Loi-cadre sur l’IA

Cette loi a instauré une structure intégrée de gestion des politiques nationales et des normes réglementaires relatives à l’intelligence artificielle. Elle prévoit notamment la création d’un Comité national de stratégie en matière d’intelligence artificielle, présidé par le président de la République de Corée, ainsi que l’élaboration d’un plan directeur tous les 3 ans.

L’objectif consiste à réunir dans un cadre unique les politiques et réglementations auparavant réparties entre différents ministères afin d’en assurer la cohérence.

Pour les entreprises, cela signifie que des critères plus précis sont établis, tandis que leur responsabilité juridique quant au respect de ces critères est formalisée.

Cette loi ne privilégie pas une réglementation inconditionnelle, mais adopte un modèle équilibré associant des politiques de promotion du secteur, notamment le soutien à la recherche et au développement (R&D), la mise en place d’un cadre d’expérimentation et la constitution de données d’entraînement.

Les entreprises peuvent ainsi bénéficier de mesures publiques de soutien, mais elles sont susceptibles d’engager leur responsabilité juridique lorsqu’elles utilisent une intelligence artificielle dont la sécurité et la fiabilité ne sont pas assurées.

Les principales règles ayant une incidence directe sur les pratiques des entreprises sont l’obligation d’assurer la transparence, l’obligation d’assurer la sécurité et les responsabilités des opérateurs de systèmes d’IA à fort impact prévues par la loi-cadre sur l’intelligence artificielle.

Ces règles étant progressivement précisées par les textes d’application et les lignes directrices, une préparation anticipée conforme à la structure des dispositions légales est importante.

Obligation d’assurer la transparence de l’intelligence artificielle (article 31)

Obligation d’assurer la sécurité de l’intelligence artificielle (article 32)

Responsabilités des opérateurs de systèmes d’IA à fort impact (article 34)

La loi-cadre sur l’intelligence artificielle définit l’intelligence artificielle à fort impact comme suit.

Qu’est-ce que l’intelligence artificielle à fort impact ? (article 2 de la loi-cadre sur l’intelligence artificielle)

Il convient donc d’examiner également si les fonctionnalités d’IA de l’entreprise exercent une « influence substantielle » sur le processus décisionnel essentiel du domaine concerné.

Une vigilance particulière s’impose lorsque des évaluations, classifications ou décisions automatisées sont effectuées dans des secteurs essentiels tels que le recrutement et la gestion du personnel, les services financiers, les soins de santé ou l’énergie.

L’étendue des obligations applicables peut varier selon que l’intelligence artificielle prend une décision définitive sans intervention humaine ou qu’une personne peut examiner, modifier ou interrompre cette décision.

Les entreprises doivent donc envisager, dès la conception du système d’intelligence artificielle, un processus opérationnel garantissant la possibilité d’un contrôle humain.

Les entreprises qui exploitent une intelligence artificielle à fort impact doivent mettre en place un système de gestion des risques couvrant l’ensemble du cycle de vie de l’intelligence artificielle et informer clairement les utilisateurs du recours à celle-ci ainsi que des fondements de ses décisions.

Elles doivent également instaurer des mesures de protection concrètes, notamment la prévention des biais algorithmiques, une procédure de réparation des préjudices, une supervision humaine et un mécanisme d’arrêt d’urgence. Ces mesures doivent être consignées et conservées dans des documents relatifs à la sécurité et à la fiabilité.

La loi-cadre sur l’intelligence artificielle est généralement présentée comme privilégiant des mécanismes de contrôle administratif, tels que les ordres de cessation des manquements et les injonctions de mise en conformité prononcés à l’issue d’une enquête, plutôt que des sanctions pénales.

En particulier, l’absence d’information sur l’utilisation d’une intelligence artificielle à fort impact ou générative, ainsi que le non-respect des obligations de gestion prévues par la loi, peuvent donner lieu à une injonction de mise en conformité, à une enquête factuelle ou à une sanction administrative.

Principaux types de manquements et montant des amendes administratives

Au-delà de la mesure administrative elle-même, l’entreprise doit notamment établir les faits, produire les documents demandés et exécuter les injonctions visant à améliorer ses procédures internes. Les coûts liés aux enquêtes et aux mesures correctives peuvent ainsi devenir un risque de gestion pour l’entreprise.

Lorsqu’une décision biaisée ou une erreur de l’intelligence artificielle porte atteinte aux droits fondamentaux d’un utilisateur ou entraîne un manquement aux obligations de protection des données personnelles, l’entreprise peut faire l’objet d’une demande de dommages-intérêts.

