- Exposé des motifs - L’intelligence artificielle (IA) a été nommée ainsi et établie comme discipline scientifique en 1956 par l’informaticien américain John McCarthy. Après plusieurs vagues d’euphorie et de fléchissement, et grâce à des avancées notables notamment dans les domaines de l’apprentissage profond et des capacités de calcul, ce n’est que depuis les dernières années qu’elle a connu un essor d’une envergure extraordinaire et notamment avec le lancement de ChatGPT en
- Aujourd’hui, plus que jamais, l’utilisation de l’IA est bien partie pour durer et s’amplifier. L’IA ouvre des possibilités jamais connues avant, tant sur le plan social qu’économique. Ainsi, l’IA peut donner accès à de meilleurs soins de santé ou faciliter l’accès à l’éducation. Pour les entreprises, l’IA peut par exemple permettre de gagner en compétitivité en améliorant les services pour les consommateurs, en optimisant leurs processus internes ou en améliorant le prise de décisions par l’analyse rapide d’une quantité gigantesque de données. Les champs d’application de l’IA sont illimités. Cependant, l’utilisation des technologies d’IA peut également soulever des questions d’ordre éthique et de respect des droits fondamentaux ou poser un risque au fonctionnement de nos sociétés démocratiques. L’IA peut ainsi être utilisée pour lancer des cyber-attaques ou créer des campagnes de désinformation. Ou bien, l’utilisation de l’IA peut mener à des résultats ayant un impact négatif sur certains groupes de personnes si le modèle sous-jacent repose sur des données biaisées. Pour soutenir le développement d’une IA axée sur l’humain et digne de confiance qui tire profit des opportunités pour le bien de nos sociétés et économies tout en mettant en place des barrières aux excès potentiels, le règlement sur l’intelligence artificielle1 a été adopté au niveau européen. Les objectifs du règlement sont de : • • • « veiller à ce que les systèmes d’IA mis sur le marché de l’Union et utilisés soient sûrs et respectent la législation en vigueur en matière de droits fondamentaux et les valeurs de l’Union; garantir la sécurité juridique pour faciliter les investissements et l’innovation dans le domaine de l’IA; renforcer la gouvernance et l’application effective de la législation existante en matière de droits fondamentaux et des exigences de sécurité applicables aux systèmes d’IA; 1 Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle et modifiant les règlements (CE) no 300/2008, (UE) no 167/2013, (UE) no 168/2013, (UE) 2018/858, (UE) 2018/1139 et (UE) 2019/2144 et les directives 2014/90/UE, (UE) 2016/797 et (UE) 2020/1828 (règlement sur l’intelligence artificielle).
- lia- pdl_exposé-des-motifs_v0.4_version corrigée après instruc. scl.docx 1 • faciliter le développement d’un marché unique pour des applications d’IA légales, sûres et dignes de confiance, et empêcher la fragmentation du marché. »2 Afin d’atteindre ces objectifs, le règlement adopte une approche horizontale de l’IA et définit des exigences minimales nécessaires pour répondre aux risques et aux problèmes liés à l’IA. Les règles sont établies en sorte qu’elles ne devraient pas restreindre ou freiner indûment le développement technologique ni augmenter de manière disproportionnée les coûts de mise sur le marché de solutions d’IA. Le règlement doit donc favoriser l’innovation dans le domaine de l’IA afin de positionner l’Union européenne comme pionnière, tout en s’assurant le respect des droits fondamentaux et des valeurs de l’UE afin de créer de la confiance auprès des citoyens. Le règlement sur l’intelligence artificielle établit des règles harmonisées pour le développement, la mise sur le marché et l’utilisation de systèmes d’IA au sein de l’Union. Il est étroitement lié au règlement européen sur la surveillance du marché et la conformité des produits3 dans le sens que certains pouvoirs, procédures, missions ou mesures à appliquer ou à attribuer dans le règlement sur l’intelligence artificielle sont définies en référence à ou s’alignent sur ceux dudit règlement européen sur la surveillance du marché.4 Le règlement adopte une approche réglementaire fondée sur le risque. Certaines pratiques d’IA particulièrement néfastes sont interdites en raison de leur caractère contraire aux valeurs de l’Union. Le règlement établit une méthode d'évaluation des risques pour identifier les systèmes d'IA « à haut risque », qui peuvent affecter de manière importante la santé, la sécurité ou les droits fondamentaux. Ces systèmes devront satisfaire à un ensemble d’exigences obligatoires horizontales garantissant une IA digne de confiance et subir une évaluation de conformité avant leur commercialisation dans l'Union. Des obligations prévisibles, proportionnées et claires sont aussi imposées aux fournisseurs et utilisateurs de ces systèmes pour assurer leur sécurité et leur conformité avec la législation sur la protection des droits fondamentaux tout au long de leur cycle de vie. Pour certains systèmes d'IA spécifiques, comme les chat bots ou les trucages ultra-réalistes (deep fakes), seules des exigences minimales en matière de transparence sont requises. Des obligations spécifiques sont imposées aux modèles d’IA à usage général et pour les fournisseurs de ces systèmes. Des obligations additionnelles sont imposées aux modèles d’IA à usage général présentant un risque systémique. 