Règlement européen sur l’IA : première réglementation au monde des usages d’IA

De nombreux travaux ont été menés ces dernières années afin de réguler l’usage de l’IA : recommandations de l’Organisation de coopération et de développement économiques (OCDE) en 2019, de l’OMS en octobre 2023 sur les aspects réglementaires pour le secteur de la santé ou encore le code de conduite sur l’IA (processus d’Hiroshima) du G7, également en octobre 2023.

Aujourd’hui, et alors que le règlement sur l’EEDS régule l’exploitation des données (voir ci-contre), le projet de règlement européen sur l’IA s’attache à structurer et coordonner les usages des systèmes d’IA pour en maximiser les avantages. Il entrera en vigueur de façon progressive de juin 2024 à juin 2027. Notons que le cadre juridique européen qui émerge fait en bonne partie suite aux travaux menés dans le cadre de la révision de la loi de bioéthique française, à laquelle l’Ordre avait pris toute sa part. Ce règlement apparaît comme novateur puisqu’il propose de réguler les usages et les risques qui découlent de l’utilisation de l’IA plutôt que sa technologie ; il définit des règles harmonisées pour le développement, la mise sur le marché et l’utilisation des systèmes d’IA avec pour objectifs de :

• veiller à la sécurité des systèmes d’IA mis sur le marché de l’Union et à leur respect des droits fondamentaux ;
• garantir la sécurité juridique pour faciliter les investis­sements et l’innovation dans le domaine de l’IA ;
• renforcer la gouvernance et l’application effective de la législation existante en matière de droits fondamentaux et d’exigences de sécurité applicables aux systèmes d’IA ;
• faciliter le développement d’un marché unique pour des applications d’IA légales, sûres et dignes de confiance.

Définir les contours de l’utilisation de l’IA

Le 21 mai 2024, le texte final du règlement européen sur l’intelligence artificielle (IA Act) a été adopté par le Conseil de l’Union européenne (UE). Il aura la même force opposable que le RGPD, avec un régime de sanction financière allant de 2 à 7 % du chiffre d’affaires mondial en cas d’infraction.

Le niveau de réglementation à respecter pour un système d’IA dépendra du domaine d’application des solutions : usage général à risque limité, risque élevé, risque inacceptable…

• Certaines utilisations de l’IA seront interdites, comme des solutions introduisant une « notation sociale⁽⁸⁾ », ou encore une manipulation du comportement humain pour contourner le libre arbitre… « Certaines exigences du règlement européen sur l’intelligence artificielle rejoignent celles du RGPD, d’autres pourront rendre difficile en pratique l’application des principes liés à la protection des données personnelles, comme le principe de minimisation des données, précise Jeanne Bossi­Malafosse, avocate spécialiste des données personnelles. À cet égard, la Commission européenne prévoit de publier régulièrement des “guidelines” qui nous aideront notamment à classifier les systèmes d’IA. »
• Pour les applications en santé classées parmi les systèmes à risque élevé⁽⁹⁾, le concepteur est ainsi tenu de mener des actions obligatoires sur la collecte et la protection des données, leur qualité, la traçabilité (enregistrement dans la base de données créée par le règlement), l’information du patient sur l’usage de l’IA dans son parcours, le contrôle humain, ou encore d’établir la documentation technique nécessaire du système d’IA, d’apposer le marquage de conformité CE requis. S’y ajoutent des impératifs de cybersécurité, de prise en compte d’incidents graves et des règles de transparence dans la gestion des systèmes. « Cette transparence n’empêchera pas un certain effet “boîte noire” des systèmes d’IA les plus évolutifs, mais ceux-ci devront alors avoir une garantie humaine plus soutenue que les autres », note David Gruson, fondateur de Ethik-IA (voir p. 14). C’est pour cela que le HDH a créé une bibliothèque ouverte d’algorithmes en santé (BOAS). Les applications concernées sont par exemple : l’identification biométrique, la priorisation des appels et interventions d’urgence sanitaire et l’évaluation de l’éligibilité des personnes physiques aux prestations et services d’aide sociale et de santé.
• Quant aux systèmes d’IA générative à risque limité⁽¹⁰⁾, ils devront se conformer à une exigence accrue de transparence : indiquer que le contenu a été généré par l’IA, concevoir le modèle pour l’empêcher de générer du contenu illégal, publier le résumé du corpus de données utilisées pour la formation de l’algorithme (notamment pour protéger les droits d’auteur).

