← Luxembourg

Projet de loi n°84761 portant mise en œuvre de certaines dispositions du règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024

Luxembourg, le 2 avril 2025 Objet : Projet de loi n°84761 portant mise en œuvre de certaines dispositions du règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle et modifiant les règlements (CE) n°300/2008, (UE) n° 167/2013, (UE) n° 168/2013, (UE) 2018/858, (UE) 2018/1139 et (UE) 2019/2144 et les directives 2014/90/UE, (UE) 2016/797 et (UE) 2020/1828 (règlement sur l’intelligence artificielle) et portant modification de : 1° la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données ; 2° la loi modifiée du 23 décembre 1998 portant création d’une commission de surveillance du secteur financier ; 3° la loi modifiée du 7 décembre 2015 sur le secteur des assurances. (6773VKA/XKE) Saisine : Ministre d'Etat (17 décembre 2024) Avis commun de la Chambre de Commerce et de la Chambre des Métiers En bref La Chambre de Commerce et la Chambre des Métiers se félicitent de l’engagement du Gouvernement pour une mise en œuvre rapide de certaines dispositions du règlement européen sur l’intelligence artificielle (ci-après le « Règlement européen sur l’intelligence artificielle » ou l’« AI Act »). Elles insistent sur l’importance de la mise en place d’un écosystème d’excellence (autorités nationales compétentes) et de bacs à sables règlementaires attractifs afin de positionner le Luxembourg comme un hub stratégique européen pour l'IA. Après consultation de leurs ressortissants, les deux chambres professionnelles sont en mesure d’approuver le projet de loi sous avis, sous réserve de la prise en compte de leurs observations. * 1 Lien vers le projet de loi sur le site de la Chambre des Députés * * Avis commun de la Chambre de Commerce et de la Chambre des Métiers Résumé Le projet de loi sous avis (ci-après le « Projet ») a pour objet de mettre en œuvre certaines dispositions du règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle et modifiant plusieurs règlements et directives existants 2 (AI Act). Au regard de l’importance du projet de loi sous avis et de ses répercussions sur les entreprises luxembourgeoises, la Chambre de Commerce et la Chambre des Métiers jugent utile et nécessaire de prendre position à travers un avis commun. Si les deux chambres professionnelles saluent l’initiative proactive du Gouvernement qui positionne le Luxembourg parmi les premiers États membres à proposer un projet de loi d’implémentation nationale de l’AI Act, elles tiennent néanmoins à formuler certaines observations relatives aux modalités concrètes de la mise en œuvre proposée par le Projet. La mise en œuvre de certaines dispositions de l’IAI Act est une étape essentielle pour la promotion d’un environnement propice à l’innovation et qui permet de renforcer la confiance des utilisateurs dans cette technologie. Les autorités désignées au niveau national seront, inévitablement, un élément clé pour l’attractivité du pays en tant qu’« AI Hub » européen. Elles devraient être facilement accessibles et ouvertes au dialogue avec tous les acteurs concernés. Elles devraient également disposer des ressources suffisantes pour assurer un accompagnement adéquat des entreprises, œuvrer pour la clarification des obligations des entreprises et la promotion de bonnes pratiques. Il sera également important de mettre en place des procédures harmonisées et proportionnées qui n’alourdissent pas inutilement les charges administratives, notamment pour les start-ups et les petites et moyennes entreprises (PME). Les deux chambres professionnelles tiennent par ailleurs à souligner l’importance d’une mise en œuvre de l’AI Act axée sur la promotion de l’innovation. Garantir le fonctionnement des bacs à sable réglementaires permettant de tester les nouvelles solutions d'IA dans des conditions attractives et sécurisées est un facteur clé de positionnement pour le Luxembourg. Cela permet d'attirer les entreprises à la recherche d'un environnement favorable à l'innovation en Europe, ainsi que des capitaux essentiels pour soutenir cette innovation. La Chambre de Commerce et la Chambre des Métiers soutiennent en outre pleinement le choix d'inclure, en complément des amendes administratives (sanctions financières) des mesures d’exécution non financières (possibilité pour les autorités nationales de prononcer des avertissements et des blâmes) dans une intention de guidance et d’accompagnement. Elles invitent cependant les auteurs du Projet à apporter plus de clarification concernant tant l’articulation entre les amendes et les autres mesures d’exécution que des principes applicables à la détermination du montant des amendes. 2 Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle et modifiant les règlements (CE) n° 300/2008, (UE) n° 167/2013, (UE) n° 168/2013, (UE) 2018/858, (UE) 2018/1139 et (UE) 2019/2144 et les directives 2014/90/UE, (UE) 2016/797 et (UE) 2020/

