Cinq recommandations pour le Code de pratique de l'UE pour les modèles GPAI
Le 14 novembre, l'Office de l'IA de l'UE a diffusé le premier projet de code de bonnes pratiques pour les modèles d'AI à usage général (GPAI). Élaboré par un groupe d'experts, le Code vise à guider les concepteurs de modèles GPAI – appelés fournisseurs en vertu de la Loi sur l'IA – sur la façon de démontrer la conformité avec leurs obligations en vertu de la Loi sur l'IA. ITI représente l'industrie de la technologie au sein du groupe de rédaction et a soumis des commentaires écrits à la première ébauche du code le 28 novembre.
Le Code sera un succès s'il est largement utilisé par les fournisseurs de modèles GPAI comme référence pour démontrer la conformité aux exigences légales spécifiques de la Loi sur l'IA.
Pour ce faire, le prochain projet de code devrait être proportionné et flexible compte tenu de l'état de la technique qui évolue rapidement. Fait important, puisque le Code vise à mettre en oeuvre la Loi sur l'IA, il doit être strictement aligné sur le texte juridique du règlement et fournir un cadre applicable aux fournisseurs de modèles d'AIGP pour démontrer la conformité à la Loi sur l'IA. Le Bureau de l'IA devrait s'efforcer de participer étroitement à la rédaction et à l'examen des réponses aux consultations afin de s'assurer que le Code répond à ces besoins pratiques.
Voici cinq recommandations clés pour atteindre cet objectif important :
- Rester dans le champ d'application de la Loi sur l'IA
Le projet actuel contient diverses mesures qui ne figurent pas dans la Loi sur l'IA. Par exemple, les exigences relatives à la participation obligatoire de tiers aux évaluations et aux tests des risques, qui ont été précédemment rejetées par les colégislateurs, apparaissent à plusieurs reprises – comme les mesures 13.7 ou 17. Certaines des exigences en matière de droit d'auteur, comme les mesures 3.2 et 3.3 sur la conformité en aval et en amont, ne relèvent pas non plus de la Loi sur l'IA.
Depuis le Code vise uniquement à faciliter l'application de la Loi sur l'IA les exigences pour les fournisseurs de modèles GPAI, sa portée devrait rester dans ces limites. Cela est fondamental pour la sécurité juridique et l'adoption généralisée du Code. Le dépassement de la portée de la Loi rendrait le respect du Code plus contraignant et ne serait pas conforme à l'équilibre réglementaire convenu par les colégislateurs.
- Exigences de transparence équilibrées et significatives
Les mesures 1 et 2 du Code contiennent des détails sur les exigences de transparence pour les fournisseurs de modèles GPAI, respectivement à l'égard des organismes de réglementation (le Bureau de l'IA) et des fournisseurs en aval (c'est-à-dire les entreprises qui utilisent le modèle pour construire un système d'IA spécifique et qui auraient besoin d'informations sur le modèle pour effectuer des évaluations des risques ou se conformer à des exigences réglementaires potentielles).
Pour ce qui est de la transparence à l'égard de l'Office de l'IA, il sera important garantir des garanties procédurales pour les demandes d'information et une protection appropriée des secrets d'affaires. Les divulgations devront également être proportionnées et réalisables, en particulier dans des domaines tels que la mesure de l'énergie ou le calcul, lorsque des pratiques normalisées ne sont pas encore disponibles.
En ce qui concerne l'information pour les fournisseurs en aval, essentiel pour trouver le bon équilibre entre le détail et la faisabilité. D'une part, les fournisseurs en aval auront besoin d'informations suffisamment détaillées et réalisables pour appuyer leur prise de décision. D'autre part, une documentation ou une divulgation excessives pourraient être lourdes pour les fournisseurs de modèles, porter atteinte aux secrets commerciaux et compromettre la sécurité des modèles.
- Une taxonomie claire des risques systémiques
Le projet de code contient une taxonomie des risques systémiques que les fournisseurs de certains modèles d'IAGP devront prendre en compte pour évaluer et atténuer les risques, conformément à l'article 55 de la loi sur l'IA.
Les fournisseurs de l'IAGP auront besoin que cette taxonomie soit précise et suffisamment claire pour élaborer, mesurer et atténuer des politiques efficaces.. L'absence de spécificité peut entraîner une hiérarchisation erronée de certains risques et des investissements considérables en ressources pour un large éventail de risques négligeables ou peu probables, ce qui complique les efforts de gestion des risques des fournisseurs de modèles.
C'est pourquoi il convient d'éviter ou de préciser dans le projet suivant des concepts et des risques généraux comme «persuasion et manipulation» ou «impact négatif à grande échelle sur la société dans son ensemble».
- Évaluation du risque réalisable et exigences en matière d'atténuation
Le Code contient des exigences détaillées pour l'évaluation et l'atténuation des risques systémiques associés à certains modèles d'IAGP.
Le prochain projet devrait reconnaître explicitement les limites de l'évaluation des risques au niveau du modèles et les mesures d'atténuation. Étant donné que les risques dépendent fortement du contexte et que le modèle GPAI est largement applicable, les évaluations et les mesures d'atténuation des données génériques au niveau du modèle ne peuvent anticiper et atténuer les risques spécifiques associés à l'utilisation d'un modèle dans différents contextes ou systèmes d'IA spécifiques.
C'est la raison pour laquelle les mesures prescriptives qui exigent d'identifier des risques spécifiques au niveau du déploiement (comme la mesure 9), d'évaluer les risques au niveau du système au niveau du modèle (comme la mesure 10.5) ou de surveiller de près le modèle après le déploiement (mesure 11.4) seraient très lourdes et, dans de nombreux cas, irréalisables.
- Amélioration des délais de consultation des parties prenantes
La courte période de consultation pour la première ébauche du Code a rendu difficile pour de nombreux dirigeants de l'industrie, en particulier ceux qui ont des cas d'utilisation complexes et des chaînes d'approvisionnement, d'évaluer le projet de façon significative.
Bien que l'élaboration du Code devra inévitablement respecter les calendriers ambitieux fixés par la Loi sur l'IA, un dialogue significatif avec l'industrie est essentiel pour s'assurer que le Code est réalisable et reflète l'état de la technique. Les cycles de rédaction ultérieurs devraient en tenir compte et prévoir suffisamment de temps et de préparation.
La voie à suivre...
La prise en compte de ces cinq points dans la prochaine ébauche du Code sera essentielle pour que le Code reste fidèle à son objectif initial, comme l'ont prévu les colégislateurs. Il s'agit de faciliter le respect de la loi sur l'IA pour les fournisseurs de modèles GPAI en l'absence de normes pertinentes, tout en permettant une certaine souplesse pour l'émergence et le développement de cette technologie naissante.