Les enjeux de l’accès aux algorithmes sont importants aussi bien du point de vue de ceux dont les situations sont traitées par des algorithmes – avec tous les dangers que cela peut comporter – que de ceux qui élaborent des algorithmes, susceptibles de constituer le « cœur » de la technologie qu’ils souhaitent légitimement protéger. Il y a donc un arbitrage à effectuer sur cette question, à la fois économique et démocratique. Cela invite à s’intéresser aux questions de l’accès à l’algorithme mais aussi à la protection de l’algorithme.
Faut-il leur reconnaître un droit d’auteur, un droit voisin ? La réflexion est lancée...

Qu’est-ce qu’un algorithme ? Selon un arrêté du 27 juin 1989 relatif à l’enrichissement du vocabulaire de l’informatique, l’algorithmique est l’« étude de la résolution de problèmes par la mise en œuvre de suites d’opérations élémentaires selon un processus défini aboutissant à une solution ».

Un algorithme est donc une description d’étapes à réaliser pour aboutir à un résultat. Une recette de cuisine est ainsi un algorithme ! L’intelligence artificielle, notamment, fait largement appel aux algorithmes.

Doit-on pouvoir librement accéder aux algorithmes ? De nombreux enjeux liés à l’accès aux algorithmes ont été identifiés par Nozha Boujemaa, directrice de recherche chez Inria et en charge du projet Transalgo.
En voici quelques-uns : transparence des recommandations de produits, tarifications volatiles (qui changent en fonction du lieu géographique de l’internaute par exemple), classements des moteurs de recherche [1]…
Dans le secteur public, des algorithmes peuvent être utilisés pour le calcul de la fiscalité des entreprises, les droits de douane, le montant des subventions agricoles, les modalités d’avancement des fonctionnaires, les décisions d’attribution des logements sociaux de certains bailleurs sociaux, le calcul des impôts locaux (taxe d’habitation) [2]… On perçoit ainsi la sensibilité d’un tel sujet.

Les enjeux de l’accès aux algorithmes sont importants aussi bien du point de vue de ceux dont les situations sont traitées par des algorithmes – avec tous les dangers que cela peut comporter – que de ceux qui élaborent des algorithmes, susceptibles de constituer le « cœur » de la technologie qu’ils souhaitent légitimement protéger. Il y a donc un arbitrage à effectuer sur cette question, à la fois économique et démocratique. Cela invite à s’intéresser aux questions de l’accès à l’algorithme mais aussi à la protection de l’algorithme.

I – Quel accès à l’algorithme ?

Des étudiants ont été très moteurs concernant la revendication de l’accès aux algorithmes. L’association Droits des lycéens s’est ainsi saisie de la question à propos de la transparence du fonctionnement de l’algorithme APB (admissions post-bac), menaçant de saisir la justice concernant l’opacité de critères utilisés pour départager les candidats dans les licences « en tension ».

A la suite du refus du ministère de l’éducation nationale de communiquer l’algorithme de la plateforme APB, « la CADA a considéré que le code source d’un logiciel, qui est un ensemble de fichiers informatiques contenant des instructions devant être exécutées par un micro-processeur, revêt le caractère de documents administratifs communicables à toute personne qui en fait la demande conformément aux articles L 300-2 et L 311-1 du code des relations entre le public et l’administration » [3].

Créée par la loi n° 78-753 du 17 juillet 1978 portant amélioration des relations entre l’administration et le public, la Commission d’accès aux documents administratifs (CADA) est une autorité administrative indépendante et consultative. Elle rend des avis précontentieux, qui certes ne constituent pas des décisions administratives et ne sont donc pas contraignants, mais qui sont largement suivis par les administrations, le demandeur pouvant contester ensuite un refus de communication de l’administration devant le juge administratif.

Une partie du code d’APB a été publiée, avant que n’intervienne la loi « pour une République numérique » (loi n° 2016-1321 du 7 octobre 2016), votée en octobre 2016, qui prévoit une information concernant les algorithmes [4].

