IA Act : les questions que sa mise en application française pose aux entreprises / Entre la gouvernance de la régulation et l'ombre de l'Omnibus numérique

Complexités en vue pour les entreprises françaises ? Adopté en 2024, l’IA Act européen poursuit le cheminement de sa mise en application. À l’aube d’une nouvelle échéance en août prochain, portant sur les exploitants de système à haut risque, le volet numérique du projet de loi transposant divers textes européens (Ddadue), adopté au Sénat à la fin du mois de février, vise également à préciser la désignation et le rôle des autorités nationales compétentes, qui seront garantes de sa bonne application.

Par voie d’amendements, le gouvernement a élargi et musclé le rôle de la Commission Nationale de l’Informatique et des Libertés (Cnil), elle qui occupait déjà un rôle majeur dans la première version de ce schéma de gouvernance, présentée en septembre par la Direction générale des Entreprises (DGE). La Cnil a notamment été désignée comme autorité de surveillance de certains systèmes d’IA à haut risque (biométrie, emploi, éducation, certaines applications relevant du contrôle aux frontières, etc.) et sera en mesure de les surveiller, de les certifier, le tout étant assorti d’un pouvoir de sanction, si des personnes s’estimaient lésées par un système relevant de sa compétence. En l’état, l’architecture établie pose certaines questions pour les entreprises qui souhaiteraient développer des projets d’IA.

Un sujet d’articulation

Renforcer les pouvoirs de la Cnil pour surveiller les systèmes d’IA à haut risque ne semble, à première vue, pas illogique : le régulateur est le gendarme du RGPD, un texte voisin, d’autant que la protection des données personnelles est un sujet central en matière d’IA. Mais il reste par exemple, pour une entreprise, à savoir comment s’opérera l’articulation entre les deux. « Certains critères de conformité à l’IA Act peuvent s’avérer moins bloquants que certaines interprétations du RGPD. La crainte que l’on pourrait avoir, est que la Cnil décide de faire primer l’application du deuxième règlement sur le premier. Cela se traduit déjà dans un certain nombre de secteurs : emploi, formation, santé, recherche, banque, transports, distribution », estime Etienne Drouard, associé en IA et Privacy chez Hogan Lovells, auprès de WanSquare.

C’est notamment le cas, pour les banques, du profilage pouvant précéder l’octroi d’un crédit ou l’analyse d’un risque. Il est possible, selon le RGPD, de le mettre en place sans avoir besoin du consentement d’un emprunteur – au regard de la place inhérente de l’analyse des capacités financières dans un contrat de crédit - et d’en justifier auprès de la Cnil. « Cela fonctionnait jusqu’à présent. Dans l’IA Act, ce type de dispositif ne relève pas des IA à haut risque, mais à faible risque. Et le régulateur est bancaire. Si l’on désigne un régulateur de protection des données personnelles, en charge de la supervision des systèmes d’IA à haut risque, il pourrait reconsidérer ce type de projet au regard de l’IA Act et avoir une vision bien plus stricte que celle d’autres régulateurs de l’IA européens qui ne seraient pas, par ailleurs, des régulateurs de protection des données personnelles », poursuit l’avocat.

Isoler les problématiques des unes des autres

Ce qui pourrait être d’autant plus épineux, remarque Etienne Drouard, est qu’en l’état des choses, la Cnil ne sera pas forcée de consulter d’autres régulateurs sur la manière dont elle rendra ses arbitrages en matière de gouvernance des données, de certification de conformité, ou même de sanctions. Mais la culture de la maison importe lorsqu’il s’agit de prendre des décisions, indique-t-il : consommation, libertés individuelles, libertés d’expression et d’information, protection des données personnelles ou droit de la concurrence, n’ont pas forcément les mêmes postures à adopter face à un projet d’IA. « Il manque à ce schéma de gouvernance français de l’IA Act le mécanisme de co-régulation ou de consultation réciproque qui manque d’ailleurs malheureusement à la France depuis qu’on juxtapose des régulateurs indépendants les uns des autres », estime l’avocat.

Un projet d’IA peut en effet entrecroiser un vaste nombre de sujets. Par exemple, dans le secteur des transports : faire circuler des tramways intelligents sans conducteurs dépend d’un certain nombre de facteurs, comme la fréquentation des gares, le nombre de personnes à monter dans un train… Réguler les transports implique donc de pouvoir étudier les passagers, la sécurité, la logistique, le respect des horaires, entre autres. Autant de facettes qui entraîneraient la consultation du ministère des Transports, puis de l’Intérieur, puis la Cnil, puis l’Autorité de la concurrence, sans forcément avoir de position consensuelle claire. « La co-régulation, notamment sur le sujet de la supervision des données d’entraînement, permet d’appréhender toutes les dimensions de l’objet qui est régulé, offrant une vision plus sociétale des intérêts publics, économiques, souverains et géopolitiques qui découlent de la conception ou de l’utilisation de l’IA », indique le praticien.

