Un cadre pour la gouvernance de l'IA aux États-Unis : Créer un secteur de l'IA sûr et prospère

En consultation avec le comité ad hoc sur la réglementation de l'IA

I. OBJECTIFS

La présente note d'orientation est motivée par deux objectifs :

• Maintenir le leadership des États-Unis en matière d'IA - qui est vital pour le progrès économique et la sécurité nationale - tout en reconnaissant que l'IA, si elle n'est pas correctement supervisée, pourrait avoir des effets néfastes importants sur la société (notamment en compromettant les intérêts économiques et de sécurité nationale).
• Réaliser un déploiement largement bénéfique de l'IA dans un large éventail de domaines. Pour que l'IA soit bénéfique, il faut donner la priorité à la sécurité (contre les dangers tels que les "deep fakes", à la vie privée et à l'autonomie des individus (en empêchant les abus tels que la surveillance et la manipulation excessives), à la sécurité (en minimisant les risques créés par le déploiement de l'IA, en particulier dans les domaines déjà réglementés tels que la santé, le droit et la finance), à la prospérité partagée (en déployant l'IA de manière à créer des opportunités et des gains largement accessibles grâce à l'IA) et aux valeurs démocratiques et civiques (en déployant l'IA de manière à ce qu'elle soit conforme aux normes sociétales).

II. PRINCIPES FONDAMENTAUX

En gardant ces objectifs à l'esprit, nous proposons la discussion et les conseils suivants sur la manière dont la gouvernance de l'IA pourrait être mise en œuvre. Il est important de soumettre les systèmes d'IA à une combinaison de réglementation et de droit de la responsabilité pour garantir que l'IA est développée et déployée de manière à faciliter ses utilisations bénéfiques aujourd'hui et à long terme. Les utilisateurs (et le grand public) devraient avoir une idée claire de ce qu'ils obtiennent (et n'obtiennent pas) d'un système d'IA, et devraient être en mesure d'avoir confiance en cette compréhension grâce à des mécanismes tels que les relations contractuelles, les divulgations et les audits.

Pour y parvenir :

