Avis de l'AUTORITE DE CONTROLE JUDICIAIRE créée par la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale sur le projet de loi n°8476 portant mise en œuvre de certaines dispositions du règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle et modifiant les règlements (CE) n°300/2008, (UE) n°167/2013, (UE) 168/2013, (UE) 2018/858, (UE) 2018/1139 et (UE) 2019/2144 et les directives 2014/90/UE, (UE) 2016/797 et (UE) 2020/1828 (règlement sur l'intelligence artificielle) et portant modification de : 1° la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données ; 2° la loi modifiée du 23 décembre 1998 portant création d'une commission de surveillance du secteur financier ; 3° la loi modifiée du 7 décembre 2015 sur le secteur des assurances. Introduction L'autorité de contrôle judiciaire (ci-après désignée « l'ACJ »), instituée par l'article 40 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale transposant la Directive (UE) 2016/680 du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (ci-après désignée « la directive 2016/680 »), « conseille la Chambre des députés, le Gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et des libertés des personnes physiques à l'égard du traitement » conformément à l'article 42, paragraphe 1, lettre c), de ladite loi dans les limites de ses compétences prévues à l'article 40, paragraphe 2, à savoir en ce qui concerne les « opérations de traitement de données à caractère personnel effectuées par les juridictions de l'ordre judiciaire, y compris le ministère public, et de l'ordre administratif dans l'exercice de leurs fonctions juridictionnelles », que ce soit pour des finalités visées à l'article 1er de la loi du 1er août 2018 précédemment citée ou pour celles visées par le règlement européen 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE (ci-après désigné « le RGPD »). 1 L'ACJ a été saisie le 17 décembre 2024 par Madame la Ministre de la Justice d'une demande d'avis concernant le projet de loi n°8476 portant mise en œuvre de certaines dispositions du règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle. Pour rappel, le règlement européen sur l'intelligence artificielle1 (ci-après désigné « le règlement IA »), est entré en vigueur le 1er août 2024. Le règlement sera applicable à partir du 2 août 2026. Il a pour objectif « d'améliorer le fonctionnement du marché intérieur et de promouvoir l'adoption d'une intelligence artificielle (IA) axée sur l'humain et digne de confiance, tout en garantissant un niveau élevé de protection de la santé, de la sécurité et des droits fondamentaux consacrés dans la Charte, notamment la démocratie, l'état de droit et la protection de l'environnement, contre les effets néfastes des systèmes d'IA dans l'Union, et en soutenant l'innovation »2 . Le règlement s'applique à l'ensemble des systèmes et modèles d'intelligence artificielle commercialisés et mis sur le marché dans l'Union européenne3. Il définit un système d'intelligence artificielle comme un «système automatisé qui est conçu pour fonctionner à différents niveaux d'autonomie et peut faire preuve d'une capacité d'adaptation après son déploiement, et qui, pour des objectifs explicités ou implicites, déduit, à partir des entrées qu'il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuels » 4 . Les systèmes d'intelligence artificielle sont classés en différentes catégories, en fonction des risques. Par risque il est entendu la combinaison de la probabilité d'un préjudice et de la sévérité de celui-ci5. 1 Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle et modifiant les règlements (CE) n°300/2008, (UE) n’167/2013, (UE) n°168/2013, (UE) 2018/858, (UE) 2018/1139 et (UE) 2019/2144 et les directives 2014/90/UE, (UE) 2016/797 et (UE) 2020/1828, (règlement sur l'intelligence artificielle). 2 Ibidem, article 1er, paragraphe 1. 3 Ibidem, article 2. 4 Ibidem, article 3 paragraphe 1. 5 Ibidem, article 3 paragraphe 2. 2 L'utilisation de l'IA n'est pas étrangère aux juridictions de l'Union européenne comme en t é m o i g n e n t bon n o m b r e de rapports 6, d'articles7 et cycle de conférences 8. À l'échelle nationale, l'administration judiciaire est la première administration luxembourgeoise à utiliser un système d'intelligence artificielle à travers JUANO, l'outil d'aide à la pseudonymisation des décisions de justice développé en i n t e r n e et qui a vu le jour grâce à une coopération entre le service documentation du Parquet général et la Cour de cassation française. Cet outil est d'une grande aide aux greffiers et au service documentation du Parquet général dans la mesure où il accélère le processus de pseudonymisation des décisions et favorise l'accès à un n o m b r e plus large de décisions rendues9. La Cour de justice de l'Union européenne utilise des systèmes d'intelligence artificielle et a publié sa propre stratégie quant à son utilisation10 . À la lecture de l'exposé des motifs du présent projet de