Projet de loi portant mise en œuvre de certaines dispositions du règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établiss

(2)et

(4)du règlement européen sur l’intelligence artificielle1 (ci-après « IA »). En dehors de ce projet de loi, l’ALIA est également désignée comme autorité de protection des droits fondamentaux, en vertu de l’article 77 du règlement

1. L’ALIA accueille favorablement de ces nouvelles compétences alors qu’elle dispose de deux champs de compétence distincts, chacun répondant à des objectifs spécifiques et adaptés à ses missions. • L’ALIA en tant qu’autorité de surveillance du marché : L’ALIA dispose de pouvoirs et de mesures supplémentaires issus du règlement 2019/
2. En tant qu’autorité de surveillance du marché, l’ALIA serait compétente pour garantir la conformité des fournisseurs et des déployeurs aux obligations de transparence en vertu des articles 50

(2)et

(4)du règlement européen sur l’IA. Ces dispositions prévoient que les contenus générés par l’IA (image, vidéo, audio ou texte) doivent être marqués et 1 Projet de loi n°8476, portant mise en œuvre de certaines dispositions du règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle, article 7

(8). 2 Liste du Grand-Duché de Luxembourg Autorités de protection des droits fondamentaux identifiées dans le cadre de l’article 11 du règlement (UE) 2024/1689 sur l’intelligence artificielle, version du 31 octobre 2024. 3 Règlement (UE) 2019/1020 du 20 juin 2019 sur la surveillance du marché et la conformité des produits, et modifiant la directive 2004/42/CE et les règlements (CE) no 765/2008 et (UE) no 305/2011 1 H alia Autorité luxembourgeoise indépendante de l'audiovisuel identifiables, tant au moment du développement des systèmes d’IA qu’à la publication du contenu généré. Il s’agit donc d’un contrôle de conformité vis-à-vis du règlement européen sur FIA. • L’ALIA en tant qu’autorité de protection des droits fondamentaux (article 77) : Dans le cadre de ses missions, FALIA continue de surveiller le secteur des médias électroniques lorsque des systèmes d’IA à haut risque sont utilisés par des entités placées sous sa surveillance. Elle peut demander l’accès à toute documentation créée ou conservée conformément au règlement sur FIA, et doit y avoir accès dans une langue et un format accessibles lorsque cela est nécessaire à l’exécution de son mandat, dans les limites de ses compétences. Ce n’est pas un contrôle de conformité vis-à-vis du règlement européen sur FIA, mais une évaluation pour s’assurer que les systèmes d’IA à haut risque utilisés par les entités assujetties à loi de 1991 sur les médias électroniques leur permettent de remplir leurs obligations légales. 2 -l Z~ H Cl L1 CX Autorité luxembourgeoise indépendante de l'audiovisuel Résumé de l’avis : • En premier lieu, bien que les compétences attribuées par le projet de loi à l’ALIA, ainsi que sa désignation en tant qu’autorité de protection des droits fondamentaux, couvrent la surveillance d’une variété de systèmes d’IA, des lacunes demeurent. En effet, l’ALIA devrait être en mesure de surveiller les systèmes d’IA qui ne sont pas qualifiés de « haut-risque », lorsqu’ils sont utilisés par des entités assujetties aux obligations de la loi du 27 juillet 1991 sur les médias électroniques. Une reconnaissance explicite de cette compétence, en tant qu’autorité de surveillance du marché, apporterait une meilleure clarification des compétences de l’ALIA et une meilleure sécurité juridique pour les entités sous sa surveillance. De plus, confier à l’ALIA ces responsabilités lui permettrait de bénéficier d’une autonomie opérationnelle pour mener efficacement la surveillance des systèmes d’IA déployés par les entités assujetties aux obligations de la loi du 27 juillet 1991 sur les médias électroniques, tout en étant détachée des procédures prévues à l’article 77 du règlement IA. Le choix de l’ALIA comme autorité de surveillance des systèmes d’IA pour les entités déjà sous sa surveillance repose ainsi sur une clarification de ses missions pour les acteurs concernés et une amélioration de sa capacité opérationnelle. En second lieu, les compétences de l’ALIA dans le domaine des articles 50

(2)et

(4)du règlement IA nécessitent de nouveaux moyens technologiques pour garantir leur respect. En effet, l’article 50

(2)impose que les sorties générées par le système d’IA soient lisibles « par machine », tandis que l’article 50

(4)exige que les contenus générés par FIA, y compris les hypertrucages et le texte, soient accompagnés d’une indication précisant qu’ils ont été générés par FIA. Cela implique que l’ALIA soit en mesure de les identifier afin de vérifier si cette obligation de marquage a été respectée. Alors que la frontière entre le réel et l’artificiel devient de plus en plus floue en raison des récentes avancées technologiques, l’ALIA doit être adéquatement équipée pour assurer le respect de ces obligations de transparence. En troisième lieu, il ressort d’une analyse croisée du projet de loi et du règlement européen sur FIA que l’ALIA est compétente pour surveiller les pratiques d’IA prohibées dans le cadre des compétences confiées par le projet de loi. Notamment, cela implique que l’ALIA doive assurer qu’un hypertrucage ne constitue pas une pratique prohibée au sens de l’article 5,1,