  1. 2 Avis commun de la Chambre de Commerce et de la Chambre des Métiers Concernant les modifications proposées à la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données 3, les deux chambres professionnelles s’opposent vigoureusement à la possibilité de publication par la Commission nationale pour la protection des données (CNPD) d’informations relatives aux enquêtes en cours. Une telle pratique pourrait entraîner des répercussions défavorables, voire néfastes, notamment, pour la réputation d’une entreprise et soulève des questions en ce qui concerne le respect du principe d’innocence. * * * Le contexte général du Règlement européen sur l’intelligence artificielle Le Projet sous avis a pour objet de mettre en œuvre en droit national certaines dispositions du Règlement européen sur l’intelligence artificielle. Ce règlement vise à améliorer le fonctionnement du marché intérieur de l’Union européenne (ci-après « UE ») en établissant des règles harmonisées pour le développement, la mise sur le marché, la mise en service et l’utilisation des systèmes d’intelligence artificielle dans le respect des valeurs européennes, ainsi que de promouvoir l’adoption de l’intelligence artificielle (ci-après l’« IA ») axée sur le facteur humain et digne de confiance, tout en garantissant un niveau élevé de protection de la santé, de la sécurité et des droits fondamentaux. L’AI Act adopte une approche horizontale, en ce qu’il a vocation à s’appliquer indépendamment du secteur d’activité ou du type d’intelligence artificielle, et ses dispositions sont applicables à tous les acteurs de la chaîne de valeurs
  2. L’AI Act prévoit une classification règlementaire basée sur les risques associés aux systèmes d’IA destinés à être mis sur le marché ou mis en service. Ainsi, certaines pratiques particulièrement néfastes qui représentent des risques jugés inacceptables, sont interdites en raison de leur caractère contraire aux valeurs de l’UE
  3. Les systèmes d'IA identifiés « à haut risque » sont soumis à des exigences strictes et doivent subir une évaluation de conformité avant leur commercialisation dans l'UE. Certains systèmes d’IA destinés à interagir directement avec des personnes physiques ou qui peuvent générer ou manipuler des contenus de synthèse, sont quant à eux soumis à des règles de transparence spécifiques envers les utilisateurs de l’IA. Dans ce cas, l’accent est mis sur l’information des utilisateurs dans leur interaction avec les applications visées, avec l’objectif de prévenir toute manipulation potentielle. Le respect de cet ensemble de règles doit être assuré par un système de gouvernance au niveau national et un mécanisme de contrôle, de supervision et de coopération au niveau européen. En outre, pour encourager l’innovation, l’AI Act prévoit la création de bacs à sable règlementaires sur l’IA et d’autres mesures pour réduire la charge règlementaire et soutenir le développement innovatif des PME et start-ups. 3 Loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), portant modification du Code du travail et de la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’Etat. 4 Les dispositions de l’IA Act sont applicables à tous les acteurs de la chaîne de valeur, à savoir les fournisseurs, les déployeurs, les fabricants de produits, les importateurs, les distributeurs et autres personnes concernées. 5 L’article 5 du Règlement européen sur l’intelligence artificielle comprend une liste des pratiques interdites d’IA qui, selon le considérant 28 du Règlement « sont contraires aux valeurs de l’Union relatives au respect de la dignité humaine, à la liberté, à l’égalité, à la démocratie et à l’état de droit, ainsi qu’aux droits fondamentaux consacrés dans la Charte, y compris le droit à la non-discrimination, le droit à la protection des données et à la vie privée et les droits de l’enfant ». 3 Avis commun de la Chambre de Commerce et de la Chambre des Métiers L’AI Act est entré en vigueur le 1er août 20246 et deviendra pleinement applicable à partir du 2 août 2026, à l’exception de certaines dispositions qui seront applicables avant ou après cette échéance. Les dispositions relatives aux systèmes d’IA prohibés sont d’ores et déjà applicables depuis le 2 février 2025, alors que les dispositions relatives à la nomination des autorités compétentes nationales vont entrer en vigueur le 2 août
  4. Les règles relatives aux systèmes d’IA à haut risque seront quant à elles applicables à partir du 2 août
  5. Si ledit règlement est contraignant et, à la différence d’une directive, ne donne pas de latitude législative nationale pour adapter la plus grande partie des dispositions, une certaine marge de manœuvre existe pour quelques modalités pratiques dans sa mise en œuvre au niveau national. Le Projet sous avis a ainsi pour objet, en premier lieu, de désigner les autorités nationales qui auront la charge de l’application et de la surveillance de l’AI Act, à savoir les autorités notifiantes et les autorités de surveillance de marché. Le Projet définit, dans ce contexte, les missions et les pouvoirs des autorités compétentes. En deuxième lieu, le Projet contient également une disposition relative à la mise en place de bacs à sable règlementaires de l’IA au niveau national. En troisième lieu, le Projet définit un régime de sanctions qui peuvent être prononcées par les autorités compétentes, dans le cadre de l’exercice de leurs pouvoirs, ainsi qu’un droit de recours contre les décisions de ces autorités. Points d’attention spécifiques I. Le choix des autorités nationales proposées par le Projet Conformément à l’article 70 de l’AI Act, chaque État membre doit établir ou désigner, en tant qu’autorité nationale compétente, au moins une autorité notifiante et au moins une autorité de surveillance de marché. Les autorités nationales compétentes doivent exercer leurs pouvoirs de manière indépendante, impartiale et sans parti pris, afin de préserver l’objectivité de leurs activités et de leurs tâches et d’assurer l’application et la mise en œuvre du règlement. Pour autant que ces principes soient respectés, l’AI Act laisse le choix aux États membre d’établir ou de désigner une ou plusieurs autorités compétentes pour accomplir les différentes activités et tâches, en fonction des besoins organisationnels de l’État membre. Aux yeux de la Chambre de Commerce et de la Chambre des Métiers, l’approche et l’accessibilité des régulateurs nationaux et la cohérence de leur démarche dans le cadre de la mise en œuvre des règles de l’AI Act seront des facteurs déterminants d’attractivité du pays vis-à-vis des entreprises actives dans la sphère de l’IA. La comparaison de la manière dont les autorités nationales conçoivent et exercent leurs missions influencera nécessairement les décisions futures d’implantation des développeurs et des investisseurs. Le choix des autorités nationales compétentes est en ce sens un facteur de positionnement économique, ce qui justifie l’importance stratégique d’une règlementation efficace orientée fermement vers l’innovation. Le Règlement européen sur l’intelligence artificielle a été publié le 12 juillet 2024 au Journal Officiel de l’Union européenne et est entré en vigueur le 1er août 2024 (20 jours après la date de publication officielle). 