Une garantie humaine dans l’IA en santé

La garantie humaine (GH) sera un principe important pour améliorer les systèmes d’intelligence artificielle (IA) en santé. Les actions correctives peuvent porter sur le dispositif algorithmique lui-même, mais aussi sur les pratiques d’utilisation ou sur le contexte organisationnel d’utilisation de cette IA, avec un dialogue collégial impliquant les professionnels de santé, les représentants de patients et les concepteurs de solutions. « Dans nos formations, on voit que la biologie et la pharmacie ont déjà, dans leur pratique professionnelle de pharmacovigilance et de matériovigilance, des réflexes qui rendent facilement adaptables ces notions de qualité, de gestion de risque, de conformité, de garantie humaine de l’IA en pharmacie », indique David Gruson, fondateur d’Ethik-IA. Le niveau de contrôle dépendra du fonctionnement d’un système d’IA, du bénéfice-­risque qu’il embarque pour les patients et de la complexité du modèle algorithmique. Il faut adapter les écosystèmes de garantie humaine à la diversité des situations et des solutions. Aux professionnels de santé de prendre ce sujet à bras-le-corps, au risque que ce soient les start-ups qui décident, ou qu’elles se voient imposer des mécanismes de régulation possiblement conçus hors d’Europe.

Les professionnels de santé parties prenantes

Le premier cas d’application de garantie humaine à un système d’IA a été mis en place sous l’égide de l’Union française pour la santé bucco-dentaire pour la solution Dental Monitoring (détection avec un smartphone du risque carieux, inflammatoire ou de déchaussement dentaire déclenchant, ou non, l’intervention d’un chirurgien-dentiste). Dans ce cas précis, un collège de « réviseurs » chirurgiens-­dentistes indépendants, de professionnels des établissements concernés et de représentants de patients revoit tous les trois mois une trentaine de dossiers aléatoires ou sur détection d’événements indésirables pour vérifier cette solution d’IA.

« De nombreuses publications interviennent aujourd’hui pour commenter déjà le règlement sur l’IA. Si dans certains cas, c’est utile, il convient de rester prudent et d’attendre les premières applications concrètes du texte. À cet égard, les recommandations de la CNIL, publiées le 8 avril dernier après un temps de concertation publique, constituent déjà une aide précieuse, car elles associent l’application du règlement sur l’IA et le RGPD. Mais on voit bien que même l’autorité de protection a besoin de recul et de temps pour apprécier les conséquences de l’entrée en application du texte, à l’égal de ses homologues européennes, précise Jeanne Bossi-Malafosse, en conclusion. Le cadre européen de l’IA prévoit une application progressive et les autorités européennes, comme nationales, ne laisseront pas les acteurs seuls. »

Quelle responsabilité du pharmacien en tant qu’utilisateur d’un système d’IA ?

« L’opérateur d’un système d’IA à risque élevé est objectivement responsable de tout préjudice ou de tout dommage causé par une activité, un dispositif ou un procédé physique ou virtuel piloté par un système d’IA », stipule la résolution 2020/2014 du Parlement européen. Mais qui est cet « opérateur » ?

« Il faut distinguer la responsabilité civile juridique de la question de la conformité, note David Gruson. En cas de dommage causé par l’usage normal du système d’IA dans la prise en charge ou la gestion du risque médicamenteux, par exemple, le cadrage classique de responsabilité civile s’applique : ”Est responsable celui qui a la maîtrise du processus de soins, c’est-à-dire le professionnel de santé, le médecin ou le pharmacien (ou son assureur pour les professionnels de ville), ou bien le directeur de l’hôpital (ou son assureur) en établissement ». À ce régime se substitue la responsabilité du concepteur en cas de dysfonction du système d’IA, dans le cadre du régime de responsabilité du fait des produits défectueux. « Ce cadre classique s’applique assez bien à la plupart des cas de recours à l’IA, mais moins bien aux systèmes d’IA auto-apprenants et à l’IA générative », complète David Gruson. Car le concepteur du dispositif médical ou d’un système d’IA peut échapper à sa responsabilité en cas de dysfonction de la machine, si ce risque ne pouvait pas être anticipé au regard des connaissances scientifiques disponibles au moment de la mise sur le marché (risque de développement). C’est pourquoi l’Europe a lancé un chantier sur des règles de responsabilité qui s’appliqueront à ces systèmes, par une nouvelle clé : « Soit le concepteur pourra attester d’un système de garantie humaine effectif, traçable et proportionnel, auquel cas la charge de la faute reposera sur le soignant, soit il ne pourra pas le faire et une présomption de responsabilité pèsera sur lui », conclut-il.

(8) Système de classement basé sur le comportement social ou les caractéristiques personnelles des individus.
(9) Les applications considérées comme à haut risque sont celles qui ont le potentiel de causer des dommages importants à la santé, à la sécurité ou aux droits fondamentaux des individus, et qui répondent à certains critères spécifiques définis par le règlement.
(10) Risques liés à un manque de transparence dans l’utilisation de l’IA.