1. a)et
2. b)du règlement. Cette compétence ne ressort qu’implicitement, par une analyse du projet de loi et du règlement européen sur FIA bien qu’elle soit totalement compatible avec les missions que l’ALIA effectue déjà et est totalement conforme à l’esprit de l’accord de coalition 2023-2028. La mention explicite de la compétence de l’ALIA pour surveiller les pratiques d’IA prohibées dans le cadre des compétences confiées par le projet de loi garantirait une plus grande sécurité juridique ainsi qu’une clarification du rôle de l’ALIA dans la gouvernance de FIA au Luxembourg. 3 K alla ► • Autorité luxembourgeoise indépendante de l'audiovisuel En conséquence, l’ALIA propose de reformuler l’article 7, paragraphe 8 du projet de loi comme suit: Par dérogation au paragraphe 1 er, l’Autorité luxembourgeoise indépendante de l 'audiovisuel est désignée autorité de surveillance du marché au titre du règlement (UE) 2024/1689, lorsqu 'un système d’intelligence artificielle est mis sur le marché, mis en service ou utilisé par une entité soumise à sa surveillance, pour la surveillance du respect des dispositions prévues à l’article 50, paragraphes 2 et 4 du règlement (UE) 2024/1689 et de la surveillance des pratiques prohibées dans le contexte de ces dispositions. 4 K alia ► I. Autorité luxembourgeoise indépendante de l'audiovisuel L’ALIA devrait être nommée autorité de surveillance du marché pour les entités assujetties à la loi de 1991 sur les médias électroniques Le projet de loi pour la mise en œuvre du règlement européen sur l’IA confère à l’ALIA les compétences issues des articles 50

(2)et

(4)du règlement européen sur l’IA. Ces dispositions imposent que le contenu généré par l’IA soit marqué et identifiable, sans toutefois prévoir un contrôle de légalité du contenu, mais seulement une obligation de transparence4 . Ces compétences doivent être interprétées en lien avec celles dont l’ALIA dispose en tant qu’autorité de protection des droits fondamentaux, en vertu de sa nomination conformément à l’article 77 du règlement européen. En résumé, l’ALIA possède des compétences de surveillance du marché pour les articles 50

(2)et

(4), ainsi que des compétences de protection des droits fondamentaux, mais uniquement pour les systèmes d’IA à haut risque et lorsque leur analyse est nécessaire à l’accomplissement de son mandat et dans la limite de ses compétences. Bien que ces compétences s’intégrent adéquatement aux missions de l’ALIA, le fait qu’elle ne soit pas explicitement compétente pour les systèmes d’IA utilisés par les entités sous sa surveillance entraîne de nombreuses conséquences. Force est de constater que de nombreux systèmes d’IA susceptibles d’être utilisés par les entités surveillées par l’ALIA ne sont pas tous classifiés comme des systèmes d’IA à haut risque. Par exemple, les systèmes d’IA employés par les plateformes de partage de vidéos (PPV) à des fins de vérification biométrique pour prévenir l’accès des mineurs à certains sites ne sont pas considérés comme étant à haut risque

1. L’analyse de ce type de système est nécessaire pour garantir que les fournisseurs de PPV respectent cette obligation légale
2. Ces systèmes d’IA doivent être optimisés et efficaces pour remplir cet objectif, et l’ALIA a pour mission de superviser les moyens mis en œuvre par les fournisseurs pour protéger le public, ainsi que d’évaluer leur efficacité
3. Bien que la loi sur les médias électroniques dispose que l’ALIA doive vérifier les mesures appropriées pour protéger le public contre certains contenus, il serait opportun de rappeler de manière explicite que l’ALIA est compétente pour tous les systèmes d’IA développés et/ou utilisés par une entité sous sa surveillance. Cela offrirait une plus grande sécurité juridique et une clarification supplémentaire pour les acteurs concernés. De plus, le projet de loi indique que « la désignation des autorités de surveillance du marché se fonde sur le principe que chaque autorité existante reste responsable dans son domaine de compétences. Ceci assure que la surveillance est exercée là où se trouve l’expertise sectorielle et évite des conflits de compétences entre autorités. » et qu’« il s 'agit de nommer une autorité de surveillance du marché pour chaque cas de figure, sans qu 'il y ait un chevauchement entre les champs de compétences de ces autorités »
4. Or, l’ALIA n’est pas mentionnée comme étant l’autorité de surveillance du marché dans le secteur des médias électroniques et de 4 Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle, article 50(2 et