Depuis cette loi, l’article L. 311-3-1 du code des relations entre le public et l’administration prévoit que sous réserve de la protection de certains intérêts supérieurs définis à l’article L. 311-5, 2° du même code (secret des délibérations du gouvernement, de la défense nationale, etc.) « une décision individuelle prise sur le fondement d’un traitement algorithmique comporte une mention explicite en informant l’intéressé. Les règles définissant ce traitement ainsi que les principales caractéristiques de sa mise en œuvre sont communiquées par l’administration à l’intéressé s’il en fait la demande. Les conditions d’application du présent article sont fixées par décret en Conseil d’Etat. »

Ce décret est le décret n° 2017-330 du 14 mars 2017 relatif aux droits des personnes faisant l’objet de décisions individuelles prises sur le fondement d’un traitement algorithmique, lequel insère notamment au sein du code précité les articles R. 311-3-1-1 et R. 311-3-1-2.

Le premier article dispose :

« La mention explicite prévue à l’article L. 311-3-1 indique la finalité poursuivie par le traitement algorithmique. Elle rappelle le droit, garanti par cet article, d’obtenir la communication des règles définissant ce traitement et des principales caractéristiques de sa mise en œuvre, ainsi que les modalités d’exercice de ce droit à communication et de saisine, le cas échéant, de la commission d’accès aux documents administratifs, définies par le présent livre. »

Le second article est ainsi rédigé :

« L’administration communique à la personne faisant l’objet d’une décision individuelle prise sur le fondement d’un traitement algorithmique, à la demande de celle-ci, sous une forme intelligible et sous réserve de ne pas porter atteinte à des secrets protégés par la loi, les informations suivantes :

« 1° Le degré et le mode de contribution du traitement algorithmique à la prise de décision ;

« 2° Les données traitées et leurs sources ;

« 3° Les paramètres de traitement et, le cas échéant, leur pondération, appliqués à la situation de l’intéressé ;

« 4° Les opérations effectuées par le traitement ; ».

Ce texte est considéré par un auteur comme une avancée majeure [5] en créant, certes (premier article) un droit d’information succinct donné à l’occasion de décisions prises sur la base d’un algorithme, mais aussi (second article) un droit à l’information renforcée à la demande de l’intéressé, ces dispositions devant entrer en vigueur en septembre 2017.

En revanche, le texte ne prévoit pas réellement de communication de l’algorithme. Pour accéder à celui-ci, les dispositions CADA traditionnelles des articles L. 300-1 et suivants du code des relations entre le public et l’administration demeurent applicables. La marge d’appréciation donnée à l’administration quant au support peut aboutir, en cas de communication d’un support non exploitable, à une absence de contrôle effectif de l’algorithme [6].

Avant cette affaire, c’est un autre étudiant, Adrien Fabre, alors stagiaire à Etalab [7], qui, participant au développement du logiciel OpenFisca, a contraint le ministère chargé de l’économie à ouvrir le code source de son logiciel de simulation d’impôt sur le revenu. Un avis CADA avait été rendu le 8 janvier 2015. Face au silence persistent de l’administration, l’étudiant a saisi le tribunal administratif et a fini, à force de patience, par obtenir gain de cause [8].

Dans ces deux cas cependant, les enjeux économiques d’un tel accès ont été sous-jacents.
L’article R. 311-3-1-2 précise en effet que le droit de l’intéressé à une information renforcée s’effectue « sous réserve de ne pas porter atteinte à des secrets protégés par la loi ». Selon Me Bruno ROZE, cette référence inclut probablement le secret industriel et le secret des affaires.

En ce qui concerne le droit de communication, l’article L. 311-6 du code précité prévoit que ne sont communicables « qu’à l’intéressé » les documents administratifs « dont la communication porterait atteinte à la protection de la vie privée, au secret médical et au secret en matière commerciale et industrielle, lequel comprend le secret des procédés, des informations économiques et financières et des stratégies commerciales ou industrielles et est apprécié en tenant compte, le cas échéant, du fait que la mission de service public de l’administration mentionnée au premier alinéa de l’article L. 300-2 est soumise à la concurrence. » [9].

C’est bien ici la manifestation d’une prise de conscience que cette information ou cette communication, si elle répond à un intérêt légitime du public (pour se prémunir de décisions arbitraires notamment), est néanmoins susceptible de porter atteinte à des intérêts économiques, qu’ils soient publics ou privés.

D’autres dispositions permettent de se prémunir contre l’arbitraire de la machine. Ainsi la loi de la loi n° 78-17 du 6 janvier de 1978 modifiée, relative à l’informatique, aux fichiers et aux libertés (« loi CNIL »), actuellement en vigueur dans l’attente du RGPD, comporte deux articles intéressants. En effet, son article 10 dispose :

« Aucune décision de justice impliquant une appréciation sur le comportement d’une personne ne peut avoir pour fondement un traitement automatisé de données à caractère personnel destiné à évaluer certains aspects de sa personnalité.



