L’article 50 de la loi européenne sur l’IA est entré en vigueur, fixant des obligations de transparence pour les fournisseurs et les déployeurs d’IA opérant dans l’ensemble du bloc.
Les entreprises exécutant des outils d’IA générative doivent désormais se conformer à l’article 50, qui oblige les fournisseurs et les déployeurs de certains systèmes d’IA à informer les utilisateurs lorsqu’ils interagissent avec une machine et à marquer le contenu généré par l’IA afin qu’il puisse être signalé comme tel.
Les progrès des systèmes génératifs ont rendu plus difficile la distinction entre l’interaction de l’IA et la conversation humaine. Distinguer les images générées par l’IA des images authentiques devient également de plus en plus difficile. Les gens sont désormais également exposés à des outils de reconnaissance des émotions et de catégorisation biométrique sans le savoir.
La Commission associe tout cela à la manipulation à grande échelle et à la fraude, l’usurpation d’identité et la tromperie du consommateur venant juste derrière sur sa liste de préoccupations. L’article 50 est la tentative de l’UE de s’attaquer au problème et d’assurer le déploiement responsable et sûr de l’IA dans l’ensemble du bloc.
Ce que les fournisseurs doivent construire
L’article 50 exige que les fournisseurs conçoivent leurs systèmes de manière à ce que toute personne interagissant directement avec un système d’IA le sache. L’exception : des cas évidents pour une personne raisonnablement informée, observatrice et avisée compte tenu du contexte.
Les systèmes d’application de la loi utilisés pour détecter, prévenir, enquêter ou poursuivre des infractions pénales échappent également à la règle, à condition que des garanties protègent les droits des tiers, à moins que le public ne puisse utiliser le système pour signaler un crime.
Les fournisseurs de systèmes générant de l’audio, des images, de la vidéo ou du texte synthétiques sont confrontés à une obligation distincte en vertu de l’article 50. Le marquage est le mécanisme. Le résultat nécessite une marque lisible par machine, détectable comme générée artificiellement ou manipulée.
La loi demande que le marquage susmentionné soit efficace et interopérable « dans la mesure où cela est techniquement possible », en comparant le coût de mise en œuvre à l’état de l’art. L’édition d’assistance qui laisse les entrées fournies par le déployeur essentiellement intactes ne répond pas aux exigences ; une retouche photo de routine ne le déclenche pas, mais un remplacement global généré par l’IA le fait.
Ce que les déployeurs doivent dire aux gens
Quiconque exploite un système de reconnaissance des émotions ou de catégorisation biométrique doit en informer les personnes qui y sont exposées. Les données personnelles collectées via ce système relèvent toujours de la législation en vigueur sur la protection des données : le RGPD régit le cas général, le règlement sur la protection des données des institutions européennes s’applique lorsqu’un organe de l’UE gère le système, et la directive relative à l’application des lois couvre les contextes policiers.
Les Deepfakes ont leur propre obligation de divulgation. Le contenu image, audio ou vidéo qui a été généré artificiellement ou manipulé doit comporter une mention le précisant. Les œuvres artistiques, satiriques ou fictionnelles reçoivent une touche plus légère : la divulgation doit simplement signaler l’existence du contenu, formulée de manière à ne pas gêner l’appréciation de l’œuvre.
Le texte publié pour informer le public sur des questions d’intérêt public comporte sa propre règle. Les déployeurs doivent divulguer la génération ou la manipulation de ce texte par l’IA, à moins qu’un humain ne l’ait révisé et que quelqu’un assume la responsabilité éditoriale de la publication. L’examen standard des salles de rédaction met la barre plus haut. Ce n’est pas le cas des résultats non édités de l’IA publiés directement dans un article d’intérêt public.
Toutes les divulgations doivent arriver au plus tard lors de la première interaction ou exposition, d’une manière claire, distincte et accessible conformément aux règles d’accessibilité existantes. Aucun délai de grâce ne couvre le fait d’informer quelqu’un après coup.
La voie de conformité privilégiée par Bruxelles
Trois organismes se sont répartis l’application. Les autorités nationales de surveillance du marché traitent la plupart des cas. L’AI Office prend en charge les systèmes qui relèvent de sa propre supervision. Le Contrôleur européen de la protection des données intervient lorsqu’une institution de l’UE agit elle-même en tant que fournisseur ou déployeur.
Les lignes directrices expliquent comment les fournisseurs et les déployeurs peuvent démontrer qu’ils ont satisfait à l’obligation de marquage prévue à l’article 50. L’adhésion au Code de bonnes pratiques sur la transparence du contenu généré par l’IA est une voie à suivre.
Les organisations qui ignorent le Code doivent démontrer leur conformité par d’autres moyens que la Commission considère adéquats. Ce à quoi ressemblent ces alternatives dans la pratique n’est pas expliqué en détail ; ce jugement appartient aux autorités de surveillance du marché chargées de l’exécution.
Les autres devoirs de transparence n’ont pas de code équivalent. Pas de code, pas de raccourci. Dire aux gens qu’ils parlent à une IA est un devoir. La divulgation des deepfakes et le signalement des textes d’intérêt public générés par l’IA complètent le reste, et les fournisseurs et les déployeurs élaborent leurs propres mesures adéquates, les lignes directrices servant de point de référence plutôt que de liste de contrôle.
Une grande partie du document est définitionnelle. Il définit ce qui compte comme un système d’IA directement interactif, ce qui est considéré comme un contenu synthétique et où se situe la frontière entre un deepfake et un média édité ordinaire. L’édition standard se situe en dehors de la portée de son nom, aux côtés des fonctions d’assistance qui laissent intactes les entrées fournies par le déployeur.
Les orientations abordent également la question de la chaîne de valeur : qui compte en tant que fournisseur et qui compte en tant que déployeur, et que se passe-t-il lorsque les deux rôles sont occupés par la même organisation. Laquelle des quatre obligations de l’article 50 s’applique et à qui dépend de cette distinction fournisseur-déployeur.
Les organisations qui comparent le Code de bonnes pratiques sur la transparence du contenu généré par l’IA à l’élaboration de leur propre approche d’étiquetage ont désormais un point de départ. Les lignes directrices leur donnent un point de référence approuvé par la Commission qui va au-delà du simple texte du règlement.