(4). 5 Ibid. Article 50

(3)6 Loi du 27 juillet 1991 sur les médias électroniques, article 28 septies 7 Ibidem. 8 Projet de loi n°8476, portant mise en œuvre de certaines dispositions du règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle, pl3. 5 11 K alia ► Autorité luxembourgeoise indépendante de l’audiovisuel l’audiovisuel, contrairement à d’autres autorités dans leurs secteurs respectifs. Ainsi, une révision du projet de loi pour accorder à l’ALIA les compétences de surveillance des systèmes d’IA utilisés par les entités qu’elle supervise, quelle que soit la classification du système, serait davantage en phase avec l’esprit du projet de loi et de la gouvernance de l’IA au Luxembourg. Par ailleurs, dans le cadre de l’article 77 du règlement européen sur l’IA, l’autorité de protection des droits fondamentaux doit étroitement travailler avec une autorité de surveillance du marché afin de conduire ses missions. Elle doit également justifier de son accès à la documentation puisqu’il doit être « nécessaire à l 'accomplissement effectif de leur mandat dans les limites de leurs compétences»9 et si cela ne suffit pas, l’ALIA «peut présenter à l’autorité de surveillance du marché une demande motivée visant à organiser des tests du système d’IA à haut risque par des moyens techniques »10 . La CNPD, en tant qu’autorité de surveillance par défaut, et l’ALIA seraient ainsi étroitement liés dans la mise en œuvre de cette procédure. Ces différentes étapes peuvent entraîner un allongement des procédures, une perte d’efficacité de l’ALIA dans le traitement des systèmes d’IA des entités déjà sous sa surveillance, et laisse courir le risque que des systèmes d’IA non conformes continuent de fonctionner. L’approche du projet de loi risque de créer une dépendance opérationnelle dans l’analyse de tels systèmes d’IA, ajoutant ainsi de la complexité, de la redondance et de la lourdeur aux procédures de surveillance du paysage audiovisuel. Confier à l’ALIA les pouvoirs et les responsabilités d’une autorité de surveillance du marché pour les entités assujetties aux obligations de la loi de 1991 sur les médias électroniques permettrait d’anticiper ces risques, d’adopter une démarche proactive et de gagner en efficacité, en offrant une réponse rapide et adaptée. La surveillance des systèmes d’IA développés et/ou utilisés par des entités sous la supervision de l’ALIA renforcerait également son autonomie opérationnelle. Il s’agit de prévenir un « chevauchement entre les champs de compétences »" de l’ALIA et des autres, dans une logique de « simplification administrative »12 entre les autorités ainsi que pour les acteurs concernés. 9 Ibid, article 77

(1). Ibid, article 77

(3). 11 Projet de loi n°8476, portant mise en œuvre de certaines dispositions du règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle, pl 3. 12 Ibidem. 10 6 K alla ► II. Autorité luxembourgeoise indépendante de l'audiovisuel Concernant le respect des obligations de transparence de l’article 50

(2)et

(4). Le projet de loi précise les compétences de l’ALlA dans le cadre du règlement européen sur FIA, en particulier en ce qui concerne la surveillance du respect des dispositions des articles 50

(2)et

(4). Le paragraphe

(2)impose aux fournisseurs de marquer le contenu généré par l’IA (texte, image, son ou vidéo) de manière à ce qu’il soit lisible par une machine, dans le but de faciliter la détection des contenus générés par l’IA 13. Cette surveillance concerne les IA dites « génératives ». L’article 50

(2)ne précise pas quels sont les fournisseurs ou déployeurs concernés par cette disposition et le projet de loi ne les indique pas non plus14 . Sans une telle précision, il est possible de considérer que tous les fournisseurs d’un système d’IA générant du son, de la vidéo, des images ou du texte relèvent du champ de compétences de l’ALIA. De plus, le règlement européen sur l’IA prévoit que les fournisseurs doivent être considérés comme tels lorsqu’ils sont établis dans l’Union, lorsque leurs systèmes d’IA sont mis sur le marché dans l’Union, ou lorsque les sorties produites par le système d’IA sont utilisées dans l’Union. Seuls les systèmes qui ne tombent pas sous le champ d’application du règlement européen sur l’IA (article 2 : recherche scientifique ou usage personnel par exemple...) échappent à la compétence de l’ALIA15. En premier lieu, l’ALIA serait compétente pour surveiller de nouveaux acteurs, nationaux européen et internationaux, qui ne sont pas des entités assujetties aux obligations de la loi de 1991 sur les médias électroniques. Il s’agirait d’un fournisseur de SIA, défini comme étant « une personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui développe ou fait développer un système d’IA ou un modèle d 'IA à usage général et le met sur le marché ou met le système d’IA en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit»' 6 . Donc, toute personne développant un système d’IA générative relèverait de la compétence de l’ALIA si ses sorties sont utilisées dans l’Union. Cela implique un champ d’application bien plus vaste pour l’ALIA, tant sur le plan géographique que concernant les entités assujetties. En second lieu, aux termes de l’article 50

(2), la surveillance de l’ALIA se limite à l’obligation de transparence via le marquage des contenus générés par l’IA, afin qu’ils soient lisibles par machine, ce qui implique que ce marquage soit détectable. Le marquage de ces contenus générés par l’IA doit donc répondre à deux exigences : il doit être lisible par machine et, a fortiori, permettre l’identification du contenu comme étant généré par l’IA17. Les techniques utilisées par les fournisseurs doivent garantir que le contenu généré soit identifiable. Une telle surveillance nécessite l’octroi de moyens supplémentaires à l’ALIA, afin qu’elle puisse effectivement mener à bien ses nouvelles missions. Ces moyens incluent des outils de détection et de lecture des techniques de marquage employées (Watermark, cryptographie, identification 13 Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle, article 50

