La Commission européenne doit présenter mercredi 19 novembre son 'omnibus numérique', paquet de simplification touchant au règlement sur l'intelligence artificielle (AI Act), au règlement général sur la protection des données (RGPD) et au règlement sur les données (Data Act). Agence Europe a pu se procurer une version de travail du projet, sujette à modification. Datée du 31 octobre, elle confirme la volonté européenne de clarifier les obligations des textes législatifs ainsi que leur articulation et leur application réelle.
Simplification du règlement sur l'IA. Le règlement sur l'intelligence artificielle fait l'objet à lui seul d'une partie du paquet de simplification. La majorité des changements apportés par la Commission ne touchent pas directement à la portée du texte, mais apportent des ajustements visant à centraliser l'application du texte et à renforcer la structure de gouvernance et les pouvoirs de contrôle du Bureau de l'IA.
Dans le texte, la Commission propose de confier au Bureau de l'IA la supervision et la surveillance de tous les modèles d'intelligence artificielle à usage général (GPAI), pourvu qu'ils proviennent du même fournisseur.
« Le Bureau de l'IA dispose de tous les pouvoirs d'une autorité de surveillance du marché (...) et est habilité à prendre les mesures et décisions appropriées pour exercer ses pouvoirs de manière adéquate », est-il détaillé.
Cette prérogative serait également étendue « aux systèmes d'IA en ligne considérés comme présentant un 'risque systémique' au sens du règlement sur les services numériques, ou intégrés à de tels services », et qui devraient également se voir supervisés par la Commission.
Le Bureau pourrait également se voir accorder la possibilité d'infliger des amendes et des sanctions administratives, par un acte délégué de la Commission.
Sur la question de l'utilisation des données personnelles, point sensible et qui nécessite une base légale, la Commission envisage que, « dans la mesure où cela est nécessaire pour garantir la détection et la correction des biais liés aux systèmes d'IA à haut risque (...), les fournisseurs et les déployeurs de ces systèmes peuvent, à titre exceptionnel, traiter des catégories particulières de données à caractère personnel, sous réserve de garanties appropriées pour les droits et libertés fondamentaux des personnes physiques », faisant référence aux obligations listées par le RGPD et en imposant des garanties spécifiques.
Pour clarifier certaines questions relatives à l'articulation avec d'autres législations, la Commission veut intégrer un paragraphe pour préciser que les exigences de cybersécurité de l'AI Act pour les systèmes à haut risque sont considérées comme remplies lorsqu'elles sont d'ores et déjà « conformes aux exigences du règlement sur la cyberrésilience ».
Le texte élargit également plusieurs privilèges réglementaires et dérogations sur les sanctions et le respect des obligations de reporting technique, à l'origine prévus pour les PME, aux 'small midcaps' (jusqu'à 750 salariés et 150 millions d'euros de chiffre d'affaires annuel).
Voir l'omnibus sur l'IA : https://aeur.eu/f/jbc
Plusieurs modifications ciblées au RGPD et au 'Data Act'. L'autre partie du paquet de simplification intègre à la fois le règlement sur la protection des données et le 'Data Act', avec des ajustements qui traduisent un effort de simplification des chevauchements législatifs.
Concernant le RGPD et la question du traitement des données personnelles par l'IA, le texte intègre un paragraphe à l'Article 4, qui juge que « des mesures organisationnelles et techniques appropriées doivent être mises en œuvre afin d'éviter, dans la mesure du possible, la collecte et le traitement de catégories particulières de données à caractère personnel ».
Lorsque de telles données sont tout de même utilisées pour « la formation, les tests ou la validation, ou dans le système ou le modèle d'IA », le responsable du traitement doit « supprimer ces données ».
Un article 88c est également ajouté, relatif au « traitement dans le contexte du développement et de l'exploitation de l'IA ». Celui-ci juge que tout traitement de ce type est « soumis à des garanties appropriées, conformément au RGPD, pour les droits et libertés de la personne concernée ».
Voir l'omnibus sur le RGPD et le 'Data Act' : https://aeur.eu/f/jbd (Isalia Stieffatre)