L'AI Act entre dans sa phase la plus critique, l'Europe débat de ses règles

Deux ans après son entrée en vigueur le 1er août 2024, l'AI Act passe de la loi à l'application. La prochaine étape concerne les modèles d'IA à usage général, la base de la plupart des chatbots grand public et des outils d'entreprise. Elle survient alors que le bloc débat encore de l'équilibre à trouver.

Selon le Bureau de l'IA de la Commission européenne, les règles ont été rédigées par un large groupe de travail sur le code de bonnes pratiques. Eoghan O'Neill, haut fonctionnaire du Bureau de l'IA, a indiqué à la conférence TNW d'Amsterdam, le 20 juin, que ce groupe réunissait de grands fournisseurs de modèles, des organisations de la société civile, des ONG, des universitaires, des experts en sûreté de l'IA, des PME et des géants industriels européens.

« C'est une technologie vaste et sophistiquée, et nous voulons bien faire », a déclaré O'Neill. « Nous avons besoin d'obligations spécifiques pour encadrer les modèles les plus impactants ou potentiellement nuisibles au titre de l'AI Act. »

Il a décrit la rédaction comme « une grande tente réunissant toutes ces voix de la communauté des parties prenantes ». La Commission prévoit de finaliser ses règles pour l'IA à usage général en juillet. Le Parlement européen adoptera ensuite sa position sur les normes. Ce calendrier est crucial : les obligations devaient prendre effet le 2 août. Tout retard se répercute directement sur la planification de conformité de chaque entreprise vendant de l'IA en Europe.

L'AI Act s'inscrit dans un ensemble plus large. GDPR Local, qui suit les échéances de conformité technologique de l'UE, note que l'AI Act, le règlement sur les services numériques, le règlement sur les marchés numériques, la directive NIS2, le règlement sur les données et le règlement sur la cyberrésilience imposent chacun des exigences distinctes mais qui se recoupent. Les amendes peuvent atteindre 7 % du chiffre d'affaires mondial. Un système d'IA traitant des données personnelles doit satisfaire à la fois l'AI Act et le RGPD. S'il touche à une infrastructure critique, les obligations de cybersécurité de NIS2 s'appliquent aussi. Ce chevauchement, et non une règle isolée, est ce que les équipes de conformité budgétisent réellement.

Des résistances à l'intérieur même du bloc

Les appels à ralentir le déploiement se sont intensifiés chez certains acteurs clés, dont le Premier ministre suédois Ulf Kristersson, le PDG de Bosch Stefan Hartung et le groupe de lobbying technologique CCIA Europe, qui compte parmi ses membres Alphabet, Meta et Apple. L'objection ne porte pas sur le principe d'une régulation de l'IA. Elle porte sur des règles européennes qui s'empilent sur un marché déjà fragmenté par la langue, le droit national et la rareté du capital.

Fabrizio Del Maffeo, PDG de l'entreprise néerlandaise de puces Axelera AI, l'a dit sans détour à la même conférence. « L'Europe n'est pas les États-Unis », a-t-il déclaré. « Nous avons beaucoup de langues, beaucoup de marchés et beaucoup de régulations, tant européennes que locales. Et celles-ci étouffent la croissance parce qu'elles créent des frontières, ce qui rend difficile l'expansion des entreprises. » Del Maffeo a indiqué que son entreprise avait signé la pétition pour EU Inc, une proposition d'entité juridique standardisée pour les start-up opérant dans plusieurs États membres. La présidente de la Commission, Ursula von der Leyen, l'a décrite à Davos en janvier comme combinant droit des sociétés, insolvabilité, droit du travail et fiscalité dans un seul cadre.

Les chiffres de financement derrière cette critique sont frappants. Les start-up européennes ont levé environ 52 milliards de dollars, soit 44 milliards d'euros, de capital-risque l'an dernier, selon les chiffres cités à la conférence. Leurs homologues américaines ont attiré 209 milliards de dollars, soit 177 milliards d'euros. L'Europe ne représente que 8 % des scale-up mondiales, contre 60 % en Amérique du Nord. Aucune start-up fondée dans l'UE ces 50 dernières années n'a dépassé une valorisation de 100 milliards d'euros.

Peter van der Putten, directeur de l'AI Lab chez l'éditeur de logiciels Pegasystems, a soutenu que l'UE devait devenir plus attractive pour les investissements tant nationaux qu'internationaux. Il a suggéré d'ajuster la régulation pour que les financements qui quittent les États-Unis affluent plutôt vers l'Europe.

Tout le monde ne réduit pas cet écart à une question purement réglementaire. Elise de Reus, cofondatrice de Cradle, a évoqué les ingénieurs européens qui reviennent de postes dans les Big Tech aux États-Unis, attirés par un travail porteur de sens et la qualité de vie. « Nous sommes aussi peut-être un peu trop modestes », a-t-elle dit. « Nous devrions mesurer le bonheur, pas le PIB, qui n'est pas une mesure durable. Je ne pense pas que nous devrions copier-coller le système américain. »

Pour l'instant, le calendrier de conformité avance plus vite que l'argument politique. Les entreprises qui vendent des modèles à usage général dans l'UE doivent se préparer à des obligations qui, de l'aveu même de la Commission, sont encore en cours de finalisation.