Il n’est pas facile d’être un régulateur technologique de nos jours. Les institutions européennes travaillent d’arrache-pied pour finaliser la loi sur l’IA en automne, puis des systèmes d’IA générative comme ChatGPT sont apparus. Un modèle de langage puissant, formé sur des quantités de données sans précédent et capable de participer à des conversations étonnamment diverses – de la rédaction de critiques de films et de poèmes à la correction de dissertations scolaires, l’évaluation de CV ou la rédaction de code logiciel. Dans une gamme de cas d’utilisation et de contextes, vous posez une question en langage naturel et vous obtenez une réponse qui sonne bien. Des millions de personnes l’utilisent déjà. Et c’est exactement pour ces raisons que l’IA générative comme ChatGPT défie l’approche actuelle basée sur le risque dans la loi sur l’IA.
Sortie il y a à peine quelques mois, l’imagination de ce que la technologie peut faire et signifier pour la société et ses valeurs est très élevée, également parmi les législateurs. La semaine dernière, le Parlement européen aurait suggéré, en tant qu’ajout de dernière minute, d’élargir la portée potentielle de la loi sur l’IA en plaçant les textes générés par l’IA qui pourraient être confondus avec ceux générés par des humains et les deep fakes qui disent ou font des choses qui ne se sont jamais produites dans la liste des catégories à haut risque. En même temps, de nouveaux termes dans le règlement lui-même incluent une définition de l’IA à usage général (qui inclut des systèmes tels que ChatGPT et Dall-E) et que la Commission européenne précisera davantage comment les dispositions relatives aux risques élevés s’appliquent dans un acte d’exécution. La question est : l’approche basée sur le risque de la loi sur l’IA est-elle encore adaptée au cas de l’IA générative ?
Nous soutenons que les systèmes d’IA générative tels que ChatGPT diffèrent sur au moins deux points importants des systèmes d’IA ‘traditionnels’ pour lesquels la loi a été initialement écrite : le contexte dynamique et l’échelle d’utilisation. Les systèmes d’IA générative ne sont pas construits pour un contexte spécifique ou des conditions d’utilisation, et leur ouverture et la facilité de contrôle permettent une échelle d’utilisation sans précédent. La sortie des systèmes d’IA générative peut être interprétée comme des médias (texte, audio, vidéo) par des personnes possédant des compétences de communication ordinaires, abaissant ainsi de manière significative le seuil de qui peut être un utilisateur. Et ils peuvent être utilisés pour une variété de raisons dans une certaine mesure en raison de l’échelle même de l’extraction des données qui est entrée dans leur formation. Trois cents milliards de mots pour ChatGPT seul, couvrant toutes sortes de contenus disponibles sur Internet – des données personnelles aux documents de politique, des reportages, des textes littéraires et de l’art.
Ces caractéristiques – absence de finalité prévue et échelle d’adoption – défient l’approche actuelle dans la loi sur l’IA d’au moins trois manières importantes : la faisabilité de trier les systèmes d’IA générative dans des catégories à risque élevé/non élevé, l’imprévisibilité des risques futurs et les préoccupations concernant l’ordonnancement privé des risques.
HAUT RISQUE, SANS RISQUE, RISQUE GÉNÉRAL
Selon la logique actuelle de l’Acte IA, la catégorisation d’un système d’IA comme à haut risque ou sans risque dépend de l’usage prévu par le fournisseur. Tous les systèmes destinés à être utilisés dans l’un des domaines spécifiés dans l’annexe III du règlement sont considérés comme à haut risque. Dans toutes les autres situations, les systèmes d’IA relèvent de la catégorie sans risque (ou, dans le cas des deep fakes et des chatbots : une catégorie à faible risque avec la transparence comme réponse réglementaire ultime). Mais pour l’IA à usage général, ce n’est pas le fournisseur mais plutôt l’utilisateur professionnel qui détermine comment il utilisera le système. C’est l’utilisateur qui détermine si le système relève de la catégorie à faible ou à haut risque. Certains des risques pour la société résulteront de la manière dont les utilisateurs finaux, alias “consommateurs”, utilisent ces systèmes. Selon l’interprétation de la phrase “peut être utilisé comme systèmes d’IA à haut risque” dans le nouvel article 4b de l’Acte IA, cela pourrait signifier que les obligations légales pour les IA à haut risque ne prennent effet qu’une fois que l’IA générative est utilisée dans un domaine à haut risque.
