L'AI Act entre dans sa phase la plus dure, l'Europe s'interroge sur ses propres règles

Deux ans après son entrée en vigueur, le 1er août 2024, l'AI Act quitte le terrain de la loi pour celui de l'application. La prochaine tranche concerne les modèles d'IA à usage général, ceux qui font tourner la plupart des chatbots grand public et des outils d'entreprise. Elle arrive alors que le bloc discute encore de l'équilibre à trouver.

Selon le Bureau de l'IA de la Commission européenne, les règles ont été rédigées au sein d'un large groupe chargé d'un code de bonnes pratiques. Eoghan O'Neill, haut fonctionnaire au Bureau de l'IA, a expliqué à la conférence TNW d'Amsterdam, le 20 juin, que ce groupe réunissait de grands fournisseurs de modèles, des organisations de la société civile, des ONG, des universitaires, des experts en sûreté de l'IA, des PME et des géants industriels européens.

« C'est une technologie vaste et sophistiquée, et nous voulons bien faire », a déclaré O'Neill. « Nous avons besoin d'obligations spécifiques pour encadrer les modèles les plus impactants ou potentiellement nuisibles au titre de l'AI Act. »

Il a décrit la rédaction comme « une grande tente réunissant toutes ces voix de la communauté des parties prenantes ». La Commission compte finaliser ses règles pour l'IA à usage général en juillet, le Parlement européen adoptant ensuite sa position sur les normes. Ce calendrier compte : les obligations devaient prendre effet le 2 août, et tout retard se répercute directement sur la planification de conformité de chaque entreprise qui vend de l'IA en Europe.

L'AI Act s'inscrit dans un empilement plus large. GDPR Local, qui suit les échéances de conformité technologique de l'UE, note que l'AI Act, le règlement sur les services numériques, le règlement sur les marchés numériques, la directive NIS2, le règlement sur les données et le règlement sur la cyberrésilience imposent chacun des exigences distinctes, mais qui se recoupent. Les amendes peuvent atteindre 7 % du chiffre d'affaires mondial. Un système d'IA qui traite des données personnelles doit satisfaire à la fois l'AI Act et le RGPD. S'il touche à une infrastructure critique, les obligations de cybersécurité de NIS2 s'appliquent aussi. Ce chevauchement, et non une règle isolée, voilà ce que les équipes de conformité budgétisent réellement.

Des résistances à l'intérieur même du bloc

Les appels à ralentir le déploiement se sont intensifiés chez certains acteurs clés, dont le Premier ministre suédois Ulf Kristersson, le PDG de Bosch Stefan Hartung et le groupe de lobbying technologique CCIA Europe, qui compte parmi ses membres Alphabet, Meta et Apple. L'objection ne porte pas sur le principe d'une régulation de l'IA. Elle porte sur des règles européennes qui s'empilent sur un marché déjà fragmenté par la langue, le droit national et la rareté du capital.

Fabrizio Del Maffeo, PDG de l'entreprise néerlandaise de puces Axelera AI, l'a dit sans détour à la même conférence. « L'Europe n'est pas les États-Unis », a-t-il déclaré. « Nous avons beaucoup de langues, beaucoup de marchés et beaucoup de régulations, tant européennes que locales. Et celles-ci étouffent la croissance parce qu'elles créent des frontières, ce qui rend difficile l'expansion des entreprises. » Del Maffeo a indiqué que son entreprise avait signé la pétition pour EU Inc, une proposition d'entité juridique standardisée pour les start-up opérant dans plusieurs États membres. La présidente de la Commission, Ursula von der Leyen, l'a décrite à Davos en janvier comme combinant droit des sociétés, insolvabilité, droit du travail et fiscalité dans un seul cadre.

Les chiffres de financement derrière cette critique sont frappants. Les start-up européennes ont levé environ 52 milliards de dollars, soit 44 milliards d'euros, de capital-risque l'an dernier, selon les chiffres cités à la conférence. Leurs homologues américaines ont attiré 209 milliards de dollars, soit 177 milliards d'euros. L'Europe ne représente que 8 % des scale-up mondiales, contre 60 % en Amérique du Nord. Aucune start-up fondée dans l'UE ces 50 dernières années n'a dépassé une valorisation de 100 milliards d'euros.

Peter van der Putten, directeur de l'AI Lab chez l'éditeur de logiciels Pegasystems, a soutenu que l'UE devait devenir plus attractive pour les investissements tant nationaux qu'internationaux. Il a suggéré d'ajuster la régulation pour que les financements qui quittent les États-Unis affluent plutôt vers l'Europe.

Tout le monde ne réduit pas cet écart à une question purement réglementaire. Elise de Reus, cofondatrice de Cradle, a évoqué les ingénieurs européens qui reviennent de postes dans les Big Tech aux États-Unis, attirés par un travail porteur de sens et la qualité de vie. « Nous sommes aussi peut-être un peu trop modestes », a-t-elle dit. « Nous devrions mesurer le bonheur, pas le PIB, qui n'est pas une mesure durable. Je ne pense pas que nous devrions copier-coller le système américain. »

Pour l'instant, le calendrier de conformité avance plus vite que l'argument politique. Les entreprises qui vendent des modèles à usage général dans l'UE doivent se préparer à des obligations qui, de l'aveu même de la Commission, sont encore en cours de finalisation.