’algorithme précis (ex: interdire les réseaux de neurones), l’IA Act régule le cas d’usage.

Le même algorithme de reconnaissance d’image est :

  • Risque Minimal s’il trie vos photos de vacances.
  • Haut Risque s’il analyse des radiographies médicales pour un diagnostic.
  • Interdit s’il sert à évaluer la fiabilité citoyenne (Social Scoring).

Cette logique est visualisée par la Pyramide des Risques :

graph TB
    subgraph Pyramid["🔺 Pyramide des Risques IA Act"]
        direction TB
        R1["🚫 RISQUE INACCEPTABLE<br/>(Interdiction Totale)"]
        R2["⚠️ HAUT RISQUE<br/>(Régulation Stricte & Marquage CE)"]
        R3["📋 RISQUE LIMITÉ<br/>(Obligation de Transparence)"]
        R4["✅ RISQUE MINIMAL<br/>(Aucune restriction)"]
    end
    
    R1 --> R2
    R2 --> R3
    R3 --> R4
    
    style R1 fill:#dc2626,stroke:#b91c1c,color:#fff,stroke-width:2px
    style R2 fill:#f97316,stroke:#ea580c,color:#fff,stroke-width:2px
    style R3 fill:#eab308,stroke:#ca8a04,stroke-width:2px
    style R4 fill:#22c55e,stroke:#16a34a,color:#fff,stroke-width:2px

L’Analogie : Le Code de la Route vs Le Circuit F1

Imaginez l’IA comme des véhicules motorisés :

  • Risque Minimal (Jouets télécommandés) : Aucune règle, amusez-vous.
  • Risque Limité (Vélos électriques) : Quelques règles de sécurité (lumières, freins), mais pas de permis. C’est la transparence.
  • Haut Risque (Voitures, Camions) : Permis obligatoire, contrôle technique (Audit), code de la route strict, assurance. C’est le cœur de la régulation.
  • Inacceptable (Chars d’assaut en ville) : Strictement interdit sur la voie publique.

Zoom sur les Niveaux de Risque

La Ligne Rouge. Ces pratiques violent les valeurs de l’UE et sont bannies purement et simplement (sous 6 mois après entrée en vigueur).

  • Manipulation Comportementale : Techniques subliminales altérant le comportement d’une personne de manière à lui causer un préjudice.
  • Exploitation des Vulnérabilités : Cibler l’âge ou le handicap.
  • Scoring Social : Notation unifiée des citoyens par l’État (comme en Chine).
  • Police Prédictive : Évaluation du risque criminel d’un individu basée uniquement sur son profil ou ses traits de personnalité.
  • Reconnaissance d’Émotions : Interdite dans les lieux de travail et les écoles.
  • RBI (Reconnaissance Biométrique) Temps Réel : Interdite dans l’espace public pour les forces de l’ordre (sauf exceptions vitales : terrorisme, recherche d’enfants disparus, sur mandat judiciaire).

Le Cas Spécial des GPAI (General Purpose AI)

L’apparition de ChatGPT a forcé le législateur à ajouter un étage à la fusée. Les modèles de fondation (LLMs) sont régulés selon leur puissance et leur impact potentiel.

  • GPAI Standard : Doivent tenir à jour une documentation technique, respecter le droit d’auteur (copyright) et publier un résumé détaillé des données d’entraînement.
  • GPAI à Risque Systémique : Modèles dépassant 10^25 FLOPs d’entraînement (ex : GPT-4, Gemini Ultra). Ils doivent :
    • Effectuer des évaluations de modèles (Model Evaluations).
    • Réaliser des tests de résistance (Red Teaming).
    • Surveiller et signaler les incidents graves.
    • Assurer une cybersécurité adéquate.

2. Appliquer

Comment transformer cette contrainte légale en feuille de route opérationnelle ? La conformité n’est pas une option, les amendes étant dissuasives (jusqu’à 35M€ ou 7% du CA mondial).

Checklist de Conformité “Haut Risque”

Pour déployer un système à Haut Risque, vous devez cocher ces 7 cases (Article 8-15) :

  1. Système de Gestion des Risques Processus itératif d’identification et d’atténuation des risques tout au long du cycle de vie. Pas juste au lancement, mais en continu.

  2. Gouvernance des Données Jeux de données d’entraînement, de validation et de test doivent être pertinents, représentatifs et exempts d’erreurs pour éviter les biais.

  3. Documentation Technique Dossier complet prouvant la conformité (architecture, logique algorithmique) à disposition des autorités (CNIL, AI Office).

  4. Enregistrement (Logging) Traçabilité automatique des événements pour permettre l’audit post-incident (“Boîte noire”).

  5. Transparence & Notice Instructions claires pour l’utilisateur (humain) du système (le médecin, le recruteur), précisant les capacités et les limites de l’IA.

  6. Supervision Humaine (Human-in-the-loop) Le système doit pouvoir être surveillé et arrêté par un humain (Kill switch). L’humain doit comprendre les risques d’automatisation (biais d’automatisation).

  7. Robustesse & Cybersécurité Résistance aux erreurs, aux variations de données et aux attaques adverses (Data Poisoning, Model Inversion).