2 Proposition de règlement (UE) du Parlement européen et du Conseil établissant des règles harmonisées concernant l’intelligence artificielle (législation sur l’intelligence artificielle) et modifiant certains actes législatifs de l’Union, COM
(2021)206 final 3 Règlement (UE) 2019/1020 du Parlement européen et du Conseil du 20 juin 2019 sur la surveillance du marché et la conformité des produits, et modifiant la directive 2004/42/CE et les règlements (CE) no 765/2008 et (UE) no 305/
- 4 Ainsi, le règlement sur l’intelligence artificielle définit p.ex. à son article 3, paragraphe 26, l’autorité de surveillance du marché comme « l’autorité nationale assurant la mission et prenant les mesures prévues par le règlement (UE) 2019/
- »
- lia- pdl_exposé-des-motifs_v0.4_version corrigée après instruc. scl.docx 2 Le respect des règles sera supervisé par un système de gouvernance au niveau national, basé sur des structures existantes, ainsi qu'un mécanisme de coopération européen. Un Comité européen de l'intelligence artificielle est créé pour accompagner cette initiative. Pour encourager l'innovation, le règlement prévoit la création de bacs à sable réglementaires sur l'IA et d'autres mesures pour réduire la charge réglementaire et soutenir les petites été moyennes entreprises (PME) et les start-ups. Le règlement sur l’intelligence artificielle est entré en vigueur le 2 août 2024 et les premières dispositions à savoir celles concernant les pratiques d’IA interdites, sont applicables dès février
- Le présent projet de loi complète le cadre européen par les dispositions nationales qui s’imposent, en particulier la désignation des autorités nationales en charge de l’application et de la surveillance du règlement, à savoir les autorités notifiantes et les autorités de surveillance du marché, et la fixation de sanctions administratives. Selon la définition de l’article 3, paragraphe 19, du règlement, l’autorité notifiante est « l'autorité nationale chargée de mettre en place et d'accomplir les procédures nécessaires à l'évaluation, à la désignation et à la notification des organismes d'évaluation de la conformité et à leur contrôle. » L’article 28 du règlement permet aux Etats membres de désigner « un organisme national d'accréditation au sens du règlement (CE) nº 765/2008 » comme autorité notifiante. Au Luxembourg, l’Office luxembourgeois d’accréditation et de surveillance (OLAS) est l’organisme national d'accréditation au sens du règlement (CE) nº 765/2008, alors que l’article 3, paragraphe 2, de la loi du […] portant création de l'établissement public Agence luxembourgeoise des médicaments et produits de santé (ALMPS) charge ladite agence de la surveillance des organismes notifiés en ce qui concerne les dispositifs médicaux et leurs accessoires, et les dispositifs médicaux de diagnostic in vitro et leurs accessoires.5 Le Commissariat du gouvernement à la protection des données auprès de l’Etat (CGPD) est aussi chargé d’assurer le rôle de l’article 3, paragraphe
- Dans cette logique, l’OLAS, l’ALMPS et le CGPD sont désignés autorités notifiantes pour l’application et l’exécution du règlement sur l’intelligence artificielle. Par ailleurs, sur base de l’article 43, paragraphe premier, du règlement (UE) 2024/1689 qui indique que « lorsque le système d’IA à haut risque est destiné à être mis en service par les autorités répressives, les services de l’immigration ou les autorités compétentes en matière d’asile ou par les institutions, organes ou organismes de l’UE, l’autorité de surveillance du marché visée à l’article 74, paragraphe 8 ou 9, selon le cas, agit en tant qu’organisme notifié », il convient également de préciser dans le texte de loi que la Commission nationale pour la protection des données (CNPD) est organisme notifié6 dans les cas visés. Selon la définition de l’article 3, paragraphe 26, du règlement sur l’intelligence artificielle, l’autorité de surveillance du marché est « l’autorité nationale assurant la mission et prenant les mesures prévues par le 5 Projet de loi no. 7523 portant création de l'établissement public Agence luxembourgeoise des médicaments et produits de santé (ALMPS). 6 Au terme du paragraphe 22) de l’article 3, un organisme notifié est « un organisme d’évaluation de la conformité notifié en application du présent règlement et d’autres actes législatifs d’harmonisation de l’Union pertinents ».