(2)et

(4)et considérant 133. 14 Ibid, article 50

(2). 15 Ibid, article

1. 16 Ibid, article 3, 3). 17 Ibid, considérant
2. 7 K alia Autorité luxembourgeoise indépendante de l'audiovisuel des métadonnées, etc.). De plus, il sera nécessaire de fournir une formation spécifique au personnel de l’ALIA pour assurer la conformité du marquage avec l’article 50

(2)et conformément à l’article 4 du règlement

1. À cet égard, de nouvelles procédures devront être mises en place pour gérer et suivre les plaintes relatives aux obligations de marquage, distinctes de celles prévues dans le cadre de la loi de
2. En troisième lieu, concernant l’article 50

(4), le projet de loi attribue à l’ALIA la compétence pour surveiller les obligations de transparence des déployeurs en ce qui concerne les hypertrucages (deepfakes) générant du son, des images ou des vidéos'

1. L’objectif de cette disposition est d’informer les personnes en contact avec ce contenu qu’il a été généré ou manipulé par l’IA. Cette disposition s’applique aux déployeurs qui sont « une personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d’IA sauf lorsque ce système est utilisé dans le cadre d’une activité personnelle à caractère non professionnel »
2. Un tel acteur soulève le même postulat que les fournisseurs, mais présente des enjeux distincts. Étant donné qu’il s’agit de l’utilisateur d’un système d’IA, il se peut que le nombre d’acteurs assujettis soit plus important que dans la disposition précédente. Un fournisseur peut développer un seul système d’IA génératif, qui sera ensuite utilisé par une pluralité de déployeurs pour produire des hypertrucages, notamment si le système d’IA comprend un modèle à usage général. En quatrième lieu, la surveillance du contenu mentionné à l’article 50

(4)peut se diviser en deux parties. Premièrement, les hypertrucages impliquant du son, des images ou de la vidéo ; deuxièmement, la génération de texte dans le but d’informer le public sur un sujet d’intérêt public. Le premier type de contenu est relatif aux hypertrucages. Un hypertrucage est défini comme « une image ou un contenu audio ou vidéo généré ou manipulé par l’IA, présentant une ressemblance avec des personnes, des objets, des lieux, des entités ou événements existants et pouvant être perçu à tort par une personne comme authentiques ou véridiques ». Quatre critères permettent de définir un hypertrucage. En premier lieu, le contenu doit être une image, un contenu audio ou vidéo, excluant ainsi le texte de son champ d’application. En deuxième lieu, ce contenu doit être généré ou manipulé par l’IA, en fonction du niveau de traitement effectué par le système d’IA sur les données entrantes : une image peut être manipulée à partir d’une photo existante ou générée via un prompt textuel, se basant uniquement sur les données d’entraînement de l’IA. Il s’agit ici de prendre en compte la manière dont l’IA crée l’hypertrucage. En troisième lieu, cet hypertrucage doit présenter une « ressemblance avec des personnes, des objets, des lieux, des entités ou événements existants ». Le contenu généré est ainsi crucial, qu’il s’agisse d’une image d’une planète du système solaire générée par l’IA ou de la manipulation des visages de personnes, célèbres ou non. En quatrième lieu, le critère final concerne le degré de véracité de l’hypertrucage, qui doit être suffisamment réaliste pour être « perçu à tort » comme authentique, comparé à une image, un son ou une vidéo réels. Le texte prévoit une adaptation de cette obligation de transparence lorsque « le contenu fait partie 18 Ibid, article 4. Ibid, article 50

(4). 20 Ibid, article 3,

(4). 19 8 alia ► Autorité luxembourgeoise indépendante de l'audiovisuel d'une œuvre ou d’un programme manifestement artistique, créatif, satirique, fictif ou analogue ». Dans ce cas, l’obligation de transparence se limite à « la divulgation de l 'existence de tels contenus générés ou manipulés d’une manière appropriée qui n 'entrave pas l’affichage ou la jouissance de l'œuvre ». Dans le cadre de l’article 50

(4), l’ALIA est compétente pour s’assurer que les déployeurs marquent correctement le contenu généré par un système d’IA. De tels hypertrucages peuvent être réalisés par des systèmes d’IA développés en dehors de l’UE, mais utilisés par des déployeurs situés dans l’UE. Par exemple, un influenceur luxembourgeois générant un hypertrucage à partir d’un système d’IA développé aux États-Unis tombe sous le champ d’application de l’article 50

