L'IA Act pour la veille et l'IE : naviguer entre marécage et certitudes

Maître Thibault du Manoir de Juaye, avocat à la Cour de Paris, est un spécialiste reconnu en intelligence économique et en droit de la sécurité privée. Il a fondé son cabinet en 1995, intervenant régulièrement sur des dossiers liés à l’intelligence économique, notamment en matière de propriété intellectuelle.

Auteur de plusieurs ouvrages sur le sujet, il a également été rédacteur en chef du magazine « Regards sur l’IE ».

L’intelligence artificielle amplifie les problé­matiques juridiques déjà connues pour la veille et l’IE, notamment en raison de sa fa­culté à faciliter les recherches et à générer automatiquement des contenus de tout type.

Même si elle n’en est sans doute qu’à ses débuts, il existe déjà des tentatives pour encadrer juri­diquement l’intelligence artificielle (IA).

Des juristes imaginatifs (et pour moi loufoques) vont même jusqu’à soutenir qu’il faudrait donner la personnalité juridique aux systèmes d’IA, un peu comme les sociétés ont la personnalité morale. Mais il ne s’agit pour le moment que de spéculations ludiques et récréatives, sans grand intérêt, sauf pour quêter une exposition médiatique à moindres frais.

Il faut donc s’en tenir au droit positif.

L’intelligence artificielle est désormais encadrée par un règlement européen en date du 12 juillet 2024, texte qui sera complété par des milliers de pages d’application.

Il est encore difficile de qualifier précisément l’impact de l’IA sur les activités de veille et de sur­veillance, de recherche sur tous objets et sujets, d’analyse ou encore de création de contenus. Ce­pendant, il est probable que certaines des pratiques et opérations réalisées soient susceptibles de relever de la réglementation sur l’IA. C’est le cas par exemple de l’analyse des émotions et des compor­tements visés expressément dans l’IA Act, qui réglemente également le profilage des personnes.

Or, tant les créateurs, les commercialisateurs ou les utilisateurs, ont des obligations à respecter qui ont dans leur esprit un léger parfum de RGPD. Un des grands principes qui gouverne ces obligations est celui de transparence et dans de nombreuses circonstances, il faut indiquer que l’on a recours à l’IA.

Une classification par niveau de risque

Quel est donc le principe de l’IA Act ?

Le règlement européen sur l’IA classifie les systèmes d’IA en quatre catégories principales selon leur niveau de risque. A chaque risque est associé des obligations différentes pesant tant sur les utilisateurs (appelés les « déployeurs ») que les producteurs (commercialisateurs, concepteurs, importateurs, etc.).

Quelles sont les catégories d’IA ?

Première catégorie : IA à risque inacceptable : Ces systèmes sont interdits, car ils menacent les droits fondamentaux, comme les systèmes de notation sociale (*) gouvernementaux. Le règlement interdit explicitement l’utilisation de systèmes de reconnaissance des émotions basée sur des données biométriques dans deux contextes précis :

• Sur le lieu de travail
• Dans les établissements d’enseignement

(*) Aussi appelée « score social », la notation sociale est un système permettant d’attribuer une note, un score à un individu en fonction de son comportement dans son cadre personnel ou professionnel.

Deuxième catégorie : Les IA à haut risque : cette catégorie comprend les systèmes utilisés dans des domaines sensibles comme l’éducation, l’emploi, ou la gestion d’infrastructures critiques. Ils doivent se conformer à des exigences strictes et subir une évaluation de conformité. Il faut se référer à l’annexe 3 du règlement qui en fournit une liste exhaustive, et il convient de se demander si les opérations de veille ou d’intelligence économique, via de l’IA sur un de ces domaines, peuvent relever de cette catégorie à haut risque. Par exemple, les systèmes d’IA utilisés pour la reconnaissance des émotions sont généralement classés comme systèmes à haut risque. En effet, l’article 6 et l’annexe III classent les systèmes de reconnaissance des émotions comme des systèmes d’IA à haut risque, les soumettant à des exigences strictes.

De plus, l’article 52 impose des obligations de transparence pour les systèmes d’IA interagissant avec des personnes physiques.