Aucune autre décision produisant des effets juridiques à l’égard d’une personne ne peut être prise sur le seul fondement d’un traitement automatisé de données destiné à définir le profil de l’intéressé ou à évaluer certains aspects de sa personnalité.



Ne sont pas regardées comme prises sur le seul fondement d’un traitement automatisé les décisions prises dans le cadre de la conclusion ou de l’exécution d’un contrat et pour lesquelles la personne concernée a été mise à même de présenter ses observations, ni celles satisfaisant les demandes de la personne concernée.

 »


Ces dispositions effectuent une distinction entre décision de justice et décision produisant des effets juridiques, notion plus large (on pense par exemple à un « scoring » susceptible d’exclure du bénéfice d’un crédit). Notons que la référence à un « profil » semble également plus facile à appréhender juridiquement que la référence à des « aspects de personnalité ».

L’article 39, 5° de la même loi est ainsi rédigé :

« I.-Toute personne physique justifiant de son identité a le droit d’interroger le responsable d’un traitement de données à caractère personnel en vue d’obtenir :

(…)

5° Les informations permettant de connaître et de contester la logique qui sous-tend le traitement automatisé en cas de décision prise sur le fondement de celui-ci et produisant des effets juridiques à l’égard de l’intéressé. Toutefois, les informations communiquées à la personne concernée ne doivent pas porter atteinte au droit d’auteur au sens des dispositions du livre Ier et du titre IV du livre III du code de la propriété intellectuelle.

Une copie des données à caractère personnel est délivrée à l’intéressé à sa demande. Le responsable du traitement peut subordonner la délivrance de cette copie au paiement d’une somme qui ne peut excéder le coût de la reproduction. (...) » [10].

Pour mémoire, l’article 22 du RGPD (à rapprocher notamment du considérant n° 71 de ce texte) qui sera applicable en mai 2018 réglementera de manière stricte les traitements susceptibles de fonder des décisions individuelles automatisées. Sont ainsi prévus « le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé » et dans certains cas le « droit de la personne concernée d’obtenir une intervention humaine de la part du responsable du traitement, d’exprimer son point de vue et de contester la décision ».

Si ces articles peuvent s’appliquer / pourront s’appliquer aux traitements algorithmiques concernant des données personnelles, le sujet « algorithmique » dépasse de très loin la seule question des données personnelles.

« La Résolution du Parlement européen du 16 février 2017 contenant des recommandations à la Commission concernant des règles de droit civil sur la robotique souligne qu’il est nécessaire d’intégrer des garanties et des possibilités de contrôle et de vérification par l’homme dans les processus décisionnels automatiques et algorithmiques et insiste sur le principe de transparence, à savoir qu’il devrait toujours être possible de fournir la justification rationnelle de toute décision prise avec l’aide de l’intelligence artificielle qui est susceptible d’avoir une incidence importante sur la vie d’une ou de plusieurs personnes » [11].

L’accès à l’information est indispensable pour pouvoir se défendre de décisions arbitraires. La recherche d’efficacité à travers l’automatisation est parfois profitable à la personne (rapidité, baisse des coûts…).
Mais il doit être possible de disposer de garanties sérieuses, lesquelles n’impliquent pas nécessairement d’avoir accès au cœur de la technologie – à la supposer intelligible – mais d’en comprendre les résultats et les principales caractéristiques.

II – Quelle protection de l’algorithme ?

Le débat concernant l’accès à l’algorithme existe notamment parce qu’il n’est pas bien protégé juridiquement. L’ouvrir expose notamment à une perte d’investissement. L’algorithme constitue le cœur de la technologie de nombreuses start-ups intervenant par exemple, dans les domaines du big data (mégadonnées) ou des objets connectés.

Pourquoi cette faible protection ? En tant que principe mathématique, l’algorithme relève du domaine des idées qui sont de libre parcours et non protégeables par le droit d’auteur.
« Les algorithmes ne sont pas des programmes d’ordinateurs et constituent des modèles informatiques trop abstraits pour être protégés par le droit de la propriété intellectuelle ; ce n’est qu’en cas de mise en forme des algorithmes originaux que la protection par le droit d’auteur pourra être envisagée » [12] .