• Les normes, les réglementations et les institutions qui façonnent l'IA doivent évoluer en même temps qu'elle. La technologie ayant tendance à évoluer rapidement, les approches existantes en matière de surveillance ou de réglementation doivent être étendues, dans la mesure du possible, afin d'aligner l'IA sur les normes et les lois actuelles (contrairement aux approches de novo en matière de réglementation de l'IA, telles que celles poursuivies dans l'UE).
• En d'autres termes, la première étape de la gouvernance de l'IA devrait consister à s'assurer que les réglementations actuelles s'appliquent à l'IA, dans la mesure du possible. Si l'activité humaine sans l'utilisation de l'IA est réglementée, l'utilisation de l'IA devrait l'être également. Le développement, la vente et l'utilisation de systèmes d'IA devraient, dans la mesure du possible, être régis par les mêmes normes et procédures que les humains agissant sans IA dans les domaines d'application de l'IA (par exemple, les soins de santé, le droit, l'embauche et la finance). Entre autres choses, cela garantira intrinsèquement que de nombreuses applications de l'IA présentant un risque plus élevé sont couvertes, étant donné qu'il s'agit de domaines pour lesquels des lois et des règlements ont déjà été élaborés. (L'une des questions sera de savoir comment traiter les lois qui reposent sur l'"intention". À l'heure actuelle, l'IA n'a pas d'intention, mais ceux qui la développent et l'utilisent peuvent en avoir une). Cette approche consistant à appliquer les lois existantes empêchera également les systèmes d'IA d'être utilisés pour contourner les réglementations existantes. Ce type d'approche est déjà utilisé dans certains domaines ; par exemple, les véhicules autonomes sont soumis aux mêmes normes que ceux conduits par des humains. (L'IA à usage général, comme le GPT-4, ou les chatbots construits sur cette base, comme le ChatGPT, sont traités plus loin).
• Cette approche consistant à étendre les cadres juridiques actuels aux activités impliquant l'IA devrait également s'appliquer aux activités entreprises par les gouvernements, y compris le maintien de l'ordre, la fixation des cautions, l'embauche, etc.
• En général, les lois et réglementations relatives à l'IA devraient être promulguées et appliquées par la ou les mêmes entités que celles qui régissent les actions humaines sans IA dans le même domaine. Cela peut nécessiter que ces entités acquièrent une certaine expertise en matière d'IA, comme nous le verrons plus loin.
• Au fur et à mesure que les lois et les règles relatives à l'IA se développent, les différences entre les capacités de l'IA et celles de l'homme peuvent être prises en compte. L'IA aura des capacités que les humains n'ont pas, par exemple
  par exemple, pour trouver des modèles ou prendre en compte des propositions contre-factuelles. Cela peut justifier que l'utilisation de l'IA à certaines fins soit soumise à des normes plus strictes que celles appliquées aux humains agissant sans IA.
• Pour que l'approche décrite dans cette section soit couronnée de succès, les fournisseurs de systèmes d'IA devraient être tenus d'identifier le(s) but(s) visé(s) par un système d'IA avant son déploiement. Les organismes de réglementation pourraient publier des orientations ou des règles définissant la manière dont les utilisations prévues doivent être décrites et/ou les tribunaux pourraient développer une jurisprudence définissant quelles divulgations de l'usage prévu sont adéquates pour satisfaire des objectifs particuliers. Cette dernière solution, tout en laissant plus d'ambiguïté et de risques, pourrait permettre aux fournisseurs d'IA et à leurs clients de déterminer quels types d'informations sont nécessaires, et pourrait laisser plus de souplesse au fur et à mesure de l'évolution de l'IA. Mais cela ne fonctionnera que si des mesures sont prises pour garantir que ceux qui achètent et utilisent l'IA ont la capacité d'imposer des exigences efficaces aux fournisseurs d'IA et peuvent être sûrs que toutes les conditions contractuelles qu'ils négocient seront applicables. En outre, l'approche plus ouverte peut être plus appropriée pour certaines utilisations de l'IA que pour d'autres. Différents États pourraient également expérimenter différentes approches dans des domaines d'application qui sont réglementés au niveau de l'État.
• Il est important (mais difficile) de définir ce qu'est l'IA, mais cela est souvent nécessaire pour déterminer quels systèmes seraient soumis à des régimes de réglementation et de responsabilité. L'approche la plus efficace pourrait consister à définir les systèmes d'IA en fonction de ce que fait la technologie, par exemple "toute technologie permettant de prendre des décisions ou de formuler des recommandations, ou de générer du contenu (y compris du texte, des images, de la vidéo ou du son)". Cela peut poser moins de problèmes que de fonder une définition sur les caractéristiques de la technologie, telles que "semblable à l'homme", ou sur des aspects techniques tels que "grand modèle de langage" ou "modèle de fondation" - des termes qui sont difficiles à définir ou qui sont susceptibles d'évoluer avec le temps ou de devenir obsolètes. En outre, les approches fondées sur des définitions de ce que fait la technologie sont plus susceptibles de s'aligner sur l'approche consistant à étendre les lois et règles existantes aux activités qui incluent l'IA.
• Les régimes d'audit devraient être élaborés dans le cadre de l'approche décrite ci-dessus. Pour être efficace, l'audit doit reposer sur des principes qui précisent des aspects tels que les objectifs de l'audit (c'est-à-dire ce qu'un audit est conçu pour apprendre sur un système d'IA, par exemple si ses résultats sont biaisés d'une manière ou d'une autre, s'il génère des informations erronées et/ou s'il peut être utilisé de manière non intentionnelle) et les informations à utiliser pour atteindre ces objectifs (c'est-à-dire les types de données qui seront utilisées lors d'un audit).
  
