IA et responsabilité : quelle évolution ?

De nouveaux risques ?

Si l’accident causé par un véhicule autonome est l’un des risques les plus médiatisés, la typologie des risques liés à l’usage d’un SIA est large :
 Risques individuels : dommages corporels et incorporels (erreur, discrimination, etc.) ;
 Risques sociaux : biais, dommages à grande échelle en cas de cyber-attaque, exercice irresponsable du pouvoir conféré par le numérique [1], etc.

Les risques ne sont pas nouveaux mais leur analyse est devenue particulièrement complexe du fait de :
 La multiplicité des acteurs : fournisseur, déployeur, importateur, utilisateur, etc ;
 La faible traçabilité due à l’opacité des algorithmes, la volumétrie des données et l’évolutivité des solutions ;
 L’interaction machine-humain, qui permet une supervision humaine mais aussi une intrication des responsabilités.

Face à ces questions, les systèmes existants de responsabilité délictuelle et contractuelle sont-ils suffisants ? La Commission européenne considère que les règles actuelles doivent être complétées et adaptées pour répondre aux défis portés par l’intelligence artificielle.

Normes juridiques.

La Commission, au-delà du Règlement 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle (AI Act) (Lire à ce sujet : IA et responsabilité : quelle évolution ? Par Sabine Marcellin, Juriste. ) :
 Une rénovation de la directive sur la responsabilité du fait des produits défectueux [2], adoptée le 12 mars 2024 par le Parlement européen. L’évolution de cette directive prévoit d’étendre le champ d’application des produits physiques à tous les systèmes numériques, dont l’IA, sauf les logiciels libres. Le texte responsabilise tous les opérateurs économiques et introduit des mesures, exclusivement en faveur des particuliers. Pour les SIA, le défaut sera apprécié par comparaison avec les normes techniques existantes. La victime devra produire tous les éléments prouvant le défaut du produit, le dommage subi et le lien de causalité. Cependant, ce lien de causalité pourra être présumé quand le SIA sera considéré comme défectueux. La directive devra désormais être formellement approuvée par le Conseil et les nouvelles règles s’appliqueront aux produits mis sur le marché 24 mois après son entrée en vigueur,

 Un complément des régimes existants de responsabilité délictuelle, pour harmoniser les règles nationales applicables aux SIA. Une proposition de directive relative à l’adaptation des règles en matière de responsabilité civile extracontractuelle au domaine de l’intelligence artificielle a été publiée le 28 septembre 2022. Cette proposition s’inscrit dans le prolongement du périmètre du Règlement IA, pour déterminer un régime de responsabilité dédié aux SIA. S’agissant de la faute, il est exigé de constater un manquement à un devoir de vigilance prévu par le droit de l’Union ou le droit national. Si une personne s’interpose entre le fonctionnement du système et le dommage, c’est le régime de droit commun qui trouve à s’appliquer. Concernant la charge de la preuve pour les SIA « à haut risque », les juridictions nationales peuvent enjoindre les défendeurs de divulguer les éléments pertinents de preuve, dès lors que le demandeur prouve un premier refus d’une partie de communiquer ces éléments.

En complément de la gouvernance par le droit, une régulation par les normes techniques se développe également, partant de la compréhension de la technique pour nourrir le droit.

Normes techniques.

La normalisation technique est naturellement d’application volontaire, à la différence des règles juridiques impératives. Cependant les normes techniques participent parfois à la construction juridique, ce qui sera le cas du Règlement IA et de la future directive sur les produits défectueux.

Les obligations prévues par le Règlement IA pour les fournisseurs de SIA « à haut risque » comprennent notamment la soumission, avant sa mise en service, à la procédure d’évaluation de la conformité applicable. Les compétences des futurs organismes nationaux de certification IA seront elles-mêmes soumises à des normes ISO, qui permettront ensuite de qualifier les SIA et de vérifier leur conformité.

En France, l’AFNOR a été mandatée par les pouvoirs publics, dans le cadre du Grand Défi [3], pour développer la normalisation volontaire en complément de la réglementation afin de sécuriser, certifier et fiabiliser les systèmes fondés sur l’IA. L’AFNOR est chargée de « créer l’environnement normatif de confiance accompagnant les outils et les processus de certification des systèmes critiques à base d’intelligence artificielle ».

En pratique, en matière de responsabilité, la norme ISO/IEC 23894.2 Recommandations relatives au management du risque [4] a été publiée le 1ᵉʳ mars 2023. D’autres normes, notamment sur le management de la qualité des IA, sont en cours de rédaction.

Chartes éthiques.

Si l’éthique n’impose pas de sanctions, elle est néanmoins une préfiguration de la norme juridique. De plus, le caractère éthique influe sur l’attrait des consommateurs pour un produit ou service.

La Commission européenne pour l’efficacité de la justice du Conseil de l’Europe (CEPEJ), a adopté en décembre 2018 le premier texte européen énonçant des principes éthiques relatifs à l’utilisation de l’IA dans les systèmes judiciaires [5].

L’OCDE a publié, dès juin 2019, la Recommandation du Conseil sur l’intelligence artificielle, à l’occasion du sommet d’Osaka.

Le Parlement européen a adopté, le 20 octobre 2020, la Résolution [6] contenant des recommandations concernant un cadre pour les aspects éthiques de I’IA. Ce texte promeut la mise en place de mesures axées sur la responsabilité et la gestion des risques de biais et de discrimination, qui pourront accroître la sécurité des citoyens et leur confiance à l’égard de ces technologies.

Les 193 Etats membres de L’UNESCO ont adopté une Recommandation sur l’éthique de l’IA [7], en novembre 2021. Elle contient dix principes majeurs dont la sécurité, l’explicabilité et la responsabilité.

Et, dans l’attente de la publication de l’IA Act, le 31 mai 2023, les États-Unis et l’Union européenne [8], ont plaidé pour la mise en place rapide d’un « code de conduite » volontaire sur l’IA. Les acteurs du secteur s’engageraient ainsi à respecter certains principes et garanties dans le développement de leurs technologies. Ce dispositif n’est pas encore abouti.

Par ailleurs, les pays du G7 ont partagé leur code de conduite, le 29 octobre 2023 pour que les acteurs du secteur à mettre en place des garde-fous pour une IA de confiance.