6 4 Avis commun de la Chambre de Commerce et de la Chambre des Métiers ➢ Concernant la désignation des autorités de surveillance de marché7 Plusieurs autorités sont désignées comme autorités de surveillance de marché, chacune dans son domaine de compétence respectif. La Commission nationale pour la protection des données (CNPD) est désignée comme autorité de surveillance de marché horizontale par défaut et elle est en outre désignée point de contact unique en charge de la coordination des autres autorités de surveillance du marché sectorielles. Sept autorités sectorielles sont ainsi nommées autorités de surveillance du marché dans leurs champs de compétence et d’expertise spécifiques, à savoir l’Autorité de contrôle judiciaire, la Commission de surveillance du secteur financier (CSSF), le Commissariat aux assurances (CAA), l’Institut luxembourgeois de la normalisation, de l’accréditation, de la sécurité et qualité des produits et services (ILNAS), l’Institut luxembourgeois de régulation (ILR), l’Agence luxembourgeoise des médicaments et produits de santé (ALMPS) et l’Autorité luxembourgeoise indépendante de l’audiovisuel (ALIA). Le gouvernement luxembourgeois a opté pour la désignation de plusieurs autorités compétentes déjà existantes. Les auteurs du Projet ont motivé ce choix dans les commentaires des articles comme suit : « Dans un souci de simplification administrative et d’efficience budgétaire, la mission de surveillance du marché est attribuée à des organismes ou établissement de surveillance ou de régulation établis. Prenant en considération l’interaction entre le règlement sur l’intelligence artificielle et les législations sectorielles, la désignation des autorités de surveillance du marché se fonde sur le principe que chaque autorité existante reste responsable dans son domaine de compétences. Ceci assure que la surveillance est exercée là où se trouve l’expertise sectorielle et évite des conflits de compétences entre autorités. En plus, la désignation des autorités se fait suivant la logique « pas de lacunes, pas de chevauchements » (« no gaps, no overlaps »). En d’autres mots, il s’agit de nommer une autorité de surveillance du marché pour chaque cas de figure, sans qu’il y ait un chevauchement entre les champs de compétentes de ces autorités. »
  6. Si la Chambre de Commerce et la Chambre des Métiers prennent bonne note des avantages d’une approche qui favorise l’expertise sectorielle acquise par les autorités existantes, elles s’interrogent toutefois sur certains aspects de l’architecture régulatoire proposée. Si l’AI Act ne laisse pas de marge de manœuvre au législateur national pour adapter ses dispositions, il en existe une pour la désignation et le fonctionnement des régulateurs nationaux et, de l’avis des deux chambres professionnelles, le Luxembourg devrait saisir cette opportunité pour proposer une gouvernance claire, simple et accessible aux entreprises. C’est dans ce contexte que la Chambre de Commerce et la Chambre des Métiers souhaitent attirer l’attention des auteurs du Projet sur les trois aspects suivants, en lien avec la désignation de plusieurs autorités de surveillance de marché, sous la coordination de la CNPD. Selon la définition de l’article 3

(26)de l’IA Act, l’autorité de surveillance du marché est « l’autorité nationale assurant la mission et prenant les mesures prévues par le règlement (UE) 2019/1020 ». Le règlement européen visé est le règlement (UE) 2019/1020 du Parlement européen et du Conseil du 20 juin 2019 sur la conformité des produits, et modifiant la directive 2004/42/CE et les règlements (CE) n° 765/2008 et (UE) n° 305/
  1. 8 Commentaires des articles du Projet de loi n° 8476, page 2, Ad article
  2. 7 5 Avis commun de la Chambre de Commerce et de la Chambre des Métiers En premier lieu, si le choix du gouvernement de désigner plusieurs autorités de surveillance de marché, sous la coordination de la CNPD, devait être maintenu, les deux chambres professionnelles sont d’avis que la répartition des tâches entre les différentes autorités, sur base d’une connaissance approfondie du marché en cause, devrait être accompagnée de l’adoption d’un règlement de procédure commun et de la mise en place de groupes de travail communs entre les différentes autorités de surveillance de marché. Cela permettrait de limiter les risques de pratiques et de procédures divergentes, ou la prise de décisions divergentes, voire contradictoires, entre les différentes autorités de surveillance de marché compétentes. En deuxième lieu, si la proposition du gouvernement de designer la CNPD en tant qu’autorité de surveillance de marché horizontale par défaut et point de contact unique en charge de la coordination des autorités de surveillance du marché sectorielles devait être retenue, l’ampleur des tâches de coordination de la part de la CNPD devrait être mieux définie afin de lui donner un mandat et un rôle