IA générative : la CNIL recommandée pour la réguler par une commission de l'Assemblée nationale

« seule la CNIL dispose de l'expérience et de l'expertise pour évaluer le respect du RGPD sur l'IAG »

Les députés Philippe Pradal et Stéphane Rambaud ont partagé les conclusions des travaux d'une mission d'information sur les défis de l’intelligence artificielle générative en matière de protection des données personnelles et d’utilisation du contenu généré. Selon le rapport, il est proposé de donner de nouveaux pouvoirs à la CNIL. Le rapport estime que la CNIL apparaît comme la mieux à même de réguler les IAG (intelligence artificielle générative) : « seule la CNIL dispose de l’expertise et de l’expérience nécessaires pour évaluer le respect du RGPD par les modèles d’IAG. Elle a l’habitude de traiter les plaintes des usagers, de les instruire et, si nécessaire, de prononcer des sanctions. Les auditions ont mis en évidence la maturité de la réflexion de la CNIL ».

L’intelligence artificielle générative désigne la capacité des systèmes informatiques à produire du contenu original et pertinent à partir de données existantes, telles que des textes, des images, des sons ou des vidéos. Cette technologie offre de nombreuses possibilités d’innovation, de créativité et d’amélioration de la qualité de vie, mais elle soulève aussi des enjeux éthiques, juridiques et sociétaux importants.

C’est pourquoi la commission des lois de l’Assemblée nationale a mené une mission d’information sur ce sujet, dont le rapport a été présenté le 14 février 2024 par Philippe Pradal et Stéphane Rambaud, députés. Ce rapport fait le point sur les opportunités et les risques de l’IAG, ainsi que sur l’approche européenne et les pistes de régulation proposées par les rapporteurs.

Les motivations

Les députés ont expliqué :

Depuis une année, l’intelligence artificielle générative (IAG) a fait une irruption spectaculaire dans le débat public.

La mise à disposition gratuite au grand public par la société californienne OpenAI de son robot conversationnel (« chatbot ») ChatGPT a fait prendre conscience aux citoyens, aux médias et aux décideurs que la démocratisation de l’IAG en langage naturel allait devenir une réalité incontournable.

La diffusion de l’IAG semble inéluctable et ses usages possibles sont sources de curiosité, d’intérêt et d’espoir pour les uns ; d’inquiétude voire d’angoisse pour les autres.

Ces réactions s’expliquent par le fait que l’IAG – qui est un sous-domaine de l’intelligence artificielle (IA) – a pour caractéristique de produire rapidement des contenus originaux, visuels, sonores ou écrits, parfois grâce à une interface simple n’exigeant pas de compétences informatiques particulières. Parmi eux, les modèles de langage (large language model ou LLM en anglais) permettent de converser dans une langue humaine avec l’IAG.

L’ensemble de ces systèmes reposent sur des modèles mathématiques statistiques, qui identifient la réponse la plus probable à l’injonction donnée : « Un LLM "prédit" le résultat (en l’occurrence le mot suivant) le plus vraisemblable au vu de la distribution statistique des données d’entraînement ».

Des modèles qui ne sont pas infaillibles

Ces modèles ne sont donc pas infaillibles, en particulier lorsque le nombre de données dont ils disposent sur une question est limité. Ils tendent alors à donner une réponse probable, voire plausible, mais qui peut être factuellement erronée. On parle alors « d’hallucination ».

Ces systèmes peuvent aussi être utilisés de manière détournée, ce qui conduit les concepteurs d’IAG à « brider » certaines de leurs fonctionnalités afin d’empêcher qu’elles puissent produire des contenus offensant ou dangereux.

L’IAG soulève, pour une grande partie, les mêmes enjeux que l’IA dans son ensemble, tout en renouvelant certaines problématiques et en en posant de nouvelles.

D’emblée, des interrogations sont apparues sur la conformité de ChatGPT au règlement européen sur la protection des données (RGPD). L’homologue italien de la commission nationale de l’informatique et des libertés (CNIL) a ainsi bloqué, le 31 mars 2023, l’accès au robot conversationnel, avant de l’autoriser à nouveau le 28 avril de la même année sous réserve que la société OpenAI poursuive ses efforts pour appliquer la législation européenne sur la protection des données.