loi, il est fait mention de l ' i m p a c t sociétal de l'intelligence artificielle (ci-après désignée « l'IA ») et les transformations que son utilisation engendre dans un n o m b r e i m p o r t a n t de domaines tels que la médecine, l'éducation et le marché de l'emploi dans son ensemble, que ce soit dans le secteur privé ou le secteur public. L'impact de l'utilisation de l'intelligence artificielle par le troisième pouvoir sera également considérable11 et mérite d'être soulevé ici. L'IA est la promesse d'une justice plus efficace et plus rapide. Mais l'IA présente également un défi de taille pour les juridictions judiciaires et administratives dans la mesure où il va falloir qu'elles définissent la direction quant à son utilisation et au contrôle humain de ce changement technologique pour qu'il représente un réel progrès12 . Un c o n t r ô l e humain quant à l'utilisation de l'intelligence artificielle est nécessaire afin de p e r m e t t r e une utilisation 6 Réflexions de l'AIAB sur l'utilisation de l'intelligence artificielle dans les systèmes judiciaires. Commission européenne pour l'efficacité de la justice (CEPEJ), Groupe de travail de la CEPEJ sur la cyberjustice et l'intelligence artificielle (CEPEJ-GT-CYBERJUST), Bureau consultatif sur l'intelligence artificielle (AIAB), Strasbourg, 31 janvier 2025, p. 12, Artificial Intelligence and Law enforcement- Impact on Fundamental Rights, Study requested by the LIBE committee, July 2020. 7 Dory REILING, « Quelle place pour l'intelligence artificielle dans le processus de décision d'un juge ? », in Dalloz, « Les Cahiers de la Justice » - 2019/2, p.221 à 228. Adrien VAN DEN BRANDEN, « Les robots à l'assaut de la justice. L'intelligence artificielle au service des justiciables », Bruylant, 2019, p. 62 et suivantes. 8 Conférence de la Cour de cassation française, « Les liens entre l'IA et la fonction de juger » disponible à l'adresse : https://www.youtube.com/watch?v=tllPNzbTYZM&list=PLfLelRrxlCKE6yX8Ch3TYYokL0wjEXqn&index=7, page consultée pour la dernière fois le 20.02.2025. 9 Cet outil fut présenté lors d'une conférence ouverte au public le 26 juin 2024 intitulée « Les méthodes de pseudonymisation et de diffusion des décisions de justice de l'administration judiciaire ». https://justice.public.lu/fr/actualites/2024/07/pseudonymidsation-decisions-justice-conference.html, « La pseudonymisation des décisions de justice - un défi auquel la justice fait face » du 5 juillet 2024, page consultée pour la dernière fois le 2.10.2024. 10 Court of justice of the European Union, Artificial Intelligence strategy, Directorate-General for information, p.25. 11 Adrien VAN DEN BRANDEN, op. cit. 12 Une telle démarche a également été menée par la Cour de cassation française, Rapport de la Cour de cassation, Préparer la Cour de cassation de main, Cour de cassation et intelligence artificielle, avril 2025. 3 éthique et respectueuse des droits fondamentaux, en particulier du droit à la protection des données à caractère personnel13 . L'ACJ comprend que l'objet du projet de loi est de compléter l'application du règlement IA par des dispositions nationales portant sur la désignation des autorités nationales en charge de l'application et de la surveillance du marché, à savoir les autorités notifiantes et les autorités de surveillance du marché, ainsi que des dispositions relatives à la fixation de sanctions administratives. Le présent avis portera sur la désignation de l'ACJ comme autorité de surveillance du marché (I) ainsi que sur l'indépendance de l'ACJ (II). I. La désignation de l'ACJ comme autorité de surveillance du marché À la lecture de l'article 7 du projet de loi, l'ACJ comprend qu'elle est désignée « autorité de surveillance du marché au titre du règlement (UE) 2024/1689 lorsqu'un système d'intelligence artificielle est utilisé par les juridictions de l'ordre judiciaire, y compris le ministère public, et de l'ordre administratif dans l'exercice de leurs fonctions juridictionnelles »14 . Sept autres autorités nationales sont désignées comme telles dans leurs domaines de compétences respectifs. L'ACJ constate que son rôle dans la surveillance du marché est limité à un seul type de système d'intelligence artificielle à haut risque à savoir : « ceux destinés à être utilisés par les autorités judiciaires ou en leur nom, pour les aider à rechercher et à interpréter les faits ou la loi, et à appliquer la loi à un ensemble concret de faits, ou à être utilisés de manière similaire lors du règlement d'un litige » 15 . À titre liminaire, il y a lieu de relever qu'il est important de délimiter les compétences de la Commission nationale pour la protection des données et celles de l'ACJ dans leurs rôles d'autorités de surveillance du marché (A) puis de tenter de comprendre quelles sont les nouvelles missions (B) et les pouvoirs (C) de l'ACJ en tant qu'autorité de surveillance. A. Délimitation des compétences respectives de la Commission nationale pour la protection des données et de ('Autorité de contrôle judiciaire 13 Réflexions de l'AIAB sur l'utilisation de l'intelligence artificielle dans les systèmes judiciaires. Commission européenne pour l'efficacité de la justice (CEPEJ), Groupe de travail de la CEPEJ sur la cyberjustice et l'intelligence artificielle (CEPEJ-GT-CYBERJUST), Bureau consultatif sur l'intelligence artificielle (AIAB), Strasbourg, 31 janvier 2025, p. 12. 