Du point de vue de la société et des droits fondamentaux, cela est trop tard. L’essentiel concernant l’IA générative en tant que système d’IA à usage général est que, puisqu’ils peuvent être utilisés à tant de fins différentes, il est primordial d’inciter les fournisseurs de systèmes à réfléchir à la sécurité de ces systèmes dès le début, en commençant par la question difficile de la qualité des données. Sinon, tout biais potentiel, violation de la vie privée, utilisation illégale de contenu ou autres cas d’injustice dans les données ou le modèle se répercuteront dans une myriade d’applications futures possibles. Dans la version actuelle de l’Acte IA, les incitations pour les fournisseurs à le faire sont potentiellement proches de zéro. L’Acte IA permet au fournisseur de “se désengager” de l’application des dispositions à haut risque en excluant explicitement toutes les utilisations à haut risque dans les instructions d’utilisation (Art. 4 (c) Acte IA). Et il est encore tout à fait incertain quelles sont les obligations des utilisateurs professionnels ou finaux dans une telle situation. Les utilisateurs finaux en particulier sont largement exclus du champ d’application de l’Acte IA.
Le scénario alternatif serait que tous les systèmes d’IA générative relèvent de la catégorie à haut risque car on ne peut exclure qu’ils puissent également être utilisés dans un domaine à haut risque. Dans ce cas, il pourrait y avoir un risque sérieux de surréglementation.
Pour cette raison, plutôt que d’essayer de faire entrer les systèmes d’IA à usage général dans les catégories à haut risque existantes, nous proposons qu’ils soient considérés comme une catégorie de risque général à part entière, similaire à la manière dont les chatbots et les deep fakes sont considérés comme une catégorie de risque séparée en soi, et soumis à des obligations et exigences légales qui correspondent à leurs caractéristiques. Par exemple, actuellement, les obligations de gestion des données dans l’Acte IA abordent principalement les préoccupations autour de la complétude, de l’exactitude et de l’absence de biais. Avec l’IA générative et l’ampleur pure de l’extraction des données d’entraînement de toutes sortes de sources, légales ou non et autorisées ou non, des questions bien plus larges de ce que nous appelons l’équité d’extraction viennent au premier plan. L’équité d’extraction concerne des préoccupations juridiques et morales plus larges concernant l’exploitation à grande échelle des données d’entraînement sans la connaissance, l’autorisation, la reconnaissance ou la compensation de leurs créateurs.
De la gestion des risques prédéfinis à la surveillance du risque systémique
Avec 100 millions d’utilisateurs actifs dans les premiers mois suivant son lancement, ChatGPT a été décrit comme l'”application grand public à la croissance la plus rapide jamais lancée”. L’ampleur pure de l’adoption, combinée à la polyvalence et aux caractéristiques d’usage général de la technologie, remet en question l’approche basée sur le risque de l’Acte IA de l’UE d’une deuxième manière importante : il est tout simplement impossible de prédire si, et le cas échéant, quels sont les risques que nous pouvons attendre de la libération de modèles d’IA extrêmement puissants sur la société. Les ajouts récents du Parlement européen à l’Acte IA encadrent le risque central des systèmes d’IA générative comme étant le manque d’authenticité. Mais l’authenticité n’est pas nécessairement le principal défi pour la santé, la sécurité et la réalisation des droits humains fondamentaux. Que dire des risques pour la vie privée ou la créativité, un risque qui ne découle pas de l’inauthenticité de l’information mais des erreurs factuelles, d’une dépendance excessive, par exemple, à l’expertise juridique de ChatGPT, du manque de vérifiabilité et de la facilité à amplifier la diffusion de désinformation, des problèmes de cybersécurité, ou d’un effondrement des autorités réglementaires parce que l’ampleur même des opérations les confronte à des défis d’application insurmontables. Nous devons encore découvrir. La société commence seulement à explorer ce que les systèmes d’IA générative largement accessibles sont capables de faire, dans des hackathons, dans des classes d’école, au travail ou dans le salon.
Donc, au lieu de tenter précipitamment de solidifier les domaines de risque dans un Annexe III difficile à modifier, nous devons penser de manière plus dynamique à surveiller et à atténuer tout risque pour les individus et la société. L’approche de surveillance des risques systémiques dans l’art. 34 du Digital Services Act (DSA) pourrait être une source d’inspiration. Sous le DSA, les Plateformes en Ligne Très Grandes et les Moteurs de Recherche Très Grands sont déjà obligés de surveiller régulièrement leurs systèmes algorithmiques pour tout effet négatif réel et prévisible sur les droits fondamentaux et les processus sociétaux, y compris ceux résultant de l’implémentation de modèles d’IA générative. Il est concevable qu’une obligation comparable de surveiller et d’atténuer les risques systémiques de manière régulière devrait également s’appliquer aux fournisseurs de modèles d’IA générative très grands.
