Les réglementations mondiales en matière d'IA et leur impact sur la gestion des risques pour les tiers

Gouvernance de l'intelligence artificielle aux États-Unis

Bien qu'il n'y ait pas de réglementation officielle de l'IA aux États-Unis aujourd'hui, des personnalités politiques majeures et des organismes de normalisation ont publié de nombreuses orientations sous la forme de cadres de gouvernance et de déclarations d'intention. Il s'agit notamment du cadre de gestion des risques liés à l'IA (AI RMF) du National Institute of Standards and Technology (NIST) introduit en janvier 2023, du décret du président Biden sur le développement et l'utilisation sûrs, sécurisés et fiables de l'intelligence artificielle, et du cadre d'innovation SAFE du sénateur Chuck Schumer, qui est conçu pour informer la future législation du Congrès.

Aux États-Unis, les orientations existantes en matière d'IA sont axées sur la promotion d'un développement responsable et la prise en compte des risques commerciaux. Le cadre du NIST illustre cette approche en fournissant une méthodologie pour élaborer une stratégie de gouvernance de l'IA au sein de votre organisation. Le décret du président Biden et le cadre d'innovation SAFE du sénateur Schumer sont des documents d'orientation politique destinés au pouvoir exécutif et au Congrès, qui débattent de lois destinées à régir le développement de l'IA.

Le RMF de l'IA du NIST et la gestion des risques par des tiers

Le cadre de l'IA du NIST fournit des conseils sur la manière d'élaborer une stratégie de gouvernance de l'IA dans votre organisation. Le RMF est divisé en deux parties. La première partie présente une vue d'ensemble des risques et des caractéristiques de ce que le NIST appelle les "systèmes d'IA dignes de confiance". La partie 2 décrit quatre fonctions pour aider les organisations à faire face aux risques des systèmes d'IA : Gouverner, Cartographier, Mesurer et Gérer. L'illustration ci-dessous passe en revue les quatre fonctions.

Les fonctions du cadre de gestion des risques liés à l'IA. Avec l'aimable autorisation du NIST

Les organisations doivent prendre en compte les principes de gestion des risques afin de minimiser les effets négatifs potentiels des systèmes d'IA, tels que les hallucinations, la confidentialité des données et les menaces pour les droits civils. Cette considération s'étend également à l'utilisation de systèmes d'IA de tiers ou à l'utilisation de systèmes d'IA par des tiers. Les risques potentiels d'une mauvaise utilisation de l'IA par des tiers sont les suivants :

• Vulnérabilités de sécurité dans l'application d'IA elle-même. En l'absence d'une gouvernance et de mesures de protection appropriées, votre organisation pourrait être exposée à une compromission du système ou des données.
• Manque de transparence dans les méthodologies ou les mesures des risques liés à l'IA. Les lacunes en matière de mesure et d'établissement de rapports pourraient entraîner une sous-estimation de l'impact des risques potentiels liés à l'IA.
• Les politiques de sécurité de l'IA qui ne sont pas cohérentes avec les autres procédures existantes de gestion des risques. Ces incohérences entraînent des audits compliqués et fastidieux qui pourraient avoir des conséquences négatives sur le plan juridique ou de la conformité.

Selon le NIST, le RMF aidera les organisations à surmonter ces risques potentiels.

Décret du président Biden sur l'IA

Le président Biden a publié son décret sur le développement de l'IA à la fin du mois d'octobre 2023. L'objectif de ce décret est de définir des orientations sur ce que M. Biden appelle le développement et l'utilisation responsables de l'IA, ainsi que d'exposer les principes spécifiques que le pouvoir exécutif - et idéalement l'ensemble du gouvernement fédéral des États-Unis - appliquera pour garantir un développement responsable.

M. Biden souligne huit principes directeurs et priorités dans le décret destiné à guider le développement de l'IA. Dans le tableau suivant, nous décrivons les principes directeurs et ce qu'ils pourraient signifier pour votre programme de TPRM.

Le décret est surtout important pour les entrepreneurs fédéraux et les entreprises qui les approvisionnent. Ce qu'il faut retenir ici, c'est que le président Biden aborde les défis de l'utilisation de l'IA de manière plus générale. Cela pourrait être le signe d'un intérêt futur pour la technologie également.