14 Projet de loi n°8476 portant mise en œuvre de certaines dispositions du règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle, article 2 paragraphe 2. 15 Règlement IA, Annexe III, systèmes d'IA à haut risque visés à l'article 6, paragraphe 2, paragraphe 8. 4 Le règlement IA distingue l'utilisation de l'IA par les autorités répressives16, dont le ministère public fait partie, de l'utilisation de l'IA par les Cours et tribunaux. Cette distinction est particulièrement présente à l'annexe III du règlement dédiée aux systèmes d'IA à haut risque 17, en particulier par la confrontation des points 6 et 818 . L'ACJ comprend dès lors qu'il serait possible d'avoir deux autorités de surveillance du marché pour les systèmes d'intelligence artificielle utilisés par le ministère public, la première visant ses fonctions répressives, et la seconde visant ses fonctions juridictionnelles. En outre, le règlement IA ne parle pas de fonction juridictionnelle mais de l'exercice des « fonctions judiciaires » des autorités judiciaires19 . Ce qui relève de la fonction judiciaire n'est pas défini. La fonction juridictionnelle n'a d'ailleurs elle-même jamais fait l'objet d'une définition dans le règlement européen sur la protection des données, dans la directive police justice ou encore dans la loi de transposition de la directive en droit national. Le projet de loi en se référant aux seules fonctions juridictionnelles, ne tient pas compte de la distinction entre le répressif, le judiciaire ou le juridictionnel, désignant ainsi la CNPD comme «autorité de surveillance du marché horizontale par défaut» et l'ACJ comme «autorité du marché lorsqu'un système d'IA est utilisé par les juridictions de l'ordre judiciaire, y compris le ministère public, et de l'ordre administratif dans l'exercice de leurs fonctions juridictionnelles »20 . Il serait néanmoins opportun de délimiter strictement les compétences entre la CNPD et l'ACJ en tant qu'autorités de surveillance du marché afin d'éviter un cumul des actions de ces deux autorités. La désignation de la seule ACJ comme telle serait gage de cohérence dans la mesure où les systèmes d'IA utilisés par le ministère public seront les mêmes que ceux utilisés par les juridictions du siège. Avoir deux autorités de contrôle pour un seul et même système apparaît superfétatoire. Ainsi, il est proposé la formulation suivante : « l'ACJ est désignée autorité de surveillance du marché pour l'ensemble des systèmes d'IA utilisés par les juridictions de l'ordre judiciaire, y compris le ministère public, et de l'ordre administratif au titre du règlement IA ». Après avoir rappelé l'importance de délimiter distinctement le rôle de la CNDP et de l'ACJ, il y a à présent lieu de mener le délicat exercice de comprendre ce qui est attendu de l'ACJ en tant qu'autorité de surveillance du marché. B. Un essai de compréhension des nouvelles missions de l'ACJ 16 Règlement IA : les autorités répressives sont définies à l'article 3, paragraphe 45. lbidem, Annexe III, point 6 énumère comme systèmes d'IA à haut risque visés à l'article 6, paragraphe 2, ceux dans le domaine de la « Répression, dans la mesure où leur utilisation est autorisée par le droit de l'Union ou le droit national applicable ». 18 Ibidem, Annexe III, point 8, énumère comme systèmes d'IA à haut risque visés à l'article 6, paragraphe 2, ceux dans le domaine de l'« Administration de la justice et processus démocratiques ». 19 Règlement IA, article 74 paragraphe 8. 20 Cette désignation est en ligne avec l'article 74, paragraphe 8, du règlement (UE) 2014/1689, ainsi qu'avec l'article 40, paragraphe 2, de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale. 17 5 21 L'exposé des motifs indique ce qui est attendu des autorités de surveillance du marché. En effet, il rappelle la définition donnée par le règlement IA, à savoir : « l'autorité nationale assurant la mission et prenant les mesures prévues par le règlement (UE) 2019/202011 »22. L'exposé des motifs renvoie à ce dernier règlement qui définit la surveillance du marché comme « les activités effectuées et les mesures prises par les autorités de surveillance du marché pour garantir que les produits sont conformes aux prescriptions énoncées dans la législation d'harmonisation de l'Union applicable, et assurent la protection de l'intérêt public couvert par ladite législation »23 . À la lecture du règlement 2019/2020, ces activités et mesures comprennent :
Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.