Pressés par un calendrier serré – la révision du règlement sur l'intelligence artificielle (IA) doit, idéalement, être achevée avant le 1er août prochain –, les Vingt-Sept continuent d'ajuster ce texte avec un équilibre de plus en plus subtil entre autonomie européenne et garde-fous nationaux (EUROPE 13807/5). Le second compromis de la Présidence chypriote du Conseil, qu’Agence Europe a pu consulter, illustre cette approche : un peu plus de restrictions et un peu moins de flexibilités offertes à la Commission européenne et aux déployeurs d'IA (EUROPE 13794/8).
Ce deuxième compromis semble s'être concentré sur un point assez spécifique : les pouvoirs du Bureau de l'IA en matière d'exécution des obligations et de surveillance de certains systèmes d'IA. Là où, dans le premier compromis, le Bureau « devait adopter » une décision d’ouverture de procédure en cas de soupçons raisonnables, le nouveau texte ne lui permet désormais que d'avoir la « possibilité » de « lancer une enquête ».
L’obligation automatique est ainsi remplacée par un pouvoir discrétionnaire : le Bureau de l’IA ne serait plus tenu d’agir en cas de soupçons raisonnables, mais disposerait d’une marge d’appréciation plus large, ce qui pourrait réduire mécaniquement le caractère automatique de l’intervention de l'organisme.
Plusieurs nouveaux articles sont ajoutés, qui détaillent les procédures de demande ou de décision d'accès à des informations, lorsqu'émises par le Bureau de l'IA. Les Vingt-Sept exemptent les fournisseurs d'IA d'une obligation de réponse lorsque la demande est une « simple demande », mais les exposent à des amendes dans le cas où des données seraient « faussées ».
En revanche, lors de potentielles inspections physiques, les représentants du Bureau sont dotés de pouvoirs élargis, comparables à ceux qu’on retrouve en droit de la concurrence, avec un droit d’accès étendu aux « locaux, aux documents, aux employés et aux données » des opérateurs d'IA.
Par ailleurs, les Vingt-Sept modifient largement l'article 60a, sur la phase de test en conditions réelles des systèmes d'IA. Pour que certains systèmes puissent effectuer ces essais, les pays membres concernés devront mettre en place des « cadres réglementaires » précis, pour en fixer les « conditions détaillées, les exigences, la gouvernance et les dispositions en matière de responsabilité ». Tout ceci en vue de « minimiser drastiquement les possibles risques d'atteintes à la santé, à la sécurité ou aux droits fondamentaux ».
Le nouveau compromis instaure également une date limite - le 2 décembre 2027 - pour que la Commission adopte les orientations sur le plan de surveillance post-commercialisation des systèmes. Pour le calendrier de mise en œuvre des obligations destinées aux systèmes à haut risque, la version ne change pas depuis le premier compromis.
À travers ces ajustements, les Vingt-Sept semblent vouloir instaurer un équilibre plus prudent, en réduisant certaines marges de manœuvre tout en consolidant les instruments de contrôle européens.
Le Bureau de l'IA, que la Commission avait doté d'un fort pouvoir centralisé, risque de se voir dépossédé de certaines libertés, en contrepartie d'une assise renforcée pour le travail d'enquête. (Isalia Stieffatre)