Projet de loi 8476 sur l'Intelligence Artificielle (IA)-Commentaires CSSF Ce document contient les commentaires de la CSSF adressés le 17 janvier 2025

(3)du projet de loi «

(3)Par dérogation au paragraphe 1er, la Commission de surveillance du secteur financier, ci-après « CSSF », est désignée autorité de surveillance du marché au titre du règlement (UE) 2024/1689 lorsqu’un système d’intelligence artificielle est mis sur le marché, mis en service ou utilisé par une entité soumise à sa surveillance. (…)» Pour rappel, Article 74.6 de l’AI Act : « Pour les systèmes d’IA à haut risque mis sur le marché, mis en service ou utilisés par des établissements financiers régis par la législation de l’Union sur les services financiers, l’autorité de surveillance du marché aux fins du présent règlement est l’autorité nationale responsable de la surveillance financière de ces établissements en vertu de cette législation dans la mesure où la mise sur le marché, la mise en service ou l’utilisation du système d’IA est directement liée à la fourniture de ces services financiers. » Commentaire CSSF 1 Le projet de loi étend le périmètre des compétences de la CSSF (en tant qu’autorité de surveillance du marché au sens de l’AI Act) sur trois plans :

1. Cette reformulation implique que la CSSF, dans le cadre de l’AI Act, demeure l’autorité de surveillance du marché de toutes les entités qui lui sont actuellement soumises (y compris, par exemple, certains PSF ou Post Luxembourg ou encore les intermédiaires de crédit immobilier définis uniquement au niveau national).
2. Cette reformulation implique que la CSSF, dans le cadre de l’AI Act, supervise tous les systèmes d’IA mis sur le marché, mis en service ou utilisés par les entités qui sont sous sa surveillance, et pas seulement les systèmes considérés comme étant à haut risque tels qu’indiqués dans l’article 74.6 de l’AI Act. PROJET DE LOI 8476 SUR L'INTELLIGENCE ARTIFICIELLE (IA)-COMMENTAIRES CSSF Restricted Version: Version diffusée 2/5
3. Alors que l’AI Act limite le périmètre de supervision de la CSSF uniquement aux systèmes dans la mesure où la mise sur le marché, la mise en service ou l’utilisation du système d’IA est directement liée à la fourniture de services financiers, la reformulation ne comporte plus cette limitation. La CSSF estime que l’extension de compétences prévue au projet de loi est trop large étant donné qu’elle couvrirait tous les systèmes AI utilisés par les entités soumises à sa surveillance (et ne se limiterait pas seulement à ceux utilisés dans le cadre de l’exécution des services financiers qui leur sont confiés par les établissements financiers et pour lesquels ils ont reçu un agrément), et risque donc d’aller au-delà de la compétence de la CSSF en tant qu’autorité nationale de surveillance du secteur financier. Par ailleurs, dans la législation nationale, les « établissements financiers régis par la législation de l’Union sur les services financiers » visées dans l’AI Act (article 74.6) peuvent sous-traiter/confier certaines de leurs activités régulées à des professionnels du secteur financier qui ne tombent pas dans le périmètre l’article 74.6 de l’AI Act, mais qui sont également supervisés par la CSSF (par exemple les PSF spécialisés et PSF de Support). Nous sommes donc d’accord avec l’extension du périmètre des compétences de la CSSF pour couvrir toutes les entités sous sa supervision à condition que soient maintenues les limitations telles que précisées dans l’AI Act, notamment : - Les systèmes d’IA à haut risque, Les systèmes d’IA sont directement liés à la fourniture des services financiers. A cet égard, il n’est juridiquement pas possible de supprimer des limitations prévues par un règlement européen (hiérarchie des normes). De plus, sans « lien direct » avec l’objet spécifique de sa surveillance, la CSSF ne pourra pas exécuter la loi. PROJET DE LOI 8476 SUR L'INTELLIGENCE ARTIFICIELLE (IA)-COMMENTAIRES CSSF Restricted Version: Version diffusée 3/5 Nous proposons donc la formulation qui suit : «