Ce sujet relève directement de la compétence de la commission des Lois. C’est la raison pour laquelle, dès le 3 mai 2023, le bureau de notre commission a souhaité créer une mission d’information sur les défis de l’intelligence artificielle générative en matière de protection des données personnelles et d’utilisation du contenu généré.

De nombreuses questions

L’utilisation du contenu généré, au même titre que la protection des données, suscite également de nombreuses questions, notamment en matière de responsabilité civile, voire pénale – deux domaines qui relèvent également de la commission des Lois.

Il en est de même du respect des libertés fondamentales, un sujet de préoccupation important pour l’IA en général et l’IAG en particulier, au regard de son utilisation potentielle en matière de manipulation de l’information ou dans le cadre de campagnes électorales, par exemple.

Pour autant, certains sujets n’ont pu être éludés compte tenu de leur caractère transversal (droit d’auteurs, manipulation de l’information, utilisation de l’IAG dans le domaine de la santé ou de l’éducation). Pour ces raisons, vos rapporteurs ont été conduits ponctuellement à formuler des appréciations plus générales.

Vos rapporteurs ont conscience que les discussions sur l’IAG ne font que débuter et que leurs travaux n’épuiseront pas le sujet. Leur rapport constitue une première contribution parlementaire à ce débat. Les travaux complémentaires d’autres commissions permanentes seront précieux pour approfondir et nourrir la réflexion du Parlement.


Les opportunités et les risques de l’IAG

Les opportunités de l'IAG

L’IAG représente une nouvelle étape de la révolution numérique, qui permet de dépasser la simple analyse des données pour créer de la valeur ajoutée. Elle peut avoir des applications bénéfiques dans de nombreux domaines, tels que :

• la santé, où l’IAG peut contribuer à la recherche médicale, au diagnostic, à la prévention ou au suivi des patients ;
• l’éducation, où l’IAG peut faciliter l’apprentissage personnalisé, l’adaptation aux besoins des élèves ou la formation continue ;
• la culture, où l’IAG peut stimuler la créativité artistique, la diversité culturelle ou la préservation du patrimoine ;
• l’économie, où l’IAG peut accroître la productivité, l’efficacité ou la compétitivité des entreprises ;
• la communication, où l’IAG peut améliorer l’accessibilité, la traduction ou la diffusion de l’information.

Les risques de l’IAG

L’IAG pose également des défis majeurs pour la protection des droits fondamentaux, la sécurité et la cohésion sociale. Elle peut en effet entraîner des risques individuels ou collectifs, tels que :

• les risques pour la vie privée, si l’IAG utilise ou génère des données personnelles sans le consentement ou le contrôle des personnes concernées ;
• les risques de non confidentialité ou de fuite de données, si l’IAG n’assure pas la sécurité ou l’intégrité des données traitées ou produites ;
• le risque de biais et d’influences extérieures, si l’IAG reproduit ou amplifie des discriminations, des stéréotypes ou des manipulations ;
• les risques d’erreur et d’hallucination, si l’IAG produit du contenu erroné, incohérent ou trompeur ;
• le risque de tromperie, si l’IAG crée du contenu indiscernable de la réalité, comme les deepfakes ou les faux textes ;
• le risque de fraude à l’IAG, si l’IAG est utilisée à des fins illicites, comme le plagiat, la contrefaçon ou l’usurpation d’identité.

L’approche européenne, une réponse axée sur la régulation par les risques et la confiance

Face à ces enjeux, l’Union européenne a adopté une stratégie ambitieuse pour promouvoir une intelligence artificielle de confiance, respectueuse des valeurs et des droits fondamentaux. Cette stratégie repose sur plusieurs piliers :

• un cadre juridique déjà contraignant, qui s’applique à l’IAG, notamment le règlement général sur la protection des données (RGPD), le digital market act (DMA) et le digital services act (DSA) ;
• un projet de règlement sur l’intelligence artificielle, qui vise à instaurer des règles spécifiques et proportionnées selon le niveau de risque des systèmes d’IAG, allant de l’interdiction à la surveillance en passant par l’obligation de transparence ;
• un data act, qui doit favoriser le partage et l’utilisation des données dans le respect des droits des personnes et des entreprises ;
• un soutien à la recherche, à l’innovation et à la compétitivité, à travers des programmes de financement, de formation et de coopération.