L’on pourrait pourtant penser que renforcer les pouvoirs d’un seul régulateur permettrait de simplifier le nombre d’interlocuteurs, pour une entreprise. Le schéma présenté par la DGE était déjà compartimenté, avec des régulateurs des systèmes d’IA à haut risque (le Conseil d’État, la Cour de cassation et la Cour des comptes pour ceux utilisés dans les juridictions, l’Agence du médicament pour les dispositifs médicaux, etc.) choisis en fonction. La gouvernance était toutefois déjà éclatée, en silo, et donc pas nécessairement lisible pour une entreprise ou pour des projets à la croisée de leurs champs de surveillance.

Le coeur du sujet reste de ne pas pouvoir prévoir la manière dont les autorités de surveillance du texte s’accorderont. « Quand vous ne co-régulez pas, la Cnil peut se prononcer dans un premier temps, puis l’Autorité de la concurrence trois années plus tard avec des différences, avant que la Cour de cassation ne tranche sur le volet concurrence et le Conseil d’Etat ne le fasse sur celui des données personnelles. Là, en ne prévoyant pas un mécanisme qui oblige les régulateurs désignés à aligner leurs divergences, nous perdrons du temps dans des contradictions qui ne s’arbitreront jamais au niveau du juge, chaque contentieux se réglant en silo. Si l’on veut que l’IA se développe, il n’est pas possible d’attendre plusieurs années à chaque fois que se pose une question de divergence entre deux régulateurs ou entre les valeurs concurrentes », tranche Etienne Drouard.

D’autres approches plus mesurées

D’autant que d’autres pays européens semblent avoir adopté des positions peut-être plus équilibrées pour les entreprises. L’Allemagne, la Pologne, les Pays-Bas, l’Espagne, l’Autriche ou encore la Belgique comptent par exemple mettre en place des mécanismes  où des régulateurs sectoriels consulteront les autorités de protection des données, sans qu’elles n’aient forcément la main, soit, justement, des mécanismes de co-régulation. Un schéma qui pourrait s’appliquer en France. « Qu’il s’agisse de la régulation des médias, des communications électroniques, de l’énergie, des télécoms et de tous les secteurs qui peuvent être structurels, chacun des régulateurs sectoriels existants pourrait consulter la Cnil, ou inversement, afin d’adopter des positions réellement pluridisciplinaires », pointe Etienne Drouard. D’autres, comme la France, ont pris le parti de renforcer l’autorité de protection des données. Enfin, certains ont fait le choix de créer une autorité ad hoc agissant seule.

Le chemin du projet de loi n’est pas encore terminé, puisqu’il devra désormais être examiné à l’Assemblée nationale, qui pourrait lui apporter des modifications. Le texte a pour l’heure été transmis à la commission des Affaires économiques. Il restera toutefois aussi à surveiller la manière dont l’Omnibus numérique, présenté par la Commission européenne au mois de décembre et visant à retoucher (entre autres) l’IA Act, pourrait venir le percuter. La finalité précise de ce texte n’est pas encore connue, mais le premier projet de Bruxelles prévoyait de réviser son calendrier d’application, ainsi que certaines des charges en découlant – notamment sur la documentation technique pour les PME.

Si la traduction en droit français de certains volets du règlement correspond à des contraintes d’agenda établies, voici de quoi créer quelques facteurs supplémentaires d’incertitude pour les entreprises, en dépit des promesses de simplification portées. « Il faut suivre le calendrier existant, la France n’a pas réellement le choix. Mais il serait peut-être judicieux de ne pas légiférer jusque dans le détail tant que l’on ne connaît pas les arbitrages qui seront rendus par l’Omnibus numérique. En l’occurrence, dans certains secteurs, le schéma de gouvernance français de l’IA Act, en interaction avec l’Omnibus, peut créer quelque 126 combinaisons pour savoir quel sera le régulateur compétent en matière d’IA sur certains domaines. Ceux qui cherchent notre déclin peuvent se contenter de laisser nos multiples régulateurs agir en silos à l’abri de toute volonté politique de faire éclore des acteurs européens », prévient Etienne Drouard. Un exemple de labyrinthe de combinaisons qui s’illustre, de nouveau, dans le secteur des transports.