(3)Par dérogation au paragraphe 1er, la Commission de surveillance du secteur financier, ci-après « CSSF », est désignée autorité de surveillance du marché au titre du règlement (UE) 2024/1689 lorsqu’un système d’intelligence artificielle à haut risque est mis sur le marché, mis en service ou utilisé par une entité soumise à sa surveillance, dans la mesure où la mise sur le marché, la mise en service ou l’utilisation du système d’IA est directement liée à la fourniture des services financiers ou à la prestation d’une des activités connexes ou complémentaires visées à la sous-section 3 de la section 2 de la Loi du 5 avril 1993 relative au secteur financier telle que modifiée.» Nous attirons l’attention sur le fait que dans la proposition ci-dessus, nous avons rajouté les « activités connexes ou complémentaires visées à la soussection 3 de la section 2 de la Loi du 5 avril 1993 relative au secteur financier telle que modifiée » car la définition de services financiers au sens de l’AI Act ne les intègre pas a priori. Article 7

(6)du projet de loi

(6)Par dérogation au paragraphe 5, l’Institut luxembourgeois de Régulation est désigné autorité de surveillance du marché au titre du règlement (UE) 2024/1689 pour la surveillance des déployeurs de systèmes d’IA visés à l’annexe III, point 2 du règlement (UE) 2024/1689 qui sont des entés essentielles ou importantes au sens de l’article 11, paragraphes 1er et 2, de la loi du [...] concernant des mesures destinées à assurer un niveau élevé de cybersécurité, sans préjudice des compétences de la CSSF au titre de ladite loi et du paragraphe 3 du présent article. » Commentaire CSSF 2 L’article clarifie l’articulation entre les compétences de l’ILR et de la CSSF et ne soulève pas d’objection de notre part, sous réserve de prise en compte de nos commentaires précédents sur l’art 7

(3). Ceci est d’autant plus important que les déployeurs sous la surveillance de la CSSF seront principalement des PSF de support offrant des solutions d’IA à tous leurs clients, y compris à un nombre significatif d’entreprises n’appartenant pas au secteur financier et dans ce cas sans aucun lien avec la fourniture de services financiers. PROJET DE LOI 8476 SUR L'INTELLIGENCE ARTIFICIELLE (IA)-COMMENTAIRES CSSF Restricted Version: Version diffusée 4/5 Article 16 - Sanctions Commentaire CSSF 3 Nous notons, au paragraphe 4, le renvoi au règlement européen. Sans que cela remette en cause la validité du texte, cela le rend moins lisible (cf. loi de mise en œuvre du règlement EMIR). À voir si le Ministère préfère reprendre le texte du règlement. Commentaire CSSF 4 La formulation du paragraphe 11 (« Les décisions des autorités nationales compétentes font l’objet d’une publication intégrale ou par extraits sur leur site internet. Leur publicité peut être limitée pour tenir compte de l’intérêt légitime des parties et des personnes citées à ce que leurs secrets d’affaires et autres informations confidentielles ne soient pas divulgués. ») est peu précise et s’écarte de ce que nous avons l’habitude de voir : nous pensons qu’il serait préférable de se baser sur l’exemple de l’article 63-3 de la loi du 5 avril 1993 sur le secteur financier (LSF) tout en précisant également le principe repris à l’article 43

(1)LSF selon lequel les décisions peuvent être rendues publiques si l’intérêt public le justifie). En outre, à titre d’exemples, il faudrait préciser quelles sont les décisions pouvant faire l’objet d’une publication (i.e. « les décisions prises en application du présent article » / uniquement les sanctions ?) ; il n’y a pas de limitation de durée de la publication. Article 17 - Recours Commentaire CSSF 5 Le Ministère confirme-t-il donc implicitement que le délai de droit commun de 3 mois pour intenter un recours trouve à s’appliquer ? CSSF – 17.01.2025 PROJET DE LOI 8476 SUR L'INTELLIGENCE ARTIFICIELLE (IA)-COMMENTAIRES CSSF Restricted Version: Version diffusée 5/5