Le cadre d'innovation SAFE

Pour ne pas être en reste, le sénateur Chuck Schumer (D-NY) a dévoilé en juin 2023 ce qu'il a appelé le "cadre d'innovation SAFE" pour l'intelligence artificielle. Ce cadre vise à établir une réponse politique à l'inévitable législation et aux orientations réglementaires concernant la technologie de l'IA. Le mot SAFE dans le nom du cadre signifie :

• Sécurité: Protéger notre sécurité nationale grâce à l'IA et déterminer comment les adversaires l'utilisent, et assurer la sécurité économique des travailleurs en atténuant les pertes d'emploi et en y remédiant.
• Responsabilité: Soutenir le déploiement de systèmes responsables pour répondre aux préoccupations liées à la désinformation et à la partialité, soutenir nos créateurs en répondant aux questions de droits d'auteur, protéger la propriété intellectuelle et traiter la question de la responsabilité.
• Fondements: Exiger que les systèmes d'IA s'alignent sur nos valeurs démocratiques fondamentales, protéger nos élections, promouvoir les avantages sociétaux de l'IA tout en évitant les inconvénients potentiels, et empêcher le gouvernement chinois d'établir le code de la route en matière d'IA.
• Expliquer: Déterminer les informations dont le gouvernement fédéral a besoin de la part des développeurs et déployeurs d'IA pour mieux gérer le bien public, et les informations que le public a besoin de connaître sur un système, des données ou un contenu d'IA.

Ce qui ressort clairement de ce cadre, c'est l'intention du Sénat américain d'envisager plus concrètement la réglementation de la technologie de l'IA au niveau fédéral. Cela sort du cadre du décret pris par le président Biden et pourrait influencer la législation future.

Le projet de loi britannique sur la réglementation de l'intelligence artificielle

Au Royaume-Uni, Lord Holmes of Richmond a présenté un projet de loi sur la réglementation de l'IA à la Chambre des Lords. Il s'agit du deuxième projet de loi présenté au Parlement visant à réglementer l'utilisation de l'intelligence artificielle au Royaume-Uni. Le projet de loi initial, portant à la fois sur l'IA et les droits des travailleurs, a été présenté à la Chambre des communes vers la fin de la session législative de 2022 à 2023, mais a été abandonné en mai 2023 en raison de la fin de la session.

Ce nouveau projet de loi sur l'IA, présenté en novembre 2023, a une portée plus large. Lord Holmes a introduit le règlement pour mettre des garde-fous autour du développement de l'IA et définir qui serait responsable de la définition des futures restrictions législatives sur l'IA au Royaume-Uni.

Le projet de loi, qui a été examiné en première lecture par la Chambre des Lords le 22 novembre 2023, présente quelques caractéristiques essentielles. Il s'agit notamment de

• La création d'une autorité de l'intelligence artificielle (AI Authority ) chargée d'assurer une approche cohérente de l'intelligence artificielle au sein du gouvernement britannique. Elle est également chargée d'adopter une approche prospective de l'IA et de veiller à ce que tout cadre réglementaire futur s'aligne sur les cadres internationaux.
• La définition de principes réglementaires clés, qui met en place des garde-fous autour des réglementations que l'Autorité de l'IA proposée peut et doit créer. Selon le projet de loi, toute réglementation de l'IA mise en place doit respecter les principes de transparence, de responsabilité, de gouvernance, de sûreté, de sécurité, d'équité et de contestabilité. Le projet de loi précise également que les applications de l'IA doivent être conformes à la législation sur l'égalité, être inclusives dès leur conception et répondre aux besoins des "classes socio-économiques inférieures, des personnes âgées et des personnes handicapées".
• Définir la nécessité d'établir des "bacs à sable " réglementaires qui permettent aux régulateurs et aux entreprises de travailler ensemble pour tester efficacement les nouvelles applications de l'intelligence artificielle. Ces "bacs à sable" peuvent également offrir aux entreprises un moyen de comprendre et d'identifier les garanties appropriées pour les consommateurs afin de faire des affaires au Royaume-Uni.
• Plaider en faveur de la nomination de responsables de l'IA dans chaque entreprise désireuse de faire des affaires au Royaume-Uni. Le rôle de ce responsable est de veiller à ce que toute application de l'IA dans l'entreprise soit aussi impartiale et éthique que possible, tout en s'assurant que les données utilisées dans l'IA restent impartiales.
• des lignes directrices sur la transparence, les obligations en matière de propriété intellectuelle et l'étiquetage, qui stipulent que les entreprises utilisant l'IA doivent fournir un relevé de toutes les données de tiers utilisées pour former leur modèle d'IA, respecter toutes les lois pertinentes en matière de propriété intellectuelle et de droits d'auteur, et indiquer clairement que leur logiciel utilise l'IA. Ce volet accorde également aux consommateurs le droit de refuser que leurs données soient utilisées pour former des modèles d'IA.

