Les enjeux juridiques

Sensibiliser les équipes sur les enjeux juridiques de leur projet.

Les enjeux juridiques se pensent dès le début du projet. C'est pour cela qu'il est nécessaire d'aller consulter le service juridique de votrz administration de ratttachement dès le début afin que votre projet puisse évoluer en toute conformité.

En cas de non respect des différents cadres juridiques évoqués en dessous, les risques peuvent aller de l'annulation de la décision administrative individuelle à la sanction pénale, c'est à dire 5 ans d'emprisonnement et 5000€ d'amendes. Attention : les cadres juridiques présentés ne sont pas exhaustifs. Seul votre service juridique sera en mesure de savoir si d'autres cadres doivent s'ajouter en raison de votre projet.

Plusieurs cadres juridiques sont à prendre en compte lors de la conception et du déploiement d'un agent conversationnel. Ce système d'intelligence artificielle (IA) repose avant tout sur des algorithmes et des données, auxquels s'appliquent plusieurs cadres juridiques.

💻 Traitement de données à caractère personnel

Dans le cas où votre projet à vocation à traiter des données à caractère personnel, le Règlement général sur la protection des données s'applique (RGPD), règlement que l'on retrouve également en droit national dans la Loi informatique et libertés (LIL).

Une donnée à caractère personnel se définit comme toute information relative à une personne physique permettant de l'identifier directement (nom, prénom, courriel nominatif, etc.) ou indirectement (numéro de téléphone, plaque d'immatriculation, adresse postale, voix, image, etc.).

Ainsi vous devrez penser au fait que :

• vous utilisez des données personnelles pour des finalités déterminées, explicites et légitimes ;
• votre collecte de données personnelles doit reposer sur une base légale, le plus souvent votre mission d'intérêt public en tant qu'administration. Celle-ci ne se présume pas et il importe de motiver que votre administration soit tenue, par un texte juridique, de réaliser une activité ou une mission rendant nécessaire ce traitement de données ;
• vous respectez le principe de minimisation des données (ne pas traiter plus que nécessaire) ;
• vous devez informer les personnes, lors de la collecte ou de l'utilisation de leurs données, de la manière dont vous allez traiter celles-ci ;
• les données traitées doivent être exactes ;
• vous devez conserver les données pendant une durée n'excédant pas celle nécessaire au regard des finalités ;
• vous devez garantir la sécurité des données traitées ;
• vous devez permettre aux personnes dont vous traitez les données d'exercer leurs droits (accès, rectification, suppression dans certains cas) ;

Vous rapprocher du service juridique de votre administration vous permettra de répondre à ces exigences dès le début de la construction de votre projet et de pouvoir évoluer dans la bonne direction.

📑 Décision automatisée ou aide à la décision

Parfois votre IA pourra permettre de rendre des décisions administratives individuelles, c'est à dire des décisions qui nomment précisément une personne ou une entreprise. Il se peut qu'elle aide à prendre une décision (outil d'aide à la décision) ou qu'elle automatise la décision (décision automatisée).

Dès lors que votre IA - et même plus largement votre traitement algorithmique - permet de rendre de telles décisions, un cadre juridique spécifique est applicable. Ce cadre s'applique plus largement aux traitements algorithmiques qui fondent des décisions administratives individuelles.

Selon le Larousse, un algorithme est un "ensemble de règles opératoires dont l'application permet de résoudre un problème énoncé au moyen d'un nombre fini d'opérations. Un algorithme peut être traduit, grâce à un langage de programmation, en un programme exécutable par un ordinateur". La CNIL définit un algorithme comme "une suite finie et non ambigüe d’instructions permettant d’aboutir à un résultat à partir de données fournies en entrée." Ainsi, un algorithme peut donc exister indépendamment d'un traitement informatique. Une grille de notation "papier" utilisée par une administration est considérée comme un algorithme.

Des principes de transparence algorithmiques s'appliquent aux décisions automatisées aussi bien qu'aux simples décisions issues d'outils d'aide à la décision :

• Information générale : en application de l’article L. 312-1-3 du code des relations entre le public et l'administration (CRPA), les administrations publient en ligne les règles définissant les principaux traitements algorithmiques utilisés dans l'accomplissement de leurs missions lorsqu'ils fondent des décisions individuelles ;
• Mention explicite pour la personne concernée : en application des l’article L. 311-3-1 et R. 311-3-1 du CRPA, lorsqu’une décision individuelle est prise sur le fondement d'un traitement algorithmique elle doit comporter une mention explicite en informant l'intéressé. Cette mention précise la finalité du traitement algorithmique ainsi que le droit pour l’intéressé de recevoir, s’il le demande, la communication des règles définissant ce traitement ainsi que les principales caractéristiques de sa mise en œuvre ;
• Une information individuelle à la demande de l'intéressé : en application de l’article R. 311-3-2 du CRPA, lorsque la personne en a fait la demande, l’administration communique sous une forme intelligible : le degré et le mode de contribution du traitement algorithmique à la prise de décision, les données traitées et leurs sources, les paramètres de traitement et, le cas échéant, leur pondération, appliqués à la situation de l'intéressé ainsi que les opérations effectuées par le traitement :
• Accès et publication du code source : les codes sources font parties des documents administratifs communicables (article L. 300-2 du CRPA) qui peuvent donc être communiqués à toute personne qui le demande ou encore qui sont diffusables en open data.

