Avis lV/10/2025 4 mars 2025 Intelligence artificielle relatif au Projet de loi portant mise en œuvre de certaines dispositions du règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle et modifiant les règlements (CE) n° 300/2008, (UE) n° 167/2013, (UE) n° 168/2013, (UE) 2018/858, (UE 2018/1139) et (UE) 2019/2144 et les directives 2014/90/UE, (UE) 2016/797 et (UE) 2020 /1828 (règlement sur l’intelligence artificielle) et portant modification de : 1° la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données ; 2° la loi modifiée du 23 décembre 1998 portant création d’une commission de surveillance du secteur financier ; 3° la loi modifiée du 7 décembre 2015 sur le secteur des assurances YOU’LL NEVER CHAMBRE DES SALARIES • 18 RUE AUGUSTE LUMIÈRE • L- 1950 LUXEMBOURG • B, P, 1263 • L-1012 LUXEMBOURG • CSL@CSL.LU • WWW.CSL.LU ALONE T *352 27 494 200 Par lettre du 17 décembre 2024, Madame Elisabeth Margue, ministre déléguée auprès du Premier ministre, chargée des Médias et de la Connectivité, a saisi pour avis notre Chambre au sujet du projet de loi sous rubrique.
- Dans le cadre de l’entrée en vigueur du règlement sur l’intelligence artificielle le 2 août 2024, le présent projet de loi vise à compléter le cadre européen par les dispositions nationales qui s’imposent, en particulier la désignation des autorités nationales en charge de l’application et de la surveillance du règlement, à savoir les autorités notifiantes et les autorités de surveillance du marché, et la fixation de sanctions administratives.
- La Commission Nationale pour la Protection des Données (CNPD) est désignée comme autorité de surveillance du marché horizontale par défaut. La désignation tient compte du fait qu’une grande partie des systèmes d’IA visés par le règlement impliquent le traitement de données à caractère personnel et tombent donc également dans le champ d’application du RGPD. La CNPD est également chargée de la coordination des autorités de surveillance du marché et désignée comme point de contact unique vis-à-vis du marché.
- En ce qui concerne les autorités sectorielles : • L’Autorité de contrôle judiciaire est désignée comme autorité de surveillance du marché lorsqu’un système d’IA est utilisé par les juridictions de l’ordre judiciaire, y compris le ministère public, et de l’ordre administratif dans l’exercice de leurs fonctions juridictionnelles. Cette désignation est en ligne avec l’article 74, paragraphe 8 du règlement (UE) 2024/1689, ainsi qu’avec l’article 40, paragraphe 2 de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale dont elle s’inspire. • La Commission de surveillance du secteur financier est désignée comme autorité de surveillance du marché pour les systèmes d’IA mis sur le marché, mis en service ou utilisés par une entité soumise à sa surveillance. • Le Commissariat aux assurances est désigné comme autorité de surveillance du marché pour les systèmes d’IA mis sur le marché, mis en service ou utilisés par une entité soumise à sa surveillance. • L’Institut luxembourgeois de la normalisation, de l’accréditation, de la sécurité et qualité des produits et services est désigné comme autorité de surveillance du marché pour les marchés repris aux points 1 à 10 de l’annexe I du règlement sur l’intelligence artificielle et pour autant que les systèmes d’IA remplissent les conditions de l’article 6, paragraphe premier dudit règlement, ainsi que pour la surveillance du marché repris au point 2 de l’annexe III du règlement. Les marchés visés à l’annexe I tombent actuellement sous la surveillance de l’ILNAS et cette désignation préserve donc la cohérence dans la surveillance. Le point 2 de l’annexe III du règlement concerne les produits utilisés dans le cadre d’infrastructures critiques – l’ajout de ces produits à la liste des produits déjà surveillés aujourd’hui par l’ILNAS se fait donc tout naturellement. • L’Institut Luxembourgeois de Régulation est désigné comme autorité de surveillance du marché pour la surveillance du respect des obligations incombant aux déployeurs de systèmes d'IA à haut risque du règlement (UE) 2024/1689 pour les déployeurs qui sont des opérateurs de services essentiels ou importants au sens du projet de loi 8364 concernant des mesures destinées à assurer un niveau élevé de cybersécurité. • L’Agence luxembourgeois des médicaments et produits de santé est désignée comme autorité de surveillance du marché pour les marchés repris aux points 11 et 12 de l’annexe I et pour autant que les systèmes d’IA remplissent les conditions de l’article 6, paragraphe premier du règlement (UE) 2024/
- Les marchés visés à l’annexe I tombent actuellement sous la surveillance de la Direction de la Santé, et dès l’adoption du projet de loi correspondant sous celle de l’Agence luxembourgeois sur les Médicaments et produits de santé. • L’Autorité luxembourgeoise indépendante de l’audiovisuel (ALIA) est désignée comme autorité de surveillance du marché pour la surveillance du respect des articles 50, paragraphes 2 et
- La particularité des paragraphes 2 et 4 de l’article 50 est que la surveillance concerne le contenu « output » produit par un système d’IA. La désignation de Page 1 de 5 l’ALIA se fait par analogie à la loi modifiée du 27 juillet 1991 sur les médias électroniques qui donne pour mission à l’ALIA de surveiller le contenu des services de médias audiovisuels sous sa surveillance.