Le respect de la loi-cadre sur l’intelligence artificielle peut également constituer un critère important pour apprécier la négligence de l’entreprise. En cas de controverse éthique, celle-ci peut en outre subir une atteinte durable à sa réputation et à la valeur de sa marque.

Un seul incident impliquant une intelligence artificielle peut notamment provoquer une aggravation rapide des risques externes liés à l’éthique, à la discrimination et à la sécurité.

Il convient donc d’intégrer aux produits, aux services et aux politiques opérationnelles des mécanismes de confiance tels que l’information des utilisateurs, l’explicabilité, la réparation des préjudices et la supervision humaine.

Les entreprises qui ignorent que leurs propres systèmes ou des solutions externes intègrent une intelligence artificielle doivent d’abord recenser les usages de celle-ci en établissant un inventaire interne des systèmes d’IA.

À ce stade, il est essentiel de déterminer l’incidence de l’intelligence artificielle sur la structure décisionnelle de l’entreprise ainsi que sur les droits et les possibilités de ses clients.

Les entreprises qui étendent leur utilisation de l’intelligence artificielle ou préparent le lancement d’un nouveau service doivent concevoir un dispositif de conformité à l’échelle de l’entreprise, en coopération avec les services juridique, informatique, des ressources humaines et de la sécurité.

Il est important de vérifier préalablement si le système relève de l’intelligence artificielle à fort impact et d’intégrer aux règles internes la gestion des résultats produits par l’IA générative, les critères d’utilisation des données et les procédures d’intervention humaine.

Lorsque des réclamations ou des incidents liés à l’intelligence artificielle ont déjà été signalés, ou qu’une enquête de l’autorité de contrôle est envisagée, une réponse structurée visant à limiter le niveau des sanctions est nécessaire. Elle suppose de vérifier la possibilité de bénéficier d’un report réglementaire et la documentation des mesures prises pour assurer la sécurité.

À long terme, il convient de dépasser les mesures ponctuelles et de mettre en place une gouvernance durable de l’intelligence artificielle grâce à des formations régulières à l’éthique, au suivi de la dégradation des performances des modèles et à un dispositif d’adaptation aux modifications des lois et des lignes directrices.

Le Cabinet d’avocats Daeryun évalue si les systèmes d’intelligence artificielle d’une entreprise relèvent de l’IA à fort impact et fournit des conseils dès la conception de leur architecture afin de permettre la maîtrise des risques juridiques.

En prévision d’une enquête factuelle, d’une injonction de mise en conformité ou d’une éventuelle sanction administrative de l’autorité de contrôle, le cabinet organise de manière structurée les éléments permettant d’établir l’exécution des obligations de l’entreprise et élabore une stratégie de réponse à l’enquête ainsi qu’une argumentation juridique de défense.

Au-delà d’une réponse réglementaire à court terme, le cabinet accompagne la stabilité du développement de l’entreprise en intégrant les normes éthiques relatives à l’intelligence artificielle, en perfectionnant le système de gestion des risques et en assurant un suivi continu des évolutions législatives et des lignes directrices.

Le Cabinet d’avocats Daeryun a créé un groupe IA et intelligence des données composé de 4 départements : ▲ département conformité en matière d’IA ▲ département stratégie d’IA verticale ▲ département cybersécurité & gestion de crise ▲ département analyse forensique numérique & e-discovery. Cette organisation traite de manière intégrée les risques juridiques liés à l’intelligence artificielle.

Ces départements assurent une assistance coordonnée couvrant l’examen de la conformité lors de l’adoption et de l’exploitation de l’intelligence artificielle, la conception de stratégies d’IA adaptées aux caractéristiques de chaque secteur, la réponse aux incidents de cybersécurité, l’analyse des preuves électroniques et l’examen de grands volumes de données.

Ils aident ainsi les entreprises à répondre concrètement aux litiges complexes et à l’environnement réglementaire de l’intelligence artificielle, qui associent des enjeux technologiques, juridiques et liés aux données.

La mise en conformité avec la loi-cadre sur l’IA peut représenter une possibilité de développement pour les entreprises préparées, mais un risque majeur pour celles qui ne le sont pas.

Il convient d’établir un diagnostic anticipé et une stratégie de réponse par étapes adaptés à la structure d’utilisation de l’intelligence artificielle de chaque entreprise.