Commande privée
Une autre conséquence du caractère généraliste des modèles d’IA générative est que l’objectif visé et les conditions d’utilisation sont finalement définis dans la relation (contractuelle) entre l’utilisateur et le fournisseur. Selon la logique de l’Acte sur l’IA, un élément central dans la relation fournisseur-utilisateur sont les instructions du fournisseur à l’utilisateur. Dans une situation où l’utilisation réelle et l’objectif visé ne sont pas généralement prévisibles, les instructions joueront un rôle encore plus important pour définir les exigences de sécurité et les conditions d’utilisation légale pour chaque cas d’usage. Les instructions, et plus généralement, les relations contractuelles entre fournisseur et utilisateur, seront également cruciales pour allouer correctement les responsabilités et les obligations de coopération. Les utilisateurs (professionnels et finaux) peuvent dépendre, pour respecter leurs obligations légales (par exemple, concernant la qualité des données ou la supervision humaine), assez critiquement de la coopération du fournisseur, et vice versa. Les fournisseurs comptent sur les utilisateurs pour partager leurs expériences avec le système afin de l’améliorer et d’utiliser les systèmes de manière responsable pour les rendre sûrs.
Cela signifie également que la qualité et l’équité des arrangements contractuels entre les utilisateurs et les fournisseurs d’IA générative joueront un rôle décisif dans la gestion, l’attribution et l’atténuation des risques (systémiques) pour la société. Par exemple, Open AI, le fournisseur de ChatGPT, stipule actuellement ses propres catégories de ‘risque accru’, qui ne sont pas toutes couvertes par les catégories de risque élevé de l’Acte sur l’IA (incluant, par exemple, l’utilisation pour la santé, la thérapie, le bien-être, le coaching, la finance, les nouvelles). Pour ces catégories, la société impose aux utilisateurs un ensemble distinct d’obligations. Le fournisseur d’un autre système d’IA générative, Stable Diffusion, formule toute une batterie d’autres utilisations interdites du système qui vont bien au-delà de l’art. 5 de l’Acte sur l’IA, incluant l’interdiction de générer de fausses informations pour nuire à autrui, la diffamation ou le harcèlement, ou de fournir des conseils médicaux et l’interprétation des résultats médicaux.
Ces tentatives contractuelles de concrétiser la responsabilité et les règles d’engagement sont utiles et importantes pour contribuer aux pratiques sociales émergentes d’utilisation responsable de l’IA générative. Cela dit, comme pour tout terme contractuel et restriction d’utilisation, ils sont sujets à des préoccupations typiques concernant l’ordonnancement privé, telles que les asymétries d’information, les pouvoirs de négociation inégaux et les incitations légales à limiter la responsabilité contractuelle aux dépens de la partie la plus faible (voir déjà le nouvel art. 4 c de l’Acte sur l’IA, ci-dessus). Un système complexe d’ordonnancement privé pourrait également défier l’objectif plus large de l’Acte sur l’IA de promouvoir la certitude juridique, la prévisibilité et la standardisation. Dans sa forme actuelle, l’équité et la qualité des instructions fournisseur-utilisateur ne sont soumises à aucune exigence, et l’utilisateur final est même presque entièrement absent. Notre troisième recommandation serait d’inclure des mécanismes de contrôle réglementaire concernant l’équité, la qualité et l’adéquation des termes contractuels et des instructions.
EN CONCLUSION
Dans cet essai, nous avons réfléchi à l’adéquation de l’Acte sur l’IA dans sa forme actuelle pour traiter de manière adéquate l’IA à usage général et, plus spécifiquement, les systèmes d’IA générative tels que ChatGPT. Nous concluons que l’IA générative met au défi certains des concepts et principes clés de l’Acte sur l’IA dans sa forme actuelle. En particulier, l’approche actuelle basée sur le risque doit être mieux adaptée à l’absence d’un but prédéfini et aux risques liés à l’échelle d’utilisation et à l’extraction des données d’entraînement.
Mettre à jour l’Acte sur l’IA pour inclure adéquatement l’IA générative est plus qu’une simple question d’intégration de l’IA générative dans les dispositions actuelles concernant les hauts risques. Au lieu de cela, nous plaidons en faveur de la considération de l’IA générative et de l’IA à usage général de manière plus large comme une catégorie de risque général à part entière. Nous soulignons également la nécessité d’un examen critique et d’une recalibration des obligations de l’Acte à la lumière des caractéristiques des systèmes d’IA générative, et de la manière dont ces obligations s’appliquent à l’interaction complexe entre les différents acteurs (fournisseurs, utilisateurs professionnels et utilisateurs finaux). Cela inclut une proposition de considérer une obligation de surveillance générale pour les risques systémiques, similaire à l’approche adoptée sous le DSA, ainsi que plus d’attention à la relation (contractuelle) entre les fournisseurs de systèmes d’IA générative et leurs utilisateurs, professionnels et utilisateurs finaux. Plus généralement, il est nécessaire de réfléchir à la distinction entre fournisseur, utilisateur professionnel et utilisateur final. Il est louable que l’Acte dans sa version actuelle prévoie plus de temps et de discussion pour décider comment inclure exactement l’IA générative, et les systèmes d’IA à usage général de manière plus générale sous son champ d’application. Cependant, nous devons également être conscients que les défis réglementaires que soulève l’IA générative vont bien au-delà de simples questions de mise en œuvre, et les choix que nous faisons dans ce processus auront des implications sociétales et économiques de grande portée.
No Responses