(4). Dans cette situation, l’influenceur doit prévoir une communication appropriée pour informer de l’utilisation d’un hypertrucage pour générer une image, un son ou une vidéo. Cela soulève deux enjeux pour l’ALIA. En premier lieu, la capacité pour l’ALIA de détecter les hypertrucages, conformément à la définition proposée par le RIA. Les dernières évolutions technologiques brouillent la frontière entre le réel et l’artificiel, si bien qu’il est difficile pour l’œil humain de repérer certains hypertrucages. Il faut ainsi un outil adapté pour identifier les hypertrucages dans un contexte où ils sont de plus en plus réalistes. En second lieu, une surveillance hybride (passive et active) avec une procédure de plainte adaptée pour la réception des cas d’inobservation d’une obligation de transparence par un déployeur. Le second type de contenu concerne un système d’IA génératif qui « génère ou manipule des textes publiés dans le but d’informer le public sur des questions d’intérêt public » 21 . Cette disposition couvre l’utilisation de FIA dans le contexte de la presse écrite notamment pour assurer que les informations générées par l’IA soient repérables. De tels systèmes soulèvent des enjeux similaires à ceux des hypertrucages, bien que leur identification fasse l’objet d’une exception « lorsque le contenu généré par l’IA a fait l’objet d’un processus d'examen humain ou de contrôle éditorial et lorsqu 'une personne physique ou morale assume la responsabilité éditoriale de la publication du contenu »22. Ainsi, l’ALIA doit être capable d’identifier ces textes et de vérifier si le contenu a bien été marqué comme ayant été généré par un système d’IA génératif. En l’absence de l’obligation d’un tel marquage, l’ALIA devra s’assurer que les procédures justifiant une exception à cette règle ont été correctement suivies. 21 22 Ibidem. Ibid, article 50

(4). 9 v" K alla ► III. Autorité luxembourgeoise indépendante de l'audiovisuel Concernant la compétence de l’ALIA pour la surveillance de pratiques d’IA prohibées dans le cadre de ses compétences de surveillance de l’article 50

(2)et £4L La protection à l’encontre des pratiques prohibées est un des points cardinaux du règlement européen sur l’IA 23. Le projet de loi n°8476 ne les mentionne que dans le cadre des sanctions. Néanmoins, en l’absence d’une telle mention et par une analyse croisée avec le règlement européen sur l’IA, une telle compétence est automatiquement confiée à l’ALIA par sa qualification en tant qu’autorité de surveillance du marché dans le cadre des compétences confiées par le projet de loi (A). De manière concrète, cela se traduit par une compétence de surveillance des hypertrucages prohibés (B). Cette compétence s’installe dans une continuité logique par rapport aux missions actuelles de l’ALIA et en conformité avec l’accord de coalition 2023-2028 (C). A. En ce qui concerne la compétence de surveillance des pratiques prohibées L’ALIA se félicite de l’approche du projet de loi concernant la décentralisation de la surveillance concernant les pratiques prohibées. Même si elle ne ressort pas explicitement du projet de loi, elle découle de la volonté manifeste du projet de loi d’une gouvernance fondée sur l’expertise sectorielle et des compétences découlant directement du règlement européen sur l’IA. Puisqu’elle ne ressort pas explicitement du projet de loi, il convient de poser l’analyse croisée du règlement européen et du projet de loi. En premier lieu, l’article 70 et le considérant 153 du règlement européen sur l’IA disposent que les autorités de surveillance du marché contrôlent l’application et la mise en œuvre du règlement. Le règlement confie cette mission par la seule qualification d’une autorité publique en tant qu’autorité de surveillance du marché et n’impose pas qu’une autorité de surveillance du marché unique soit en charge de la surveillance des systèmes prohibés. Seule la catégorie des systèmes d’IA d’identification biométrique impose la présence de l’autorité de protection des données dans le cadre de l’article 5.624. Hormis cette exception, le règlement européen ne dispose pas davantage sur la gouvernance nationale concernant la surveillance des pratiques d’IA prohibées. Dans cette mesure, la Commission a exposé dans ses lignes directrices que «Les autorités de surveillance du marché désignées par les États membres ainsi que le Contrôleur européen de la protection des données (en tant qu’autorité de surveillance du marché pour les institutions, agences et organes de l’UE) sont responsables de l’application des règles de la loi sur l’IA pour les systèmes d’IA, y compris les interdictions »25. Le terme 23 Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle, considérant 28 24 Ibid, article 5.6. 25 Commission - Commission Guidelines on prohibited artificial intelligence practices established by Régulation (EU) 2024/1689 (AI Act), paragraphe 53 “[Market surveillance authorities designated by the Member States as well as the European Data Protection Supervisor (as the market surveillance authority for the EU institutions, agencies and bodies) are responsible for the enforcement of the rules in the AI Act for AI Systems, including the prohibitions”]. 10 y 11 K alia y Autorité luxembourgeoise i n d é p e n d a n t e de l'audiovisuel « y compris » expose clairement que la surveillance relative aux pratiques prohibées découle de la compétence normale des autorités de surveillance du marché. De plus, l’article 79 du règlement européen sur l’IA dispose que «Lorsque l’autorité de surveillance du marché d 'un Etat membre a des raisons suffisantes de considérer qu’un système d’IA présente un risque au sens du paragraphe 1 du présent article, elle procède à une évaluation de la conformité du système d’IA concerné avec l’ensemble des exigences et obligations énoncées dans le présent règlement »26. Si un cas de non-conformité est identifié, une autorité de surveillance du marché peut fonder une sanction sur « une ou plusieurs des causes suivantes :