Il s’agit d’un principe bien établi, rappelé par Directive 91/250/CEE du Conseil, du 14 mai 1991, concernant la protection juridique des programmes d’ordinateur. Dans son considérant n° 14, celle-ci indique « (…) que, en accord avec ce principe du droit d’auteur, les idées et principes qui sont à la base de la logique, des algorithmes et des langages de programmation ne sont pas protégés en vertu de la présente directive ; »

La Cour d’Appel de Paris, dans un arrêt du 24 novembre 2015 (n° 13/24577) s’est appuyé sur une interprétation de la Cour de Justice de l’Union Européenne (Arrêt de la Cour (grande chambre) du 2 mai 2012, SAS Institute Inc. contre World Programming Ltd) pour décider que « les algorithmes et les fonctionnalités d’un programme d’ordinateur en tant que telles ne sont pas protégeables au titre du droit d’auteur ».

« Considérant que la Cour de justice de l’Union européenne a dit pour droit, dans son arrêt SAS Institute Inc. du 02 mai 2012 que :’L’article 1er, paragraphe 2, de la directive 91/250/CEE du Conseil, du 14 mai 1991, concernant la des programmes d’ordinateur, doit être interprété en ce sens que ni la fonctionnalité d’un programme d’ordinateur ni le langage de programmation et le format de fichiers de données utilisés dans le cadre d’un programme d’ordinateur pour exploiter certaines de ses fonctions ne constituent une forme d’expression de ce programme et ne sont, à ce titre, protégés par le droit d’auteur sur les programmes d’ordinateur au sens de cette directive  ;

Qu’il s’ensuit que les algorithmes et les fonctionnalités d’un programme d’ordinateur en tant que telles ne sont pas protégeables au titre du droit d’auteur ; que l’originalité d’un logiciel suppose que l’auteur l’ait marqué de son apport intellectuel par un effort créatif révélateur de sa personnalité allant au-delà de la simple mise en oeuvre d’une logique automatique et contraignante et que la matérialisation de cet effort réside dans une structure individualisée  ; » (Cour d’appel de Paris, arrêt du 24 novembre 2015, n° 13/24577).

On peut alors comprendre une certaine réticence à communiquer l’algorithme, qui a pu nécessiter beaucoup de temps et/ou d’argent pour être élaboré.

Les algorithmes ne deviennent protégeables – par le droit d’auteur – que lorsqu’ils sont intégrés à un logiciel, ces derniers étant eux-mêmes considérés comme des « œuvres de l’esprit » au sens de l’article L. 112-2, 13° du code de la propriété intellectuelle dès lors qu’ils présentent les traditionnels caractères « d’originalité » requis au sens de ce droit. Cela signifie que ne sont pas protégés les fonctionnalités et algorithmes du logiciel mais la seule expression d’un programme d’ordinateur (sous forme de code source et code objet ou encore de matériel de conception préparatoire).

Que se passe-t-il du côté du droit des brevets ? L’article L. 611-10 du code de la propriété intellectuelle indique notamment que ne sont pas considérées comme des inventions « les découvertes ainsi que les théories scientifiques et les méthodes mathématiques » [13].

Des algorithmes font toutefois l’objet de brevets aux Etats-Unis, le droit de ce pays étant plus ouvert sur ce point (même si cette ouverture tend à se restreindre actuellement). Page Rank, algorithme développé par Google a ainsi fait l’objet d’un brevet déposé en 1997.

Plus près de nous, l’office européen des brevets (OEB) a admis qu’un algorithme ou un logiciel soit brevetable à condition d’être intégré à une invention et de lui apporter une contribution technique [14]. Cela implique que l’algorithme figure dans la demande de brevet pour être protégé (et dans la limite de l’invention à laquelle il s’intègre).

En définitive, la non divulgation, associée à des mesures de protection physique et logique, lorsque cela est possible, et à défaut la signature d’accords de confidentialité bien rédigés, sont encore largement utilisés comme moyen de protéger les algorithmes.

L’action en concurrence déloyale qui suppose une faute, un préjudice et un lien de causalité peut également venir sanctionner l’appréhension frauduleuse d’un secret. Les créateurs de start-ups (et les autres) ont également intérêt à protéger leur algorithme par le secret. Le dépôt d’une enveloppe Soleau (ou autre solution technique équivalente) à l’INPI est recommandé. Au moins, cela permet-il de prouver si besoin l’antériorité de la détention de l’algorithme, ce qui peut être utile en cas de litige.