clair, notamment dans le cadre de son pouvoir de prise de décision. Dans ce rôle, la CNPD devrait disposer en permanence d’un personnel en nombre suffisant, dont les compétences et l’expertise devraient comprendre une connaissance approfondie des technologies de l’IA et du cadre règlementaire afférent. S’il peut être difficile à ce stade d’estimer avec précision les besoins en personnel pour la mise en œuvre de l’AI Act, un premier bilan après 2 années de fonctionnement permettrait d’évaluer les besoins en personnel et d’adapter les effectifs sur cette base. Par la suite, un suivi régulier devrait être effectué (voir les commentaires détaillés sur la fiche financière du Projet, ci-dessous9). Les deux chambres professionnelles estiment en outre essentiel que la CNPD incorpore dans sa future structure organisationnelle une distinction claire entre ses tâches en lien avec la protection des données (RGPD) et celles en lien avec l’AI Act. La différence entre le règlement européen sur la protection des données (RGPD) et l'AI Act, qui réside tant dans leurs objectifs et leurs champs d'application10, devrait être tenu en compte dans le cadre de la nouvelle organisation de la CNPD. Dans la prolongation de cette proposition, il apparaît opportun, aux yeux des deux chambres professionnelles, de changer le nom de la CNPD en « Luxembourg data and AI Authority » pour témoigner de l’importance que le Luxembourg accorde aux nouvelles missions de cette autorité. En troisième lieu, à l’instar de la proposition faite par la CSSF dans son avis sur le projet de loi en question11, la Chambre de Commerce et la Chambre des Métiers invitent les auteurs du Projet à délimiter le champ des compétences des autorités de surveillance du marché aux systèmes d’IA qui sont directement en lien avec la fourniture de services au cœur des activités sectorielles des entités soumises à leur surveillance. Sans cette précision, il existe le risque que ces autorités se trouvent compétentes de surveiller les systèmes d’IA qui sont utilisées pour des activités dites « de support », telles par exemple, le recrutement du personnel, au même titre que la CNPD. 9 Voir point VI « Quant à la fiche financière », page 9 du présent avis Si le RGPD est un règlement européen qui régit la protection des données personnelles au sein de l'Union européenne, l’AI Act est un règlement ayant comme objectif de promouvoir l'adoption de l'IA centrée sur l'humain et digne de confiance, tout en garantissant un niveau élevé de protection de la santé, de la sécurité et d’une pléthore des droits fondamentaux, y compris la protection des données personnelles. 11 Avis de la Commission de Surveillance du secteur financier du 17.07.2025 sur le Projet de loi sous avis. 10 6 Avis commun de la Chambre de Commerce et de la Chambre des Métiers ➢ Concernant la désignation des autorités notifiantes12 Le Projet sous avis désigne trois autorités notifiantes pour l’application et l’exécution du Règlement européen sur l’intelligence artificielle, à savoir l’Institut luxembourgeois de la normalisation, de l’accréditation, de la sécurité et qualité des produits et services, au travers de son département Office luxembourgeois d’accréditation et de surveillance (OLAS), le Commissariat du gouvernement à la protection des données auprès de l’État (CGPD) et l’Agence luxembourgeoise des médicaments et produits de santé (ALMPS). En outre, la CNPD est désignée organisme notifié13 pour les cas visés par l’article 43 § 1er in fine de l’AI Act
  3. Le choix de désigner plusieurs autorités notifiantes n’est pas expressément motivé dans l’exposé des motifs ni dans les commentaires du Projet. Dans un souci de simplification administrative et de clarté procédurale, les deux chambres professionnelles demandent que la possibilité de désigner une seule autorité notifiante soit envisagée. II. La mise en place des bacs à sable règlementaires au Luxembourg L’AI Act prévoit que les États membres veillent à ce que leurs autorités compétentes mettent en place, au niveau national, au moins un bac à sable réglementaire (« regulatory sandbox ») en matière d'IA, qui sera opérationnel, au plus tard, le 2 août
  4. Pour rappel, l’objectif de ce bac à sable réglementaire est d’encourager l'innovation et de faciliter le développement, la formation, l'essai et la validation de systèmes d'IA innovants pendant une période limitée avant leur mise sur le marché, conformément à un plan spécifique convenu entre les fournisseurs et l'autorité compétente. C’est dans cette perspective que le Projet sous avis prévoit que la CNPD, en tant qu’autorité compétente, devrait héberger un tel environnement de test au Luxembourg
  5. La Chambre de Commerce et la Chambre des Métiers sont d’avis que le Luxembourg devrait adopter une position ambitieuse sur les bacs à sable réglementaires, en devenant un « testing hub », offrant aux entreprises des bacs à sable aux conditions attractives. Ces environnements de test pourraient ainsi devenir une niche stratégique pour le Luxembourg, le positionnant à l’échelle internationale comme un point d’entrée pour les entreprises de pays tiers qui veulent s’implanter dans l’UE et tester la conformité de leur produits IA. Leur succès pourrait bénéficier à l’écosystème d’IA au Luxembourg dans sa totalité. Il y a lieu de souligner, à cet égard, l’analyse récente de L’OCDE 17 sur le potentiel de ce type d’environnements de test pour l’ensemble de l’économie d’un pays. Selon cette étude, les avantages des bacs à sable réglementaires incluent notamment, la facilitation du financement des entreprises et l’accélération de la mise sur le marché des produits innovants, en réduisant les coûts administratifs. Selon la définition de l’article 3