- La CSL ne voit pas d’inconvénient à la nomination de la CNPD en tant qu’autorité de surveillance du marché horizontale par défaut, d’une part, et en tant que chargée de la coordination des autorités de surveillance du marché et désignée comme point de contact unique vis-à-vis du marché, d’autre part.
- Il semble également que le choix des autres autorités désignées comme autorités de surveillance dans leurs secteurs respectifs soit conforme à leur mission. 6.En revanche, la CSL souhaite souligner d’importantes lacunes concernant des aspects pourtant fondamentaux de l’utilisation de l’intelligence artificielle dans la règlementation européenne et nationale.
- Tout d’abord, le règlement semble à titre principal vouloir règlementer la relation commerciale entre le fournisseur et le déployeurs/ utilisateurs de l’IA et seulement à titre subsidiaire chercher à atteindre l’objectif du respect des droits fondamentaux. Or, la protection des droits fondamentaux devrait être l’objectif principal de toute règlementation concernant les systèmes d’IA afin d’encourager le respect des valeurs européennes.
- Si l’approche basée sur les risques de l’IA peut être saluée, il y a un réel manque de garde-fous en ce qui concerne la protection des droits des salariés. En effet, les salariés ne sont pas directement visés par le règlement. Néanmoins, il est inévitable que les salariés employés dans une entreprise utilisant un système d’IA soient confrontés à l’utilisation d’un tel système. C’est pourquoi il est essentiel de prévoir des garde-fous pour les droits des salariés dans la réglementation européenne mais également au niveau national.
- Il est ainsi d’autant plus important que le gouvernement propose une règlementation protectrice des droits des salariés dans le domaine de l’IA étant donné que la réglementation européenne ne prévoit rien à ce sujet.
- D’ailleurs à cet égard, la CSL rejoint les commentaires de la Confédération européenne des syndicats (CES) qui s’expriment en faveur d’une directive pour la protection des travailleurs en matière d’IA.
- En outre, puisqu’il est inévitable que des données doivent être traitées en manipulant un système d’IA, ce traitement de données doit se faire selon les règles du règlement (UE) 2016/679 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD). De ce fait, il aurait été nécessaire d’énoncer clairement dans le règlement que tout système d’IA mis sur le marché et toute utilisation d’un système d’IA doit d’abord être conforme aux règles énoncées dans le RGPD.
- Les systèmes d’IA utilisés pour des questions liées à l’emploi, à la gestion de la main-d’œuvre et à l’accès à l’emploi indépendant font parties de l’énumération des systèmes d’IA à haut risque à l’annexe III du règlement. Il s’agit plus particulièrement du recrutement ou de la sélection de personnes physiques, en particulier pour publier des offres d'emploi ciblées, analyser et filtrer les candidatures et évaluer les candidats. En outre, il s’agit des systèmes d’IA utilisés pour prendre des décisions influant sur les conditions des relations professionnelles, la promotion ou le licenciement dans le cadre de relations professionnelles contractuelles, pour attribuer des tâches sur la base du Page 2 de 5 comportement individuel, de traits de personnalité ou de caractéristiques personnelles ou pour suivre et évaluer les performances et le comportement de personnes dans le cadre de telles relations.
- La CSL estime que l’utilisation de système d’IA afin d’attribuer des tâches sur la base du comportement individuel, de traits de personnalité ou de caractéristiques personnelles ou pour suivre et évaluer les performances et le comportement de personnes dans le cadre d’une relation de travail doivent être strictement interdites.