Cette proposition de règlement en est encore aux premières phases de négociation. Elle pourrait prendre une forme très différente après la deuxième lecture à la Chambre des Lords, suivie d'une lecture ultérieure à la Chambre des Communes.

En fonction de la partie du projet de loi qui survivra au processus législatif, il pourrait avoir un impact substantiel sur la façon dont l'IA est utilisée au Royaume-Uni, sur la façon dont les modèles sont formés et sur la transparence du processus plus large de collecte de données. Chacun de ces domaines a un impact direct sur l'utilisation des technologies d'IA par les vendeurs ou fournisseurs tiers.

Loi sur l'intelligence artificielle et les données (Canada)

En juin 2022, le gouvernement du Canada a entamé l'examen de la Loi sur l'intelligence artificielle et les données (AIDA) dans le cadre du projet de loi C-27, la Loi de mise en œuvre de la Charte numérique, 2022. Le projet de loi C-27, plus vaste, est conçu pour moderniser les lois existantes sur la protection de la vie privée et le numérique et comprend trois sous-lois différentes : la Loi sur la protection de la vie privée des consommateurs, la Loi sur l'intelligence artificielle et les données et la Loi sur le Tribunal de la protection des renseignements personnels et des données.

L'objectif principal de l'ACRA est de rendre plus cohérente la réglementation en matière d'IA dans l'ensemble du Canada. Quelques lacunes réglementaires ont été identifiées dans le document d'accompagnement de la loi :

• Des mécanismes tels que les commissions des droits de l'homme permettent de remédier aux cas de discrimination, mais les personnes victimes de préjugés liés à l'IA peuvent ne jamais s'en rendre compte ;
• Compte tenu du large éventail d'utilisations des systèmes d'IA dans l'ensemble de l'économie, de nombreux cas d'utilisation sensibles ne relèvent pas des régulateurs sectoriels existants ; et
• Il est nécessaire d'établir des normes minimales et de renforcer la coordination et l'expertise afin d'assurer une protection cohérente des Canadiens dans tous les contextes d'utilisation.

La loi est actuellement en cours de discussion et le gouvernement canadien prévoit qu'il faudra environ deux ans pour qu'elle soit adoptée et mise en œuvre. Le document d'accompagnement de l'ACRA identifie six principes fondamentaux, présentés dans le tableau ci-dessous :

En fin de compte, le gouvernement canadien se penche sérieusement sur la manière de réglementer l'utilisation de l'IA à l'échelle nationale. Il y aura de nouveaux mandats et de nouvelles lois à respecter quoi qu'il arrive. Il est donc logique que les entreprises qui font des affaires au Canada ou qui travaillent avec des entreprises canadiennes comprennent les exigences à venir au fur et à mesure que l'ACRA se rapproche de son adoption.

Dernières réflexions : Réglementation de l'IA et gestion des risques liés aux tiers

Les gouvernements du monde entier débattent activement de la manière de réglementer la technologie de l'intelligence artificielle et son développement. Les discussions sur la réglementation se sont jusqu'à présent concentrées sur des cas d'utilisation spécifiques identifiés comme étant potentiellement les plus impactants au niveau sociétal, suggérant que les lois sur l'IA se concentreront sur une combinaison de préoccupations relatives à la vie privée, à la sécurité et à l'ESG.

Les 12 à 18 prochains mois devraient offrir plus de clarté sur la façon dont les organisations du monde entier doivent adapter leurs programmes de gestion des risques de tiers à la technologie de l'IA. Les entreprises intègrent rapidement l'IA dans leurs opérations, et les gouvernements réagiront en conséquence. À ce stade, adopter une approche plus prudente et réfléchie de l'IA dans les opérations et poser des questions aux vendeurs et aux fournisseurs est le bon choix pour les gestionnaires de risques tiers.

Pour en savoir plus sur la façon dont Prevalent intègre les technologies d'IA dans notre plateforme de gestion des risques des tiers afin de garantir la transparence, la gouvernance et la sécurité, téléchargez le livre blanc Comment exploiter la puissance de l'IA dans la gestion des risques des tiers, ou demandez une démonstration dès aujourd'hui.