Plus précisément, en principe il est interdit de prendre une décision individuelle entièrement fondée sur un traitement automatisé de données à caractère personnel (article 47 de la LIL). Toutefois, il est possible de le faire si certaines conditions sont respectées :

• Mention explicite pour la personne concernée (cf supra) ;
• L'administration doit s'assurer de la maitrise du traitement algorithmique et de ses évolutions pour pouvoir expliquer, en détail et de manière intelligible, la manière dont le traitement a été mis en œuvre à l'égard de la personne (ce qui permet d'informer individuellement l'intéressé à sa demande) ;
• La décision n'est pas un recours administratif ;
• La décision n’est pas prise à partir de données sensibles au sens du RGPD.

🇪🇺 Règlement européen sur l'intelligence artificielle (RIA) : qu'est ce que ça change ?

Le RIA propose une approche fondée sur les risques pour les systèmes d'intelligence artificielle (SIA).

❌ Les pratiques interdites en matière d'IA

Pour éviter des utilisation considérés comme néfastes ou abusives, certaines IA sont rendues interdites.

Quelques exemples :

• la notation sociale ;
• la déduction des émotions d’une personne sur le lieu de travail ou dans un établissement d’éducation ;
• la prédiction de risques criminels ;
• la manipulation et l'exploitation de vulnérabilités ...

📌 Les SIA à haut risque

Cette qualification résulte des risques d'impacts négatifs de ces SIA sur la sécurité, la santé ou les droits fondamentaux. Deux catégories coexistent :

1. Les SIA qui répondent à deux conditions :

• ils constituent des composants de sécurité de produits relevant de certaines législations d’harmonisation de l’Union, ou sont eux-mêmes de tels produits ;
• ils sont utilisés par un produit, ou sont eux-mêmes, soumis à une procédure d’évaluation de leur conformité par un organisme tiers conformément à la législation d’harmonisation de l’Union correspondante.

Exemple : une voiture, des jouets, l'aviation ...

1. Les SIA visés à l'annexe III du RIA

Quelques exemples :

• les SIA destinés à être utilisés pour déterminer l’accès ou l’affectation de personnes physiques aux établissements d’enseignement et de formation professionnelle ;
• Les SIA utilisés pour déterminer l'accès et le droit aux services privés essentiels et aux services publics et prestations sociales essentiels ...

Peuvent déroger les SIA qui ne présentent pas de risques significatifs d'atteinte à la santé, à la sécurité aux droits fondamentaux des personnes physiques, y compris en n’influençant pas sensiblement le résultat d'une prise de décision.

Si votre SIA est à haut risque certaines exigences, notamment avant sa mise sur le marché ou en service, devront être respectées. Certaines documentations techniques, de système de gestion des risques ou encore de mesures devront être accomplies.

🔎 Des obligations de transparence pour certaines SIA

En raison de leurs risques spécifiques de manipulation, certains SIA devront répondre à des exigences de transparence, afin de renforcer la confiance des utilisateurs envers l'IA. Quelque exemple :

• Lorsque le SIA est destiné à interagir directement avec des personnes, ils doivent être informés qu’ils interagissent avec ce SIA ;
• Lorsque le SIA génère des contenus de synthèse, il doit indiquer et marquer que le contenu a été généré par SIA.

A ces obligations de transparence prévues par le RIA viennent s'ajouter les éventuelles obligations précitées pour le cadre des données personnelles ou des décisions administratives.

▶️ Des SIA présentant un risque minimal

Pour tous les autres SIA, aucune obligation spécifique n’est retenue au sein du RIA.

Cependant, les développeurs et utilisateurs de SIA pourront volontairement choisir d’appliquer des exigences relatives à une IA en adhérant, notamment, à des codes de conduite

🎯 Obligations spécifiques pour les modèles d'IA à usage général dont les modèles IA génératifs

Leur avantage premier est de servir un grand nombre de tâches diverses. Ces derniers ont des applications très diverses et constituent de plus en plus souvent la base de nombreux systèmes d'IA dans l'UE. Certains de ces modèles pourraient comporter des risques systémiques s'ils sont très puissants ou si leur utilisation est très répandue. Le RIA organise pour cette catégorie plusieurs niveaux d’obligations :

• Pour les modèles d’IA à usage général : nous retrouvons des obligations de documentation et de transparence dans l’objectif de mieux comprendre le modèle lorsqu’il doit par exemple être intégré dans un SIA d’un fournisseur ;
• Pour les modèles d’IA à usage général présentant un risque systémique : pour les fournisseurs, nous retrouvons des obligations d’évaluation des SIA en vue d’identifier et d’atténuer les risques systémiques.

Le Bureau de l’IA encourage l’élaboration de code de bonnes pratiques sur les IA Génératives afin d’assurer le respect du règlement.

Et le reste ?

D'autres cadres juridiques pourront se voir appliquer tels que le choix de licence, l'open data des documents administratifs, ou encore des cadres relatifs à votre activité (code de l'environnement, code du travail ...). Seul votre service juridique sera en mesure de vous orienter et d'encadrer votre projet dès le début.

Dans tous les cas, il sera nécessaire d'identifier le cadre juridique s'appliquant à votre utilisation d'un SIA et de documenter tous vos choix. Cette documentation sera nécessaire en cas de contrôle.

👉 pour aller plus loin, Cellule de conformité de la DINUM