- Sur le lieu de travail, les salariés ont le droit de ne pas être soumis à une surveillance continue et permanente. En effet, le respect du principe de proportionnalité en ce qui concerne l’utilisation des données, implique que l’employeur doit recourir aux moyens de surveillance les plus protecteurs de la sphère privée du salarié. Le respect de ce principe exige que, par exemple, doivent être évitées les surveillances automatiques et continues des salariés. Au sujet de la surveillance du salarié, il faut noter que l’article L.261-1 du Code du travail stipule que « le traitement de données à caractère personnel à des fins de surveillance des salariés dans le cadre des relations de travail ne peut être mis en œuvre par l’employeur que dans les cas visés à l’article 6, paragraphe 1er, lettres a) à f), du règlement (UE) 2016/679 (RGPD), donc lorsque les conditions de licéité du traitement sont remplies. En outre, sans préjudice du droit à l’information de la personne concernée, sont informés préalablement par l’employeur : pour les personnes tombant sous l’empire de la législation sur le contrat de droit privé : la délégation du personnel ou, à défaut, l’inspection du travail et des mines ; pour les personnes tombantes sous l’empire d’un régime statutaire : les organismes de représentation du personnel tels que prévus par les lois et règlements afférents. Cette information préalable contient une description détaillée de la finalité du traitement envisagé, ainsi que des modalités de mise en œuvre du système de surveillance et, le cas échéant, la durée ou les critères de conservation des données, de même qu’un engagement formel de l’employeur de la non-utilisation des données collectées à une finalité autre que celle prévue explicitement dans l’information préalable. » D’ailleurs, pour les projets des traitements de données à caractère personnel à des fins de surveillance des salariés dans le cadre des relations de travail, l’article stipule encore que « la délégation du personnel, ou à défaut, les salariés concernés, peuvent, dans les quinze jours suivant l’information préalable, soumettre une demande d’avis préalable relative à la conformité du projet de traitement à des fins de surveillance du salarié dans le cadre des relations de travail à la Commission nationale pour la protection des données, qui doit rendre son avis dans le mois de la saisine. Cette demande a un effet suspensif pendant ce délai. » Précisons en outre que selon l’article L. 414-9 du Code du travail « Dans les entreprises occupant pendant les douze mois précédant le premier jour du mois de l’affichage annonçant les élections au moins 150 salariés et sans préjudice de l’application d’autres dispositions légales ou conventionnelles, doivent être prises d’un commun accord entre l’employeur et la délégation du personnel les décisions portant sur :
- l’introduction ou l’application d’installations techniques ayant pour objet de contrôler le comportement et les performances du salarié à son poste de travail;
- l’introduction ou la modification de mesures concernant la santé et la sécurité des salariés ainsi que la prévention des maladies professionnelles;
- l’établissement ou la modification des critères généraux concernant la sélection personnelle en cas d’embauchage, de promotion, de mutation, de licenciement et, le cas échéant, les critères de priorité pour l’admission à la préretraite des salariés;
- l’établissement et la mise en œuvre de tout programme ou action collective de formation professionnelle continue;
- l’établissement ou la modification de critères généraux d’appréciation des salariés; Page 3 de 5
- l’établissement ou la modification du règlement intérieur compte tenu, le cas échéant, des conventions collectives en vigueur;
- l’octroi de récompenses aux salariés qui, par leurs initiatives ou propositions d’amélioration technique ont apporté à l’entreprise une collaboration particulièrement utile, sans préjudice des lois et règlements régissant les brevets et inventions.
- l’introduction ou la modification d’un régime spécifique de télétravail au niveau de l’entreprise ;
- l’introduction ou la modification d’un régime assurant le respect du droit à la déconnexion en dehors du temps de travail.» Tout mécanisme d'AI qu'un employeur entend introduire dans son entreprise et qui impliquerait la mise en application de l'article L.414-9 du Code du travail nécessite donc l'accord de la délégation du personnel. A noter qu’en cas de désaccord le litige peut être soumis aux instances de médiation prévues à l’article L. 417-
- du Code du travail.
- D’ailleurs, le dialogue social, la négociation collective, l'information, la consultation et la participation des représentants des salariés sont essentielles pour fournir le soutien nécessaire à la protection des salariés confrontés à l’utilisation de l'IA sur le lieu de travail. Dans cet esprit, les représentants des salariés devront pouvoir profiter d’une expertise externe.
- En outre, il est important que toute décision relative à un salarié, notamment en matière de licenciement, ne soit jamais prise par un système d’IA sans un contrôle humain.
- De plus, il est nécessaire de règlementer à qui revient la responsabilité d’une violation du respect des droits des salariés et quelles sont les voies de recours des salariés contre les décisions d’un système d’IA.
- La transparence joue un rôle important en ce qui concerne l’évaluation des salariés pendant leurs carrières ou des candidats voulant accéder à un poste de travail. Dans ce contexte, il est également essentiel qu’aucune discrimination ne soit produite par les résultats émis par les systèmes d’IA. Les salariés et leurs représentants doivent avoir le droit d’être informés dans un langage clair et compréhensible à propos des applications utilisées.
- En outre, la CSL regrette que l'utilisation de l'IA ne soit classée comme système d'IA à haut risque que pour certains éléments de l'emploi, laissant de côté d'autres aspects tout aussi importants de la relation de travail, tels que la rémunération ou l’organisation du travail des salariés.
- En ce qui concerne les systèmes d’IA destinés à déterminer l’accès ou l’affectation aux établissements d’enseignement et de formation professionnelle et l’évaluation des étudiants ou salariés lors d’une formation professionnelle, il faudra à nouveau partir du principe que des données à caractère personnels seront traitées et que donc le RGPD doit être respecté.
- Le fait d’évaluer les participants au moyen d’un système d’IA peut comporter des risques du moment où le système d’IA n’est pas infaillible et peut produire des résultats erronés.
- Ainsi, la CSL réitère donc l’importance du contrôle humain des résultats produits par le système d’IA et le fait qu’il y a lieu de mettre en place un système de plainte efficace en cas d’erreur commise par le système d’IA et non identifiée à postériori par une personne physique. Page 4 de 5
- Le gouvernement devrait donc accorder une attention particulière à toutes les lacunes décrites ci-dessus et y palier lors de la mise en œuvre du règlement.
- Sous réserve des remarques formulées ci-avant, la CSL marque son accord au projet de loi soumis pour avis. Luxembourg, le 4 mars 2024 Pour la Chambre des salariés, Sylvain HOFFMANN Directeur Nora BACK Présidente L'avis a été adopté à l'unanimité. Page 5 de 5