1. a)le non-respect de l’interdiction des pratiques en matière d’IA visées à l’article 5;[...]
2. d)le non-respect de l’article 50. » 27. Le règlement européen indique clairement la faculté pour une autorité de surveillance du marché de prendre une sanction à la fois sur des obligations de transparence prévues à l’article 50 et sur l’interdiction de certaines pratiques d’IA prévue à l’article 5. La Commission a également précisé ce lien en indiquant que « [b]ien qu’en principe, les obligations de transparence de l’article 50 de la loi sur l’IA visent à minimiser les effets manipulatoires des deepfakes et des chatbots, il pourrait exister des cas et des contextes où, malgré les avis d’information, ces techniques trompeuses peuvent encore avoir des effets significatifs sur les individus et distordre leur comportement au point de compromettre leur autonomie individuelle et leur prise de décision éclairée. Ainsi, elles ne doivent pas être utilisées à des fins de désinformation et de manipulation »28. La lecture du règlement européen doit être effectuée de manière dynamique entre les différentes classifications des systèmes d’IA et non de manière rigide et étanche. Ainsi, la qualification d’une IA générative ne signifie pas que le contenu qu’elle génère ne puisse pas être qualifié en tant que pratique d’IA prohibée29. Il est important de recontextualiser le système d’IA par rapport à son utilisation, ses sorties et sa compatibilité avec l’article 5 du règlement. Selon cet article, certaines pratiques en matière d’IA sont interdites. Il convient de préciser que ce sont des « pratiques » qui sont interdites et non des systèmes d’IA. La comparaison avec les systèmes à haut-risque est pertinente pour expliciter cette distinction cardinale. Les systèmes d’IA à haut risque le sont car ils sont « destinés à être utilisés »30 pour un objectif qui est susceptible de porter un risque élevé pour la protection des droits fondamentaux 31. L’existence d’un objectif caractérise intrinsèquement un système à haut-risque, que ce soit pour influencer les élections, pour surveiller et détecter des comportements interdits chez les étudiants, pour le recrutement ou la sélection de personnes physiques etc..32. En revanche, l’article 5 interdit des « pratiques », non pas en fonction d’un objectif mais en fonction de la technique employée par 26 Ibid, article 79, 2. Ibid, article 79, 6. 28 Commission - Commission Guidelines on prohibited artificial intelligence practices established by Régulation (EU) 2024/1689 (AI Act), paragraphe 72, note de bas de page 63. 29 Ibid, article 5, 1, a); Commission européenne, Approvai of the content of the draft Communication from the Commission - Commission Guidelines on prohibited artificial intelligence practices established by Régulation (EU) 2024/1689 (Al Act), paragraphes 141, 142 145. 30 Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle, annexe III 31 Ibid, considérant 48. 32 Ibid, annexe III. 27 11 Autorité v 11 alla ► luxembourgeoise indépendante de l'audiovisuel le système d’IA et la conséquence de la sortie du système d’IA pour les personnes concernées. Par exemple, l’article 5, 1),
3. a)fait référence à un « système d’IA qui a recours à des techniques subliminales, au-dessous du seuil de conscience d’une personne, ou à des techniques délibérément manipulatrices ou trompeuses, avec pour objectif ou effet d’altérer substantiellement le comportement d’une personne ou d’un groupe de personnes en portant considérablement atteinte à leur capacité à prendre une décision éclairée »33. L’objectif ne fonde pas la définition d’une pratique prohibée, si bien que tout système d’IA peut potentiellement devenir une pratique prohibée, sans qu’il n’ait été développé avec pour une intention quelconque de commettre une telle pratique34. Les pratiques interdites en matière d’IA nécessitent une analyse in concreto de la part des autorités de surveillance de marché qui doivent adopter une approche dynamique de la conformité au règlement européen sur l’IA. En conséquence, la logique découlant du règlement européen sur l’IA veut que cette détection des pratiques prohibées soit attribuée aux autorités de surveillance du marché nommées par le projet de loi, dans le cadre des attributions qui leur sont confiées contribuant ainsi à la logique du « no gaps ; no overlaps »3S. Ainsi, l’ALIA, par sa désignation en tant qu’autorité de surveillance du marché a également la surveillance des pratiques prohibées dans le cadre de ses compétences découlant de l’article 50

(2)et

(4). Puisqu’il s’agit d’une compétence implicite qui découle d’une analyse croisée du règlement européen sur l’IA et du projet de loi, une mention explicite de cette compétence serait une source de clarification et de sécurité juridique dans le cadre de la gouvernance de l’IA au Luxembourg et du rôle que l’ALIA y jouera. B. Les implications concrètes pour l’ALIA et sa surveillance des pratiques prohibées. Puisque l’ALIA est compétente, en vertu du règlement européen sur l’IA, pour assurer qu’aucune pratique prohibée ne soit commise dans le cadre des articles 50

(2)et

(4)il convient de préciser cette mission. Les pratiques d’IA prohibées auxquelles l’ALIA est susceptible d’être confrontée se regroupent au sein des hypertrucages. Il convient d’analyser comment les hypertrucages s’imbriquent avec les pratiques interdites en matière d’IA. Le projet de loi donne compétence à l’ALIA pour la surveillance des contenus conformément à l’article 50