- lia- pdl_exposé-des-motifs_v0.4_version corrigée après instruc. scl.docx 3 règlement (UE) 2019/
- » Ce règlement (UE) 2019/1020 définit à son article 3 la « surveillance du marché » comme « les activités effectuées et les mesures prises par les autorités de surveillance du marché pour garantir que les produits sont conformes aux prescriptions énoncées dans la législation d'harmonisation de l'Union applicable et assurent la protection de l'intérêt public couvert par ladite législation. » Le règlement sur l’intelligence artificielle s’applique de manière horizontale et les interactions avec les règlementations sectorielles sont nombreuses. La surveillance du marché nécessite une connaissance approfondie du contexte ou secteur dans lequel l’IA est utilisée. Dans ce sens, plusieurs autorités sont désignées autorités de surveillance du marché et chacune reste responsable dans son domaine de compétences. Cette approche a le mérite d’éviter les conflits de compétences entre autorités de surveillance du marché et d’établir la surveillance là où se trouve l’expertise sectorielle. Il est à noter que la surveillance dans le cadre du règlement (UE) 2024/1689 sur l’intelligence artificielle se fait de manière ad hoc. Les autorités déterminées dans le cadre de la présente loi ne devront donc pas procéder à une analyse systématique de tous les systèmes d’IA avant leur mise sur le marché. La CNPD est désignée comme autorité de surveillance du marché horizontale par défaut. D’une part, cette désignation est en ligne avec l’une des bases juridiques du règlement IA, à savoir l’article 16 TFUE qui concerne la protection des données personnelles. D’autre part, la désignation tient compte du fait qu’une grande partie des systèmes d’IA visés par le règlement impliquent le traitement de données à caractère personnel et tombent donc également dans le champ d’application du RGPD. Par ailleurs, le règlement préconise à l’article 74, paragraphe 8, de désigner l’autorité nationale de protection des données comme autorité de surveillance pour une grande partie des systèmes d’IA à haut risque énumérés à son annexe III. Il est également à noter qu’au niveau des institutions de l’UE, la surveillance revient au Contrôleur européen de la protection des données et que la désignation de la CNPD est en ligne avec la recommandation du Comité européen de la protection des données (EDPB).7 En ce qui concerne les autorités sectorielles : • L’Autorité de contrôle judiciaire est désignée comme autorité de surveillance du marché lorsqu’un système d’IA est utilisé par les juridictions de l’ordre judiciaire, y compris le ministère public, et de l’ordre administratif dans l’exercice de leurs fonctions juridictionnelles. Cette désignation est en ligne avec l’article 74, paragraphe 8 du règlement (UE) 2024/1689, ainsi qu’avec l’article 40, paragraphe 2 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale dont elle s’inspire. 7 EDPB, Statement 3/2024 on data protection authorities’ role in the Artificial Intelligence Act framework, adopté le 16 juillet 2024, https://www.edpb.europa.eu/news/news/2024/edpb-adopts-statement-dpas-role-ai-actframework-eu-us-data-privacy-framework-faq_fr
- lia- pdl_exposé-des-motifs_v0.4_version corrigée après instruc. scl.docx 4 • La Commission de surveillance du secteur financier est désignée comme autorité de surveillance du marché pour les systèmes d’IA mis sur le marché, mis en service ou utilisés par une entité soumise à sa surveillance. • Le Commissariat aux assurances est désigné comme autorité de surveillance du marché pour les systèmes d’IA mis sur le marché, mis en service ou utilisés par une entité soumise à sa surveillance. • L’Institut luxembourgeois de la normalisation, de l’accréditation, de la sécurité et qualité des produits et services est désigné comme autorité de surveillance du marché pour les marchés repris aux points 1 à 10 de l’annexe I du règlement sur l’intelligence artificielle et pour autant que les systèmes d’IA remplissent les conditions de l’article 6, paragraphe