(19)de l’AI Act, l’autorité notifiante est « l’autorité nationale chargée de mettre en place et d’accomplir les procédures nécessaires à l’évaluation, à la désignation et à la notification des organismes d’évaluation de la conformité et à leur contrôle ». 13 L’article 3
(22)de l’AI Act définit l’organisme notifié comme « un organisme d’évaluation de la conformité notifié en application du présent règlement et d’autres actes législatifs d’harmonisation de l’Union pertinents ». 14 Sur base de l’article 43 §1 er in fine de l’AI Act, « lorsque le système d’IA à haut risque est destiné à être mis en service par les autorités répressives, les services de l’immigration ou les autorités compétentes en matière d’asile ou par les institutions, organes ou organismes de l’UE, l’autorité de surveillance du marché visée à l’article 74, paragraphe 8 ou 9, selon le cas, agit en tant qu’organisme notifié ». 15 Article 57 de l’AI Act. 16 Article 12, paragraphe 1 du Projet. 17 OCDE
(2023), « Regulatory sandboxes in artificial intelligence », Documents de travail de l'OCDE sur l'économie numérique, n° 356, Éditions OCDE, Paris, https://doi.org/10.1787/8f80a0e6-en. 12 7 Avis commun de la Chambre de Commerce et de la Chambre des Métiers ➢ Tests aux conditions attractives Les modalités de fonctionnement des bacs à sable règlementaires sont définies, dans les grandes lignes, par l’AI Act, et seront détaillées davantage dans des mesures publiées ultérieurement par la Commission européenne. Le Luxembourg devrait toutefois créer ces environnements de tests, en optant pour des conditions encore plus avantageuses que celles exigées par les normes européennes, afin de devenir un pionnier des bacs à sable réglementaires, reconnu à l'échelle mondiale. Ces environnements de test peuvent donner un signal fort montrant que le Luxembourg est un terrain propice à l’innovation et à l’accueil des technologies de pointe. Les caractéristiques clés des bacs à sable réglementaires qui seront mis en place par la CNPD sur la base du Projet, devraient être aux yeux des deux chambres professionnelles, notamment les suivantes : - participation à faible coût ; - accompagnement étroit par la CNPD dans la préparation des dossiers (rédaction de « plan spécifique » de bac à sable) ; - durée courte de tests (en suivant, dans la mesure du possible, le « product to market » timeline) ; - garanties de confidentialité très élevées pour les « business models » et les algorithmes ; - spécialistes proactifs, plurilingues, avec un esprit agile et collaboratif, ayant des connaissances approfondies en matière de législation IA et une expérience pratique démontrée ; - lien étroit entre le « rapport de sortie » (preuve écrite des activités menées avec succès dans le bac à sable), rédigé à la fin d’un test et le suivi de la procédure de conformité avec l’AI Act afin de faciliter les démarches des entreprises en ce sens18 ; - règles nationales claires concernant le régime de responsabilité applicable dans le cadre de cet environnement de test. La nécessité de l’élaboration des règles applicables pour tout préjudice infligé à des tiers en raison de l’expérimentation menée dans les bacs à sable est d’autant plus importante, eu égard à l’absence de telles règles au niveau européen19. ➢ Exploiter les opportunités additionnelles prévues dans l’AI Act. Outre le bac à sable qui doit être mis en place obligatoirement, l’AI Act prévoit également certaines options que les États membres peuvent exercer afin d’élargir leur écosystème de bacs à sable règlementaires. La Chambre de Commerce et la Chambre des Métiers estiment que les bacs à sable réglementaires signalent une attitude progressiste d’un pays envers l'innovation et peuvent contribuer à attirer le capital-risque et d'autres investissements. Il est ainsi proposé de Il est précisé à cet égard à l’article 57, paragraphe 7 de l’AI Act que (…) les rapports de sortie et la preuve écrite fournie par l’autorité nationale compétente sont évalués de manière positive par les autorités de surveillance du marché et les organismes notifiés, en vue d’accélérer les procédures d’évaluation de la conformité dans une mesure raisonnable ». 19 L’article 57, paragraphe 12 de l’AI prévoit à cet égard que « Les fournisseurs et les fournisseurs potentiels participant au bac à sable réglementaire de l’IA demeurent responsables, en vertu du droit de l’Union et du droit national applicable en matière de responsabilité, de tout préjudice infligé à des tiers en raison de l’expérimentation menée dans le bac à sable. ». 18 8 Avis commun de la Chambre de Commerce et de la Chambre des Métiers favoriser la création d’un écosystème plus large des bacs à sable interopérables en explorant les autres possibilités données par l’IA Act et de faciliter, notamment : - des essais en conditions réelles des systèmes d’IA à « haut risque », supervisés dans le cadre d’un bac à sable réglementaire de l’IA, en entamant une collaboration entre la CNPD et le « superordinateur » luxembourgeois Meluxina (possibilité offerte par l’AI Act20) ; - l’établissement des bacs à sable réglementaires conjointement avec les autorités compétentes d’autres États, et notamment avec les pays voisins (possibilité offerte par l’AI Act21) ; - la mise en place par la CSSF d’un bac à sable règlementaire pour les besoins spécifiques du secteur financier (possibilité dans l’AI Act, évoquée dans le Projet sous avis). Ceci pourrait accélérer l’adoption de l’IA dans le secteur financier, un secteur déjà identifié comme clé pour la compétitivité du Luxembourg22. III. Le régime de sanctions et autres mesures d’exécution Le régime des sanctions applicables pour les violations des