AI act : les IA visées, exclues ou interdites, classification à haut risque

L’AI act cible une partie seulement des intelligences artificielles, selon leurs technologies et leurs finalités.

Ci-dessous, sont repris :

• La définition d’IA au sens du règlement ;
• La liste des IA soumises au règlement ;
• La liste des IA considérées à haut risque ; et
• La liste des pratiques interdites par le règlement.

Définition d’« IA » au sens du règlement

Le règlement cible les « systèmes d’intelligence artificielle », nommés « systèmes d’IA » voire simplement « IA ». La définition repose sur la finalité et sur les attributs techniques du système :

« Système d’intelligence artificielle » : système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et qui peut, pour des objectifs explicites ou implicites, générer des résultats tels que des prédictions, des recommandations ou des décisions qui influencent les environnements physiques ou virtuels.

Il s’agit donc de cibler une unique technologie : celles des IA par apprentissage.

En plus des IA spécialisées (qui ont une finalité unique et bien définie), le règlement considère les IA à finalité générale (modèle d’IA non spécialisé) et les IA à usage général (utilisation d’IA non spécialisée), les exigences sont alors adaptées.

Les IA non soumises au règlement

Pour des raisons politiques, stratégiques et pratiques, le règlement ne s’applique pas aux cas suivants :

1. Systèmes d’IA développés ou utilisés exclusivement à des fins militaires.
2. Système géré par une autorité publique d’un pays tiers / d’une organisation internationale dans le cadre d’une coopération ou d’accords.
3. Activités de mise à l’essai et de développement (activités préalablement à la mise sur le marché / mise en service de du système).
4. Composants d’IA fournis dans le cadre de licences libres et ouvertes (hors IA spécialisée à haut risque ou pratique interdite).

Les IA à haut risque

Les IA à haut risque sont particulièrement visées par le règlement, qui y consacre la plupart de ses exigences. La classification s’appuie sur les annexes II et III.

Actes législatifs classant à haut risque (annexe II)

Les IA soumises aux actes législatifs ci-dessous sont automatiquement classées comme « à haut risque » si l’acte législatif prévoit une évaluation de la conformité par un tiers (un ON) :

1. Machines
2. Jouets
3. Bateaux
4. Ascenseurs
5. Protection en atmosphère explosive
6. Équipements radio
7. Équipements sous pression
8. Installations à câbles
9. Équipements de protection individuelle
10. Appareils brûlants à gaz
11. Dispositifs médicaux et de diagnostic in vitro
12. Véhicules transport : Aviation, véhicules routiers, agricoles, marins, ferroviaire

Domaines d’utilisation « cruciaux » classant à haut risque (annexe III)

Les IA utilisées dans les domaines ci-dessous sont automatiquement classées comme « à haut risque » si elles présentent un risque important pour la santé, la sécurité ou les droits des personnes. L’analyse de l’importance des risques est faite par le fournisseur, elle est soumise aux autorités.

1. Systèmes biométriques et fondés sur la biométrie
2. Gestion et exploitation des infrastructures critiques (trafic routier, ferroviaire, aérien, eau, gaz, électricité, internet)
3. Éducation et formation professionnelle
4. Emploi, gestion de la main-d’œuvre et accès à l’emploi indépendant
5. Accès et droit aux services privés essentiels, aux services publics et aux prestations sociales
6. Autorités répressives
7. Gestion de la migration, de l’asile et des contrôles aux frontières
8. Administration de la justice et processus démocratiques

Les pratiques interdites

Le règlement interdit les pratiques ou finalités suivantes, avec parfois des exceptions :

1. Recours à des techniques subliminales ou à des techniques délibérément manipulatrices ou trompeuses (ne s’applique pas aux systèmes d’IA destinés à être utilisés à des fins thérapeutiques approuvées).
2. Exploite les vulnérabilités d’une personne ou d’un groupe de personnes.
3. Utilisation de systèmes de catégorisation biométriques en fonction d’attributs ou de caractéristiques sensibles ou protégés (ne s’applique pas aux systèmes d’IA destinés à être utilisés à des fins thérapeutiques approuvées).
4. Destinés à évaluer ou à établir un classement au moyen de la notation sociale, conduisant à un traitement préjudiciable ou défavorable ou injustifié ou disproportionné.
5. Utilisation de systèmes d’identification biométrique à distance en temps réel dans des espaces accessibles au public.
6. Mener des évaluations des risques d’infraction ou de récidive, ou prédire la survenance ou la répétition d’une infraction.
7. Créent ou développent des bases de données de reconnaissance faciale par le moissonnage non ciblé.
8. Déduire les émotions dans les domaines des activités répressives et de la gestion des frontières, sur le lieu de travail et dans les établissements d’enseignement.
9. Analyse d’images enregistrées provenant d’espaces accessibles au public au moyen de systèmes d’identification biométrique à distance « postérieurs » (sauf si soumis à une autorisation judiciaire).

En résumé

• Certaines pratiques sont interdites par le règlement
• Un système d’IA peut être soumis ou exclu du règlement
• Un système d’IA peut d’être d’usage spécifique ou général
• Un système d’IA peut être à haut risque ou pas
• Un système d’IA à haut risque l’est du fait d’un acte législatif ou d’un domaine d’utilisation crucial