[Avis d’expert] AI Act : et l’IA générative dans tout ça ?

L’IA Act et l’IA Générative : ce qu’il faut retenir

Depuis maintenant plusieurs mois, l’AI Act s’est imposé comme LE cadre réglementaire incontournable pour toutes les entreprises exploitant, de près ou de loin, des systèmes d’intelligence artificielle. Ce règlement européen, qui vise à encadrer et sécuriser l’usage de l’IA, impose aux organisations des normes strictes en termes de transparence, de gouvernance des données et des algorithme de gestion des risques.

Évaluer les IA génératives est bien plus complexe que pour les IA traditionnelles, car elles s’appuient sur des modèles très larges et autonomes, difficiles à prédire et à contrôler. Les risques de génération de contenu biaisé, trompeur ou non-éthique sont accrus, ce qui appelle à des mesures de contrôle plus strictes et des exigences accrues en termes de transparence. Selon une étude de Gartner, 15 % des organisations répondantes déclarent par ailleurs ne pas avoir encore formalisé de gouvernance et de gestion des risques associés à leurs IA.

Ce sujet reste encore peu traité, au-delà des approches classiques centrées sur la gestion des risques, c’est pourquoi nous vous proposons une synthèse en quelques points clés des enjeux spécifiques liés à l’application de l’AI Act aux IA génératives, à considérer pour vous aider à anticiper ces défis :

• IA Générative (IA-Gen) vs IA à Usage Général (GPAI) : L’AI Act définit un système GPAI comme un « système d’IA basé sur un modèle d’IA à usage général et capable de servir différentes finalités, tant pour une utilisation directe que pour une intégration dans d’autres systèmes d’IA »,Les IA-Gen, basées sur ces modèles polyvalents, font donc partie des systèmes GPAI.
  

• L’IA Générative n’est pas interdite par l’AI Act : Contrairement aux idées reçues, l’AI Act ne restreint pas l’utilisation des IA-Gen. Au contraire, il vise à promouvoir l’innovation, tout en protégeant les citoyens et en prévenant les abus potentiels (propriété intellectuelle notamment).
  

• Une approche basée sur les risques
  Le cadre réglementaire du AI Act est structuré autour d’une approche par les risques, classant les systèmes d’IA de « risques minimaux » à « risques inacceptables ». Cette approche s’applique également aux GPAI. Les fournisseurs de modèles d’IA à usage général doivent permettre à leurs clients de respecter les exigences spécifiques à leur niveau de risque.

• Exigences spécifiques pour les GPAI:
  L’ AI Act consacre un chapitre entier aux GPAI, imposant aux fournisseurs plusieurs obligations :
  • Rédiger une documentation technique détaillant les processus de formation, d’essai et les résultats des évaluations.
  • Fournir aux intégrateurs des informations claires sur les capacités et limites des modèles GPAI pour assurer leur conformité.
  • Respecter la directive sur le droit d’auteur.
  • Publier un résumé détaillé du contenu utilisé pour la formation du modèle GPAI.

• GPAI à Risque Systémique
  Les modèles GPAI deviennent « à risque systémique » lorsqu’ils dépassent un certain seuil de capacité de calcul, fixé à 1025 FLOP. Pour des détails supplémentaires, l’article 51 et l’Annexe XIII de l’AI Act précisent les critères de désignation.
  

• Exigences supplémentaires pour les GPAI à risque systémique
  Les fournisseurs de GPAI à risque systémique doivent :
  • Réaliser des tests contradictoires pour identifier et atténuer ces risques
  • Documenter et signaler tout incident grave à l’Office AI et aux autorités compétentes
  • Assurer une protection adéquate en matière de cybersécurité
    

• Code de bonnes pratiques : En attendant la normalisation harmonisée prévue d’ici le 2 août 2025, les fournisseurs de GPAI peuvent volontairement adhérer à un code de bonnes pratiques. Le respect de ce code ou des normes harmonisées assure une présomption de conformité