dispositions de l’AI Act doit être défini par les États membres, conformément aux conditions établies dans le Règlement européen sur l’intelligence artificielle23. En effet, en vertu de l’article 99, paragraphe 1er de l’AI Act, les États membres déterminent le régime des sanctions et autres mesures d’exécution, qui peuvent également comprendre des avertissements et des mesures non monétaires, applicables aux violations des dispositions de l’AI Act. Ces sanctions doivent être effectives, proportionnées et dissuasives et tenir compte des intérêts des PME, y compris les jeunes pousses, et de leur viabilité économique. La Chambre de Commerce et la Chambre des Métiers saluent le choix d’inclure - à côté des sanctions monétaires - des mesures non monétaires, à savoir la possibilité pour les autorités nationales de prononcer des avertissements et des blâmes dans le cadre de l’exercice de leurs missions. Ce choix démontre l’intention d’instaurer une approche collaborative, fondée sur une intention d’accompagnement et de guidance des entreprises concernant leurs nouvelles obligations. Il est ainsi proposé d’étoffer davantage cette approche en apportant plus de clarifications sur l’articulation entre l’imposition des « amendes » et la procédure de prononcé d’un « blâme » ou d’un « avertissement ». De l’avis des deux chambres professionnelles, il devrait être indiqué clairement dans le Projet sous avis que les mesures non monétaires, devraient être, dans la mesure du possible, priorisées, eu égard à la complexité et à la nouveauté règlementaire instaurée par l’AI Act. Il est par ailleurs fortement recommandé d’inclure explicitement dans le texte du Projet les éléments visés à l’article 99, paragraphe 7, lettres
  1. a)à
  2. j)de l’AI Act, qui détaillent les caractéristiques propres à chaque cas d’espèce, prises en compte par les autorités nationales pour décider du montant d’une amende administrative. Une telle inclusion s’impose non pas seulement dans un souci de clarté juridique, mais également pour faciliter une approche Article 60 de l’AI Act. Article 57, paragraphe 1 de l’AI Act. 22 Ainsi que le relève une étude de la CSSF sur l’utilisation de l’IA par le secteur financier au Luxembourg (Thematic review on the use of Artificial Intelligence in the Luxembourg Financial sector, page 5) : « the usage of AI in the Luxembourg financial sector is currently fairly limited and still at an early stage, but investments in this technology and especially ML are estimated to increase, paving the way for a wider adoption of these innovative technologies in the near future. ». 23 Chapitre XII de l’AI Act : « Sanctions ». 20 21 9 Avis commun de la Chambre de Commerce et de la Chambre des Métiers cohérente, eu égard notamment au grand nombre d‘autorités compétentes qui seraient compétentes pour imposer des sanctions. IV. Le droit de recours contre les décisions des autorités compétentes Les deux chambres professionnelles observent que le Projet sous avis prévoit la possibilité d’introduire un recours contre une décision d’une autorité compétente en matière d’IA devant le tribunal administratif24. Il serait nécessaire de réfléchir d’ores et déjà aux modalités de préparation des juridictions luxembourgeoises pour leur permettre de traiter efficacement ce nouveau type des litiges. Des formations dédiées pourraient aider les juges à appréhender les particularités liées aux fonctionnements des systèmes d’IA caractérisés par une opacité, une complexité et une autonomie élevées. À la différence des recours classiques, l’analyse de ce type de recours pourrait nécessiter une compréhension plus pointue de la technologie en cause, tâche particulièrement complexe quand le système d’intelligence en cause est fondé sur la technique de « machine learning » (apprentissage automatique). V. Quant à la fiche financière La Chambre de Commerce et la Chambre des Métiers notent l’aspect indicatif de la fiche financière accompagnant le Projet sous avis. Comme l’indiqué dans cette fiche : « [l]’adoption de l’IA n’étant que très récente, il n’existe aujourd’hui pas de données qui permettent d’évaluer de manière fiable le nombre de dossiers qui seront à traiter par les autorités compétentes. ». Par conséquent, « […] ces besoins ne pourront être considérés que comme étant approximatifs et il n’est pas à exclure qu’ils risquent d’évoluer à court terme et rapidement dans l’une ou l’autre direction ».25 Les budgets alloués seront ainsi fixés annuellement en concertation avec l’Inspection générale des finances. Cela étant, les deux chambres professionnelles invitent les auteurs du Projet à fournir une vue globale plus complète incluant l’ensemble des autorités investies de nouvelles missions dans le cadre de l’IA Act (autorités de surveillance de marché et autorités notifiantes). À ce stade, seule trois autorités sur dix au total ayant communiqué leurs besoins (indicatifs) en ressources financières et humaines supplémentaires (CNPD, ALIA et ILR), il est très difficile d’avoir une vue claire des besoins et de leur répartition entre autorités compétentes. Lors de la collecte des besoins, il sera important d’aller dans le détail en déclinant les postes budgétaires par types de tâches. Cela facilitera le suivi bisannuel de l’évaluation des besoins en ressources proposé et l’adaptation des effectifs au plus près de la charge de travail26. Au vu de la part des frais de personnel dans le montant total des frais de la CNPD par exemple (95,7% en 2025), il sera capital de gagner en précision dans le souci de garantir une utilisation raisonnée des fonds publics tout en garantissant des services de qualité. À ce stade, l’absence d’harmonisation entre les besoins indicatifs, en termes de temporalité et de degré de détail, qui ont été communiqués par les trois autorités susmentionnées, rend tout exercice de comparaison particulièrement ardu et imprécis. S’agissant de la CNPD, dont les besoins exprimés sont les plus détaillés, la Chambre de Commerce et la Chambre des Métiers saluent une première estimation des besoins. Les besoins en personnel supplémentaire sont estimés à 8 unités en 2025, année d’entrée en 24 Article 17 du Projet. Fiche financière du Projet, page 1. 