Les pistes de régulation proposées par les rapporteurs

Les rapporteurs saluent l’approche européenne, qu’ils jugent globalement pertinente et équilibrée, mais ils formulent également des propositions complémentaires pour renforcer la régulation de l’IAG, notamment :

• le contrôle ex ante : la certification et le marquage des contenus. La solution la plus efficace en matière de régulation consisterait à certifier ex ante les modèles et les applications d’intelligence artificielle souhaitant proposer leurs services sur le marché européen. Cette certification pourrait soit conditionner l’accès au marché intérieur, soit faire office de label visant à orienter l’utilisateur vers les IA les plus vertueuses, ce qui serait moins contraignant pour les fournisseurs, mais aussi moins efficace au regard du but poursuivi.
• Le contrôle ex post : le traitement des plaintes et un régime de sanction. Il consiste à identifier, corriger et sanctionner les dysfonctionnements des IAG selon un système de contrôle ex post ciblant certains acteurs en fonction des signalements reçus. Ce contrôle pourrait notamment porter sur les jeux de données utilisés pour entraîner le modèle – en particulier l’exploitation de données personnelles ou de données soumises au droit d’auteur – et sur le fonctionnement du modèle ou de ses applications (recherche de biais, vérification des filtres, etc.).
• Un système de régulation qui exige des compétences élevées. La régulation de l’IA exige une expertise juridique, mais aussi technique pour en comprendre les enjeux et être en capacité de dialoguer avec les acteurs du secteur et d’expertiser leurs systèmes.
• renforcer la responsabilité des acteurs de l’IAG, en clarifiant les obligations et les sanctions applicables en cas de manquement. Le rapport indique : « Afin de faire respecter ces règles par l’ensemble des entreprises intervenant sur le marché numérique européen, un régime de sanctions pourrait être mis en place, s’inspirant là encore du mécanisme prévu par le RGPD. Ces sanctions financières pourraient être assorties, à titre provisoire ou définitif, de la fermeture ou de la suspension de l’accès des utilisateurs aux services proposés lorsque ces derniers ne respectent pas les règles prévues. Ces sanctions auraient également des répercussions sur la réputation des entreprises ciblées, et inciteraient les fournisseurs à se conformer au plus vite au droit européen »;
• sensibiliser et former les utilisateurs et les citoyens à l’IAG, en développant des programmes éducatifs, des campagnes d’information ou des outils de vérification ;
• encourager l’auto-régulation et la co-régulation de l’IAG, en soutenant les initiatives des acteurs privés, des associations ou des autorités indépendantes ;
• développer une coopération internationale sur l’IAG, en promouvant des normes et des principes communs avec les partenaires stratégiques de l’Union européenne.

La CNIL apparaît comme la mieux à même de réguler les IAG

La réglementation européenne à venir va mettre en œuvre différents mécanismes de régulation. Selon les rapporteurs, cette régulation devrait être confiée, comme c’est habituellement le cas, à des autorités indépendantes. Le rapport note que plusieurs autorités peuvent se considérer comme compétente au regard des enjeux concernés, en particulier la CNIL en ce qui concerne la protection des données personnelles et l’Autorité de régulation de la communication audiovisuelle et numérique (ARCOM) en ce qui concerne la régulation des plateformes.

Conclusion

Les rapporteurs appellent à une régulation de l’IAG qui soit à la fois protectrice et prospective, qui prévienne les risques sans brider les opportunités, et qui associe les pouvoirs publics, les acteurs privés et la société civile. Ils estiment que l’IAG doit être mise au service de l’intérêt général, de la démocratie et de la souveraineté européenne.

Source : assemblée nationale

Et vous ?

Quelles sont les applications de l’IAG qui vous semblent les plus utiles ou les plus intéressantes ?
Quels sont les risques de l’IAG qui vous inquiètent le plus ou qui vous semblent les plus difficiles à prévenir ?
Quelles sont les règles ou les principes que vous jugez indispensables pour encadrer l’utilisation de l’IAG ?
Quel est votre avis sur l’approche européenne de la régulation de l’IAG ? La trouvez-vous suffisante, excessive ou insuffisante ?
Quel est le rôle des citoyens et des utilisateurs dans la gouvernance de l’IAG ? Comment peuvent-ils s’informer, se former ou participer aux décisions ?