(2)et

(4). Dans le cadre du paragraphe 4, elle doit notamment assurer qu’il existe une indication que l’hypertrucage a été généré par un système d’IA. De surcroît, la compétence de l’ALIA en matière de surveillance des pratiques prohibées lue en conjonction avec le paragraphe 4, lui confère la mission de surveiller les hypertrucages, et de vérifier qu’ils ne constituent pas une pratique prohibée. L’article 79 précise cette surveillance en indiquant que « Lorsque l'autorité de surveillance du marché d'un Etat membre a des raisons suffisantes de 33 Ibid, article 5,

1. a) Commission - Commission Guidelines on prohibited artificial intelligence practices established by Régulation (EU) 2024/1689 (AI Act), paragraphe
2. 35 Projet de loi n°8476, portant mise en œuvre de certaines dispositions du règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle, pl
3. 34 12 K alia ► Autorité luxembourgeoise indépendante de l'audiovisuel considérer qu’un système d’IA présente un risque au sens du paragraphe 1 du présent article, elle procède à une évaluation de la conformité du système d’IA concerné avec l’ensemble des exigences et obligations énoncées dans le présent règlement »
4. Ainsi, si l’ALIA, au cours de sa mission de surveillance du respect des obligations de transparences de l’article 50

(4)a des raisons de penser qu’un hypertrucage relève d’une pratique prohibée, elle peut agir conformément au règlement européen sur l’IA. Comme il a été précédemment analysé, les contenus générés par une IA générative peuvent devenir des pratiques prohibées s’ils répondent à la définition de l’article 5,1, a). Notamment, la Commission européenne a mis en lumière la proximité étroite entre ces pratiques interdites et les hypertrucages, notamment lorsqu’ils sont utilisés à des fins de désinformation37. Un hypertrucage, par définition renvoie à un contenu généré par l’IA qui atteint une « ressemblance avec des personnes, des objets, des lieux, des entités ou événements existants » et peut être « perçu à tort » comme authentique. Le degré de réalisme qu’un hypertrucage atteint facilite sa qualification en tant que technique délibérément manipulatrice ou trompeuse38. Ainsi, un hypertrucage, peut intrinsèquement constituer une pratique prohibée s’il a pour effet « d’altérer substantiellement le comportement d’une personne ou d’un groupe de personnes en portant considérablement atteinte à leur capacité à prendre une décision éclairée »39. Par exemple, une modification substantielle peut se produire dans le cadre des élections, des communications commerciales ou du comportement relatif à la consommation de produits en général. L’article 5, 1.,