26 Voir également les commentaires à la page 5. 25 10 Avis commun de la Chambre de Commerce et de la Chambre des Métiers vigueur du projet de loi, et à 3 unités en 2026. Toutefois, elles s’étonnent du faible budget alloué à la formation (2.475 EUR en 2025, puis 3.150 EUR annuels entre 2026 et 2028). L’absence d’un budget alloué à la communication est également un point d’attention. La communication, tant sur les nouvelles responsabilités de la CNPD (et des différentes autorités de l’écosystème luxembourgeois) que sur le fonctionnement et les modalités d’accès aux bacs à sable réglementaires, sera absolument centrale dans la mise en place réussie de l’AI Act au niveau national et dans la création du Luxembourg comme « IA hub » à l’international. Par conséquent, les deux chambres professionnelles encouragent fortement l’ajout d’un budget dédié à la hauteur des enjeux. Commentaire des articles Concernant l’article 12, paragraphe 1er Selon cet article « Toute autorité compétente peut mettre en place un bac à sable réglementaire de l’IA (…), chacune dans le domaine de sa compétence respective ». La Chambre de Commerce et la Chambre des Métiers soutiennent pleinement l’intention de créer un écosystème des bacs à sable règlementaires au Luxembourg pour fournir aux entreprises un plus haut niveau d’accompagnement et de sécurité juridique. Elles insistent toutefois sur la nécessité d’identifier, au préalable, des domaines stratégiques pour lesquels la mise en place de tels environnements serait prioritaire. Ainsi que relevé ci-dessus, la mise en place par la CSSF d’un bac à sable règlementaire pour les besoins spécifiques du secteur financier pourrait accélérer l’adoption de l’IA dans ce secteur clé pour la compétitivité du Luxembourg. Concernant l’article 12, paragraphe 3 Cette disposition prévoit que « Le Commissariat du gouvernement à la protection des données auprès de l’État peut intégrer un bac à sable réglementaire de l’intelligence artificielle dans l’environnement de traitement sécurisé mis à disposition par l’Autorité des données conformément à la loi du […] relative à la valorisation des données dans un environnement de confiance ». La Chambre de Commerce et la Chambre des Métiers s’interrogent sur l’opportunité de ce choix, dans la mesure où cet article se réfère spécifiquement à un bac à sable réglementaire axé sur l’AI Act. Elles observent que, selon le commentaire de cet article27, le Commissariat du gouvernement à la protection des données auprès de l’Etat devrait, dans le cadre de cet environnent de test, mettre à disposition « son expertise juridique et technique, afin de garantir le respect des exigences du règlement 2024/1689 » (à savoir, les dispositions de l’AI Act). Dans la mesure où l’accompagnement des entreprises au sein de cet environnement de test porte sur la conformité avec l’AI Act, les deux chambres professionnelles se demandent pourquoi cet accompagnement ne sera pas effectué par la CNPD, autorité compétente pour ces questions. Sans exclure la possibilité de collaboration entre ces deux autorités, le choix d’accorder la cette tâche d’accompagnement à la CNPD semble s’imposer, non seulement pour éviter les éventuelles incohérences d’approche entre autorités, mais également dans un souci d’efficience et de bonne allocation de ressources spécialisées. 27 Voir Commentaires des articles, page 7, Ad article 12 du Projet. 11 Avis commun de la Chambre de Commerce et de la Chambre des Métiers Concernant l’article 14, paragraphe 3, point 7° L’article 14, paragraphe 3, point 7° du Projet prévoit que l’obligation de confidentialité prévue à l’article 70, paragraphe 5, du Règlement européen sur l’intelligence artificielle, et l’obligation de secret professionnel prévue par les articles 10, paragraphe 3, et 12, paragraphe 4, alinéa 1er, de la loi du […] portant organisation de l’agence luxembourgeoise des médicament et des produits de santé, ne font pas obstacle à la coopération et à l’échange d’information confidentielles entre les autorités nationales compétentes dans le cadre et aux seules fins du Projet et du Règlement européen sur l’intelligence artificielle. La Chambre de Commerce et la Chambre des Métiers relèvent que les références aux articles et à la (future) loi portant organisation de l’agence luxembourgeoise des médicaments et des produits de santé devraient être corrigées. En effet, le projet de loi initial n° 7523 a été retiré du rôle et remplacé par le projet de loi n° 8491 portant création de l’établissement public « Agence luxembourgeoise des médicaments et des produits de santé », de sorte qu’il y a lieu d’adapter les références aux articles dans le projet de loi actuel n° 8491 ainsi que son intitulé exact. Les deux chambres professionnelles proposent dès lors de modifier le texte du Projet, Article 14, paragraphe 3, 7°, comme suit : « les articles 10, paragraphe 3, et 16 alinéa 1 er, de la loi du […] portant création de l’établissement public « Agence luxembourgeoise des médicaments et des produits de santé ». Concernant l’article 16, paragraphes 1 et 2 Ces dispositions décrivent les mesures qui pourront être prises par les autorités nationales compétentes lorsqu’elles exercent