  Un "écosystème" d'audit efficace pourrait se développer de plusieurs manières (qui ne s'excluent pas nécessairement les unes les autres). Pour certaines utilisations, le gouvernement (fédéral, étatique ou local) pourrait exiger qu'un audit soit réalisé (par un fournisseur, une entité réglementaire et/ou un utilisateur) avant et/ou après le déploiement d'un système, en particulier pour les utilisations à haut risque telles que les domaines d'application déjà réglementés (par exemple, les soins de santé). Un système peut aussi se développer de manière plus organique, les utilisateurs exigeant des audits ou les réalisant (avant ou après le déploiement), et les tribunaux évaluant plus sévèrement la responsabilité lorsqu'un système d'IA ne fonctionne pas comme prévu ou enfreint une réglementation, et qu'aucun audit approprié n'a été réalisé. Les audits pourraient être effectués par des tiers, par des utilisateurs ou par le gouvernement. Tout audit devrait protéger la propriété intellectuelle du fournisseur du système d'IA et de l'utilisateur.
  
  Les audits peuvent être facilement manipulés pour ne pas révéler des problèmes existants ou, à l'inverse, pour suggérer que quelque chose pose problème alors que ce n'est pas le cas. Il faudra donc élaborer des normes publiques en matière d'audit. Ces normes pourraient être établies par une entité à but non lucratif, par exemple une entité analogue au Public Company Accounting Oversight Board (PCAOB), ou par (ou avec) une entité fédérale comme le National Institute of Standards and Technology (NIST).
• Il est important de comprendre les limites et les exigences des différents types d'audits. Par exemple, les audits prospectifs permettent de tester un système avant qu'il ne soit utilisé, ce qui peut être utile dans les environnements à haut risque. Cependant, la distribution des données lors de ces tests a priori peut être très différente de celle rencontrée lors de l'utilisation réelle (par exemple, un audit d'un système d'intelligence artificielle qui sera utilisé pour identifier les bons candidats à l'emploi peut utiliser une distribution de candidats différente de celle qui apparaîtra dans le pool réel de candidats). Les audits rétrospectifs, en revanche, peuvent nécessiter l'accès à des informations confidentielles pour l'organisation faisant l'objet de l'audit, de sorte qu'il sera important d'établir des lignes directrices claires et de définir les responsabilités en matière de confidentialité des données.
• L'"explicabilité", c'est-à-dire l'explication automatisée de la manière dont un système d'IA est parvenu à une conclusion ou a généré un résultat, qui soit à la fois précise et compréhensible pour l'homme, n'est pas possible actuellement et ne le sera peut-être jamais. Mais les systèmes d'IA peuvent et doivent être plus interprétables, c'est-à-dire qu'ils doivent donner une idée des facteurs qui ont influencé une recommandation ou des données qui ont été utilisées pour une réponse. L'amélioration de l'interprétabilité doit être encouragée par des moyens qui ne sont pas très normatifs en ce qui concerne la technologie, car les méthodes continueront d'évoluer rapidement. Le gouvernement pourrait encourager une plus grande interprétabilité par le biais d'un système réglementaire qui impose davantage d'exigences aux systèmes d'IA qui sont moins susceptibles d'être interprétés, ou les tribunaux pourraient élaborer un régime de responsabilité plus sévère pour de tels systèmes.
• Les données d'apprentissage jouent un rôle central dans de nombreux systèmes d'IA. De nombreuses sources de données, en particulier celles provenant de l'internet public, contiennent des inexactitudes, des biais, des divulgations involontaires d'informations privées et divers défauts contre lesquels les systèmes d'IA devraient être conçus pour se prémunir. Des déclarations claires sur les résultats escomptés pour les systèmes d'IA, ainsi que des mécanismes tels que les tests, le contrôle et l'audit (à la fois pour des domaines d'application spécifiques et pour une utilisation générale) sont importants, en partie, pour limiter les problèmes qui peuvent découler de problèmes dans les données d'apprentissage.

III. PILES D'IA POUR DES APPLICATIONS SPÉCIFIQUES

• Il est important de reconnaître que les systèmes d'IA seront souvent construits "au-dessus" les uns des autres ; par exemple, un système à usage général comme GPT-4 peut être à la base d'un autre système utilisé pour l'embauche. Nous considérons qu'il s'agit d'une "pile d'IA" comprenant...