1. b)dispose davantage que « l 'utilisation d 'un système d’IA qui exploite les éventuelles vulnérabilités dues à l’âge, au handicap ou à la situation sociale ou économique spécifique d 'une personne physique ou d’un groupe de personnes donné avec pour objectif ou effet d’altérer substantiellement le comportement de cette personne ou d’un membre de ce groupe d’une manière qui cause ou est raisonnablement susceptible de causer un préjudice important à cette personne ou à un tiers »40. Il s’agit d’une disposition similaire à celle de l’interdiction précédente, avec pour interdiction supplémentaire, l’exploitation des vulnérabilités. Cette disposition est pertinente, notamment en référence avec la protection des mineurs dans le contexte des hypertrucages, de leur relation à l’information, et de leur protection à l’encontre des contenus d’IA qui peuvent leur être préjudiciables. Parmi les pratiques d’IA prohibées, ce sont les dispositions les plus pertinentes pour la conduite de la mission de l’ALIA dans ce domaine. Concrètement, une triple mission se dégage en ce qui concerne les hypertrucages : détecter les hypertrucages, identifier si leurs obligations de marquage sont respectées et vérifier qu’ils ne constituent pas une pratique prohibée. L’ALIA explore déjà des solutions concrètes pour réussir ces missions, par le biais de procédures adaptées afin de faire concilier la liberté d’expression par le biais de contenus générés par l’IA avec les pratiques prohibées en matière d’IA dont la finalité est de manipuler et de tromper les personnes concernées de manière préjudiciable. Dans 36 Ibid, article 79. Ibid, paragraphes 73 et 89 38 Ibid, paragraphe 72, note de bas de page 63 39 Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle, article 5, 1. a). 40 Ibid, article 5, 1 .,
2. b)37 13 41 H alia ► Autorité luxembourgeoise indépendante de l'audiovisuel cette mesure, une telle compétence s’intégre parfaitement dans les missions que l’ALIA exercent déjà, répond à l’esprit du projet de loi en matière d’expertise sectorielle et s’aligne pleinement avec l’accord de coalition 2023-2028. C. Une mission en adéquation avec les missions de l’ALIA et de l’accord de coalition 2023-2028 Le projet de loi et le règlement européen sur l’IA confèrent à l’ALIA la compétence pour vérifier que les hypertrucages ne constituent pas des pratiques prohibées. Cette nouvelle mission s’inscrit parfaitement dans l’esprit de l’accord de coalition 2023-2028 visant « à instaurer un environnement sûr et propice à la libre expression et à la démocratie. » 4Î au Luxembourg. Pour l’ALIA et ses nouvelles compétences en matière d’IA issues du projet de loi, un tel esprit se concrétise par la lutte contre la désinformation effectuée par la voie des hypertrucages générés par l’IA. Lors des périodes électorales, de telles pratiques ont pu être identifiées, notamment par le biais d’hypertrucages audios, vidéos et sous la forme d’images dans le but de provoquer de la désinformation auprès des électeurs. Durant les élections états-uniennes, un hypertrucage audio de Joe Biden avait été généré et diffusé par téléphone et avait pour but de manipuler les électeurs démocrates de ne pas aller voter42. Durant les élections slovaques, un hypertrucage audio avait été généré, un jour avant le vote, et mettait en scène le chef du parti libéral qui laissant penser à tort qu’il avait truqué les élections et acheté le vote des minorités roms43. Durant les élections roumaines, la campagne menée par des AI bots sur les réseaux sociaux a drastiquement affecté le comportement des électeurs44. Durant les élections françaises, des contenus générés par l’IA incitant à la discrimination dans une campagne appelé «L’Europe sans eux » a été menée par des groupes d’extrême droite45. Ces illustrations sont loin d’être exhaustives, mais elles représentent le potentiel de désinformation que les hypertrucages sont susceptibles de causer. La désinformation effectuée à l’aide de contenus générés par l’IA devient quotidienne, et en conférant ces missions à l’ALIA, le projet de loi participe à assurer la sérénité et à préserver l’intégrité des élections au Luxembourg. En effet, les pratiques mentionnées ci-dessus illustrent la capacité de manipuler le corps électoral en attisant la haine, en incitant la discrimination et en stigmatisant certaines personnes. Les pratiques mentionnées ci-dessus, fondées sur le mensonge, la tromperie et la duperie 41 Accord de coalition « Lëtzebuergfir d’Zukunft staerken >>(2023-2028), plO. Expert Group on Artificial Intelligence and élections, Artificial Intelligence and Démocratie Elections International Expériences and National Recommendations, publié en février 2025, Ministry of Local Government and Régional Development de Norvège, p62 43 Ibid, p9; Morgan Meaker, Slovakia’s Election Deepfakes Show AI Is a Danger to Democracy, publié le 3 octobre 2023, Wired, disponible à https://www.wired.com/storv/slovakias-election-deepfakes-show-ai-is-adan ger-to-democrac y/. 44 Expert Group on Artificial Intelligence and élections, Artificial Intelligence and Démocratie Elections International Expériences and National Recommendations, publié en février 2025, Ministry of Local Government and Régional Development de Norvège, p45 45 Ibid, p50. 42 14 Z* dLlCl Jk. && Autorité luxembourgeoise indépendante de l'audiovisuel illustrent cette nouvelle menace portée par les contenus générés par l’IA pour la démocratie luxembourgeoise. L’utilisation de ces hypertrucages, amenés à être plus réalistes, constituent un nexus pour la désinformation. Tout en respectant la liberté d’expression et les communications politiques, l’ALIA a la mission d’assurer une protection contre la désinformation effectuée par la voie des contenus générés par l’IA. L’ALIA possède déjà une expérience solide dans l’analyse des communications commerciales trompeuses et au vue de « son expérience dans la surveillance de l 'application de règles relatifs au contenu »46, les méthodologies de détection d’un hypertrucage trompeur devront être adaptées à la technologie de l’IA et aux éléments de définition de l’article 5. Des procédures adéquates devront être mises en place pour assurer une réponse rapide face à ces hypertrucages. Par conséquence, une telle compétence est en parfaite cohésion avec la mission, l’expérience, l’expertise et le rôle de l’ALIA au Luxembourg. IV. Proposition de rédaction de la nouvelle disposition du projet de loi. L’ALIA accueille avec un grand enthousiasme ses nouvelles missions et accepte son rôle dans la gouvernance de l’IA au Luxembourg. Toutefois, il est d’avis qu’une reformulation devrait être effectuée afin d’apporter une plus grande clarté pour la gouvernance de l’IA au Luxembourg et que le rôle que l’ALIA y jouera. - Une reformulation de l’article 7 paragraphe 8 devrait être effectuée ainsi : Par dérogation au paragraphe 1er , 1'Autorité luxembourgeoise indépendante de l’audiovisuel est désignée autorité de surveillance du marché au titre du règlement (UE) 2024/1689, lorsqu’un système d’intelligence artificielle est mis sur le marché, mis en service ou utilisé par une entité soumise à sa surveillance, pour la surveillance du respect des dispositions prévues à l’article 50, paragraphes 2 et 4 du règlement (UE) 2024/1689 et de la surveillance des pratiques prohibées dans le contexte de ces dispositions. 46 Projet de loi n°8476, portant mise en œuvre de certaines dispositions du règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle, p5. 15 H alia Autorité luxembourgeoise indépendante de l'audiovisuel Ainsi fait et délibéré lors de la réunion du Conseil du 17 mars 2025 par : Marc Glesener, président Valérie Dupong, membre Romain Schroeder, membre Luc Weitzel, membre Claude Wolf, membre Pour exp< ’ Marc Glesener Présider» 16