leurs pouvoirs en vertu des articles 7 et 9 du Projet. Les deux chambres professionnelles observent que ces mesures incluent des avertissements, des blâmes ainsi que des amendes administratives. Or, le Projet emploi l’intitulé « sanctions » pour la totalité de ces mesures. Il est toutefois proposé de suivre la terminologie employée par l’IA Act28, en instaurant une distinction entre « sanctions » (en l’occurrence, les amendes) et « autres mesures d’exécution » non financières (en l’occurrence, les avertissements et les blâmes). Il est ainsi suggéré de remplacer le terme « sanctions », figurant au titre mais également dans le texte de l’article 16 du Projet par « sanctions et autres mesures d’exécution ». Concernant l’article 16, paragraphe 11 Cette disposition porte sur la publication des décisions des autorités nationales compétentes sur leur site internet. Il est stipulé que la publicité de ces décisions « peut être limitée » pour tenir compte du secret d’affaires et d’autres informations confidentielles. Les deux chambres professionnelles sont d’avis que la non-divulgation des informations si sensibles pour les entreprises ne devrait pas être facultative. Elles proposent par conséquent de modifier cette disposition comme suit : « […] Leur publicité peut doit être limitée pour tenir compte de l’intérêt légitime des parties et des Article 99, paragraphe 1 qui fait référence aux à un « régime de sanctions et autres mesures d’exécution, qui peuvent également comprendre des avertissements et des mesures non monétaires ». 28 12 Avis commun de la Chambre de Commerce et de la Chambre des Métiers personnes citées à ce que leurs secrets d’affaires et d’autres informations confidentielles ne soient pas divulgués. ». Il est par ailleurs proposé de préciser la nature des décisions concernées par cette disposition. Si cette disposition se réfère exclusivement à la publication des décisions d’imposer des amendes administratives, il est proposé d’apporter cette précision à l’article 16, paragraphe 11 du Projet, dans un souci de cohérence terminologique avec le paragraphe 4 de ce même article. Concernant l’article 19, paragraphes 2 et 3 Cet article du Projet propose des modifications à la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), portant modification du Code du travail et de la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’Etat (ci-après, la « Loi du 1er août 2018 »). Concernant la modification de l’article 42, paragraphe 2 de la Loi du 1er août 2018 Le Projet propose d’insérer un nouveau paragraphe 2 à l’article 42 de la Loi du 1er août 2018, libellé comme suit : «
(2)Le secret professionnel ne fait toutefois pas obstacle à la publication par la CNPD d’informations succinctes relatives aux actes qu’elle accomplit en vue de la recherche, de la constatation ou de la sanction de violations, lorsque la publication de ces informations est effectuée dans l’intérêt du public et dans le strict respect de la présomption d’innocence des responsables de traitement et sous-traitants concernés. ». Les deux chambres professionnelles s’opposent vigoureusement à la publication par la CNPD d’informations relatives aux enquêtes en cours (« en vue […] de la constatation ou de la sanction de violations »), une pratique qui pourrait avoir des répercussions très importantes notamment pour la réputation d’une entreprise. Une telle publication comporte le risque d’atteintes irréversibles à la réputation d’une entreprise qui fait l’objet d’une enquête, même si l’enquête n’aboutit pas à la constatation de la violation d’une règle du RGPD. Elles voient mal comment une telle pratique pourrait être conciliée avec le respect de la présomption d’innocence29, dans la mesure où la publication des informations en cause interviendrait avant l’adoption d’une décision définitive à l’égard d’un responsable de traitement ou d’un soustraitant des données personnelles. La Chambre de Commerce et la Chambre de Métiers demandent ainsi la suppression pure et simple de cette disposition. Concernant la modification de l’article 52 de la Loi du 1er août 2018 Le Projet propose de remplacer l’article 52 de la Loi du 1er août 2018 par le texte suivant : « Les décisions de la CNPD prises en vertu de l’article 41 font l’objet d’une publication intégrale ou par extraits sur son site internet. Leur publicité peut être limitée pour tenir compte de l’intérêt légitime des parties et des personnes citées à ce que leurs secrets d’affaires et autres informations confidentielles ne soient pas divulgués. ». La présomption d’innocence constitue un droit fondamental selon l’article 48 de la Charte des droits fondamentaux de l'Union européenne : "Tout accusé est présumé innocent jusqu’à ce que sa culpabilité ait été légalement établie ". 29 13 Avis commun de la Chambre de Commerce et de la Chambre des Métiers Ainsi que relevé ci-dessus30, les deux chambres professionnelles sont d’avis que la non-divulgation des informations sensibles pour les entreprises doit rester le principe, et non devenir l’exception. Elles demandent par conséquent de modifier cette disposition comme suit : « […] Leur publicité peut doit être limitée pour tenir compte de l’intérêt légitime des parties et des personnes citées à ce que leurs secrets d’affaires et autres informations confidentielles ne soient pas divulgués. ». * * * Après consultation de leurs ressortissants, la Chambre de Commerce et la Chambre de Métiers sont en mesure d’approuver le Projet de loi sous avis, sous réserve de la prise en compte de leurs observations. VKA/XKE/DJI 30 Voir également le commentaire concernant l’article 16, paragraphe 11 du Projet sous avis. 14

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.