Simulation de Classification (Python)

Voici un script conceptuel pour aider une équipe à auto-évaluer le niveau de risque de son projet IA selon les critères de l’Annexe III.

class IAActClassifier:
    def __init__(self):
        self.prohibited_practices = [
            "social_scoring", "subliminal_manipulation", "realtime_biometric_police",
            "predictive_policing", "emotion_recognition_workplace"
        ]
        self.high_risk_areas = [
            "biometrics_remote", "critical_infrastructure", "education_access",
            "employment_recruitment", "essential_services_credit", "law_enforcement",
            "migration_border", "justice_administration"
        ]


    def assess_risk(self, use_case: str, sector: str, features: list):
        """
        Évalue le niveau de risque selon l'IA Act (Simplifié).
        """
        print(f"🔍 Analyse du projet : {use_case} ({sector})")


        # 1. Check Prohibited (Article 5)
        for practice in self.prohibited_practices:
            if practice in features:
                return "🔴 RISQUE INACCEPTABLE : Projet illégal dans l'UE."


        # 2. Check High Risk (Annex III)
        if sector in self.high_risk_areas:
            # Exception de sécurité : si l'IA est purement accessoire
            if "purely_accessory" in features:
                return "⚠️ HAUT RISQUE POTENTIEL (À vérifier : dérogation article 6)"
            return "🟠 HAUT RISQUE : Conformité article 8-15 requise (CE, Audit, Logs)."


        # 3. Check Transparency (Article 50)
        if "interaction_human" in features or "generates_content" in features:
            return "🟡 RISQUE LIMITÉ : Obligations de transparence (Marquage, Information)."


        # 4. Default
        return "🟢 RISQUE MINIMAL : Aucune restriction majeure (Code de conduite volontaire recommandé)."


# Scenario 1 : Un logiciel de tri de CV
classifier = IAActClassifier()
result_rh = classifier.assess_risk(
    use_case="Tri automatique des candidatures",
    sector="employment_recruitment",
    features=["automated_filtering", "ranking"]
)
print(result_rh)
# Output: 🟠 HAUT RISQUE


# Scenario 2 : Un générateur d'images pour le marketing
result_gen = classifier.assess_risk(
    use_case="Génération d'assets marketing",
    sector="marketing",
    features=["generates_content", "diffusion_model"]
)
print(result_gen)
# Output: 🟡 RISQUE LIMITÉ

Gouvernance : Qui surveille qui ?

L’application de l’IA Act repose sur une architecture à deux niveaux :

  1. Niveau Européen (AI Office) : Le Bureau de l’IA (au sein de la Commission) gère les modèles GPAI et les risques systémiques. Il coordonne les états membres.
  2. Niveau National (CNIL, etc.) : Les autorités de surveillance du marché (ex: CNIL en France) contrôlent les systèmes à Haut Risque et gèrent les plaintes des citoyens.

3. Aller plus loin

L’Impact Géopolitique : L’Effet Bruxelles

L’Union Européenne parie sur l’effet “First Mover” réglementaire. Comme pour le RGPD (GDPR), l’idée est que les standards européens deviendront de facto les standards mondiaux.

  • Pourquoi ? Pour une multinationale (Microsoft, Google), il est coûteux de maintenir deux versions d’un produit (une “propre” pour l’Europe, une “sale” pour le reste). Il est plus simple d’aligner le produit global sur le standard le plus strict.
  • Risque : Si la régulation est trop lourde, les géants pourraient bouder le marché européen ou dégrader leurs services (ex: retard de lancement de Google Bard ou Apple Intelligence en Europe).

Bacs à Sable (Sandboxes)

Pour ne pas étouffer les startups, l’IA Act prévoit des Bacs à Sable Réglementaires (Regulatory Sandboxes). Ce sont des environnements contrôlés, gérés par les autorités nationales, où les entreprises peuvent développer et tester leurs IA innovantes pendant une période limitée avant leur mise sur le marché, sous la supervision directe des régulateurs, sans risquer d’amende immédiate. Cela permet un dialogue itératif “Innovation vs Régulation”.

Points de vigilance

Prospective : L’IA Act 2.0 ?

L’IA Act est conçu pour être “Future-Proof” grâce à des mécanismes de mise à jour (actes délégués) pour ajouter de nouveaux cas d’usage à la liste “Haut Risque”. Cependant, la vitesse d’évolution des agents autonomes et de l’IA générative multimodale posera rapidement la question de la responsabilité civile (Product Liability Directive) qui est le prochain chantier législatif de l’UE.

Questions Fréquentes

L’IA Act s’applique-t-il aux entreprises américaines ou chinoises ? OUI. Le critère est le “Ciblage du marché”. Dès lors qu’un système d’IA est mis sur le marché de l’UE ou que son usage affecte des personnes situées dans l’UE, le fournisseur (quel que soit son siège social) doit respecter l’IA Act. C’est le principe d’extraterritorialité.

Les logiciels Open Source sont-ils exemptés ? Partiellement. L’IA Act prévoit des exceptions pour les systèmes sous licence libre et open source, SAUF s’ils sont à Haut Risque, Inacceptables, ou s’ils sont des GPAI systémiques. Si vous publiez un modèle open source puissant (ex: Llama 3), des obligations de documentation et de transparence demeurent.

Quelle différence entre l’IA Act et le RGPD ? Le RGPD protège les données personnelles et la vie privée. L’IA Act protège la sécurité et les droits fondamentaux face aux décisions automatisées. Les deux textes sont complémentaires : un système d’IA peut être conforme à l’IA Act mais illégal au sens du RGPD s’il a entraîné ses modèles sur des données volées.

Notions Liées (Spider Web)

Ressources Externes