Notons que les bases de données bénéficient curieusement d’un régime juridique bien plus protecteur que les algorithmes. Ainsi le producteur de la base de données bénéficie-t-il notamment d’une protection sui generis dont l’objet est « d’assurer la protection d’un investissement [15] dans l’obtention, la vérification ou la présentation du contenu d’une base de données pour la durée limitée du droit ; que cet investissement peut consister dans la mise en œuvre de moyens financiers et/ou d’emploi du temps, d’efforts et d’énergie », selon le considérant n° 40 de la directive n° 96/9 du Parlement Européen et du Conseil, du 11 mars 1996 concernant la protection juridique des bases de données, texte transposé en droit français par loi n° 98-536 du 1 juillet 1998 (voir articles L. 341-1 et suivants du code de la propriété intellectuelle) [16].

Le monde du numérique a bien changé depuis 1996 et le marché de l’analyse de données est généralement estimé à plusieurs dizaines de milliards de dollars à l’horizon de quelques années [17].

En tout cas, nombre d’algorithmes sont aujourd’hui complexes et font la part belle à la créativité, au point que la question d’une protection par le droit d’auteur pourrait se poser prochainement ! Le droit d’auteur pourrait-il s’appliquer aux algorithmes qui impliquent une originalité ?

Ceux qui s’appuient sur un corpus de règles professionnelles choisies peuvent d’ailleurs, selon nous, être originaux.

« Pour développer une système expert destiné à diagnostiquer et à proposer la réparation appropriée aux pannes d’une automobile, un programmeur utilisera dans sa base de données, les connaissances d’un réparateur qualifié qu’il intègrera pas à pas dans son produit et comme base de connaissances, un manuel de réparation qui sera peut-être vendu dans le commerce (…). On peut se demander (i) si la communication de ce simple savoir-faire est une création protégée par le droit d’auteur et, dans l’affirmative, (ii) si l’expert n’est pas de ce fait l’auteur de la base de connaissances. Même si l’on part du postulat que le savoir-faire de l’expert consiste en des règles élémentaires, ce caractère n’est pas un obstacle à leur protection par le droit d’auteur puisque celui-ci protège toutes les créations originales, quel que soit leur mérite. Mais peut-on parler de « création » au sens du droit d’auteur, lorsqu’on ne fait qu’exprimer des règles logiques ? Certainement, dès l’instant où l’expression de ces règles logiques n’est pas imposée, c’est à dire lorsqu’elle ne correspond à aucun passage obligé que doit emprunter toute personne qui désire exploiter la même idée » [18].

On peut aussi faire le parallèle avec la sélection, protégée par le droit d’auteur, réalisée dans le cadre d’une anthologie. Il en résulte que l’algorithme développé à partir du moteur d’inférence puisant dans cette base de connaissance devrait par voie de conséquence pouvoir être protégée par le droit d’auteur [19].

A défaut de protection – générale – de l’algorithme par le droit d’auteur, au moins devrait-on réfléchir à lui consacrer un « droit voisin » du droit d’auteur.

On peut toutefois se demander combien de temps il sera possible de gérer, avec un cadre juridique aussi limité, cette tension entre le souhait d’un accès souvent légitime à l’algorithme par le public (sans doute la question est-elle plus prégnante pour les algorithmes destinés à l’exercice d’une mission de service public ?) et par ailleurs la nécessité pour les entreprises innovantes de protéger des technologies tenues secrètes sur lesquelles reposent en bonne partie leur succès… Le droit pourrait utilement s’intéresser à une ligne de partage raisonnable entre ces deux catégories d’intérêts, démocratique d’une part, économique d’autre part.

Il faut aussi relever que l’algorithme n’informera pas toujours efficacement celui dont la situation est « traitée » par cet algorithme. En effet, ces méthodes « ne figent pas la contribution de leurs variables, mais les révisent constamment en fonction des actions de l’utilisateur. Pour cette raison, il est vain de réclamer que soit levé le « secret » et plus utile de connaître les flux de données qui « entrent » dans la composition du calcul. Ceux qui les fabriquent ne savent pas eux-mêmes expliquer pourquoi le calculateur a, dans ce contexte, retenu telle hypothèse plutôt que telle autre » [20].
Selon les auteurs d’un rapport co-écrit par France Stratégie et le Conseil National du Numérique, « la question posée est moins celle de l’accès aux algorithmes que celle de l’accès aux données pour les entraîner » [21].

La question, en tout cas, ne se pose pas que pour les seuls algorithmes…

Jérôme Dupré, avocat en droit du numérique (Agreement Avocat), docteur en droit