premier dudit règlement, ainsi que pour la surveillance du marché repris au point 2 de l’annexe III du règlement. Les marchés visés à l’annexe I tombent actuellement sous la surveillance de l’ILNAS et cette désignation préserve donc la cohérence dans la surveillance. Le point 2 de l’annexe III du règlement concerne les produits utilisées dans le cadre d’infrastructures critiques – l’ajout de ces produits à la liste des produits déjà surveillés aujourd’hui par l’ILNAS se fait donc tout naturellement. • L’Institut Luxembourgeois de Régulation est désigné comme autorité de surveillance du marché pour la surveillance du respect de l’article 26 (Obligations incombant aux déployeurs de systèmes d'IA à haut risque) du règlement (UE) 2024/1689 pour les déployeurs qui sont des opérateurs de services essentiels ou importants au sens de l’article 11, paragraphe premier et 2 de la loi du […] concernant des mesures destinées à assurer un niveau élevé de cybersécurité, sans préjudice des compétences de la CSSF au titre de ladite loi.8 Cette désignation assure que les opérateurs de services essentiels ou importants préqualifiés sont surveillés par la même autorité dans le cadre de la loi sur la cybersécurité et de la présente loi. • L’Agence luxembourgeois des médicaments et produits de santé9 est désignée comme autorité de surveillance du marché pour les marchés repris aux points 11 et 12 de l’annexe I et pour autant que les systèmes d’IA remplissent les conditions de l’article 6, paragraphe premier du règlement (UE) 2024/
- Les marchés visés à l’annexe I tombent actuellement sous la surveillance de la Direction de la Santé, et dès l’adoption du projet de loi correspondant sous celle de l’Agence luxembourgeois sur les Médicaments et produits de santé. Cette désignation préserve donc la cohérence dans la surveillance. • L’Autorité luxembourgeoise indépendante de l’audiovisuel (ALIA) est désignée comme autorité de surveillance du marché pour la surveillance du respect des articles 50, paragraphes 2 et
- La particularité des paragraphes 2 et 4 de l’article 50 est que la surveillance concerne le contenu 8 Projet de loi no. 8364 9 Projet de loi no. 7523
- lia- pdl_exposé-des-motifs_v0.4_version corrigée après instruc. scl.docx 5 (« output ») produit par un système d’IA.10 La désignation de l’ALIA se fait par analogie à la loi modifiée du 27 juillet 1991 sur les médias électroniques qui donne pour mission à l’ALIA de surveiller le contenu des services de médias audiovisuels sous sa surveillance. A titre d’autorité de surveillance du marché horizontale par défaut, la CNPD est chargée de la coordination des autorités de surveillance du marché et désignée comme point de contact unique vis-à-vis du marché. Toutes les propositions ont été élaborées en concertation étroite avec les acteurs concernés. Pour ce qui est des dispositions modificatives de la loi organique de la CNPD, il s’avère nécessaire de revoir certaines de ces dispositions sur base de l’expérience acquise depuis l’entrée en vigueur du règlement (UE) 2016/
- Ces changements avaient notamment été exposés par la CNPD au cours de la réunion de la Commission de la Digitalisation, des Médias et des Communications de la Chambre des Députés, le 23 novembre
- Il s’agit de faciliter le travail de la CNPD vers l’extérieur et vers l’intérieur, en améliorant l’efficacité de certains aspects procéduraux ou de fonctionnement de l’autorité de contrôle. 10 L’article 50, paragraphe 2, exige que les contenus de synthèse de type audio, image, vidéo ou texte générés par un système d’IA « soient marquées dans un format lisible par machine et identifiables comme ayant été générées ou manipulées par une IA. » Cette exigence s’adresse aux fournisseurs de systèmes d’IA. L’article 50, paragraphe 4, exige que les contenus qui sont des hypertrucages (deep fakes) soient marqués comme ayant été générés ou manipulés par une IA. Cette exigence s’adresse aux déployeurs de systèmes d’IA.
- lia- pdl_exposé-des-motifs_v0.4_version corrigée après instruc. scl.docx 6