Réglementer l’IA : une occasion de résoudre les problèmes de fond — Partie I

Partie II — « F*** l’algorithme » : il est temps de reprendre notre pouvoir d’agir Partie III — Concevoir pour l’humain dans la boucle

L’autoréglementation ne fonctionne pas. Les intérêts des entreprises sont trop étroits, et il leur est trop facile d’affirmer que de meilleures pratiques sont trop difficiles à mettre en place. Nos récits sur les affaires et la technologie masquent aussi le pouvoir qu’ont les concepteurs et les propriétaires des machines de faire d’autres choix. Le seul contrepoids est l’intervention gouvernementale, influencée par l’action citoyenne. Malheureusement, elle arrive généralement longtemps après que les problèmes ont été clairement exposés. Quand elle arrive enfin, les changements sont mal négociés, mais présentés comme une grande victoire pour toute la société.

Le règlement sur l’intelligence artificielle, ou AIA, le nouveau projet européen de réglementation de l’IA proposé en avril, pourrait changer la donne. S’il est tard pour répondre aux risques du numérique en général, le moment est bien choisi pour encadrer l’IA, encore au début de son développement. C’est la prochaine grande étape de sa réglementation, et elle fait des vagues dans le monde de la technologie. 

Avant d’examiner cette réglementation et ce qu’on peut en attendre, je voudrais montrer l’importance de l’occasion qu’elle nous offre en revenant sur un autre moment de réglementation industrielle : la lutte pour la journée de travail de huit heures. 

(Une petite note : cet article est un peu plus long que d’habitude — cela faisait un moment! Si vous souhaitez uniquement comprendre l’AIA, son parcours politique et son accueil, vous pouvez passer directement à « À quoi s’attendre du règlement sur l’IA ».)

La lutte pour la journée de travail de huit heures 

Le mouvement pour la journée de huit heures a connu plusieurs élans pendant la révolution industrielle, lorsque la cadence mécanique s’est heurtée aux journées traditionnelles de dix à seize heures. Dès 1817, Robert Owen, au Royaume-Uni, formulait son célèbre slogan : « Huit heures de travail, huit heures de loisirs, huit heures de repos ». L’idée s’est ensuite propagée aux États-Unis. Une variante était scandée lors des manifestations meurtrières de Haymarket, à Chicago, en 1886, à l’origine du Premier Mai américain. Malgré les mouvements sociaux et les protestations sanglantes, il a fallu attendre le siècle suivant pour que le Congrès américain inscrive la journée de huit heures dans la loi, en 1937. 

Le véritable tournant n’est arrivé qu’en 1914, lorsque Henry Ford a adopté la journée de huit heures à contre-courant de ses concurrents : la productivité a augmenté et les profits ont doublé en deux ans. Il pouvait le faire et, selon ses propres mots, devait le faire, à cause de son innovation : la chaîne de montage utilisant la machinerie industrielle. Les tâches étaient devenues si simples et élémentaires que leur monotonie entraînait un roulement de personnel élevé et coûteux. La réduction des heures s’accompagnait d’un salaire doublé et d’un partage des profits, dissipant à la fois l’insatisfaction des employés et le scepticisme des concurrents. Devant des résultats aussi convaincants, le reste de l’industrie a rapidement suivi. 

Henry Ford est loin d’être un héros parfait; son histoire est complexe. Mais ce récit fondateur de l’industrie moderne offre aussi des leçons utiles pour réglementer la technologie. 

Première leçon : résoudre un problème créé par la dynamique technologique permet, et exige, de résoudre un problème de société. Ford a atténué le roulement causé par un travail ennuyeux, mais aussi les journées éprouvantes et dangereuses de dix à seize heures, présentes bien avant la révolution industrielle.

Deuxième leçon : la technologie aggrave les problèmes systémiques si on ne les prend pas en compte. Si Ford a réduit la longueur des journées, nombre de ses pratiques ont laissé d’autres problèmes intacts ou les ont aggravés. La chaîne de montage elle-même a causé de terribles blessures par mouvements répétitifs. Les normes du travail industriel, notamment la considération accordée aux travailleurs, étaient si ancrées qu’un changement relativement modeste paraissait révolutionnaire.

Troisième leçon : sauf révolution complète, le changement exige les trois secteurs — public, privé et citoyen — et chacun doit y trouver un résultat satisfaisant. Ce blocage peut malheureusement amplifier la deuxième leçon : bien des problèmes s’aggravent et s’enracinent par l’intermédiaire de la technologie. Cette impasse laisse moins de possibilités d’intervention et réduit les bénéfices de l’innovation pour la société. Quand la volonté d’agir se manifeste enfin, nous gagnerions à intervenir plus tôt et avec davantage d’ambition.

L’AIA nous offre précisément un tel moment de volonté d’agir. La nature du projet lui donne aussi le potentiel de traiter les problèmes plus profonds auxquels nous devons faire face pour réglementer efficacement la technologie.

À quoi s’attendre du règlement sur l’IA

Une longue préparation pour produire ses effets

À la publication de l’AIA, on sentait les remous dans les services juridiques des entreprises technologiques. Les lobbyistes ont d’abord tenté, comme d’habitude, de faire échouer le texte. Les services de communication préparaient leurs déclarations annonçant qu’ils allaient « l’évaluer », prélude au rituel du « débat raisonnable » sur ses risques et ses avantages. Mais avant même de lancer cette mise en scène, les entreprises apprennent de leurs équipes de relations gouvernementales que ce projet ne sera pas enterré. Elles devront l’accepter et aider leurs clients à faire de même.

Le projet illustre ce qu’Ana Bradford appelait l’« effet Bruxelles » dans son livre du même nom paru l’an dernier. Ses études sur la sécurité alimentaire, l’environnement, l’automobile et d’autres secteurs montrent comment les règles européennes deviennent des normes mondiales. Entre une Chine plus autoritaire et une Amérique plus libérale, et face au deuxième marché mondial qu’est l’Europe, les multinationales alignent leurs politiques mondiales sur l’Europe plutôt que de payer pour les différencier par région. Les lobbyistes qui voulaient tuer le projet pourraient même défendre les mêmes règles chez eux, pour éviter que leurs concurrents purement locaux ne profitent de normes moins exigeantes.

Le RGPD en est peut-être le meilleur exemple : les frontières de l’économie numérique sont à la fois partout et nulle part. Malgré les défauts de cet instrument parfois peu nuancé, Google, Amazon, Facebook et d’autres appliquent une politique mondiale de confidentialité unique qui satisfait, pour l’essentiel, aux exigences européennes. Le RGPD les a obligés à s’engager et s’est affiné depuis son adoption. 

L’AIA a été conçu en visant explicitement cet effet Bruxelles, avec les enseignements du déploiement du RGPD. Il résulte de plusieurs années de travail. Depuis le lancement de la stratégie européenne pour l’IA en 2018, son Groupe d’experts de haut niveau sur l’IA élabore, avec la communauté européenne, des orientations pour la réglementation et l’investissement. J’ai présidé l’élaboration des sept principes éthiques sur lesquels repose la réglementation actuelle, publiés en 2019. 

Vous pouvez lire mon article ici pour une présentation plus accessible de ces principes, de leur nécessité et de leur élaboration. En voici l’essentiel :

Trois exigences de base

1. Licite : respecter toutes les lois et réglementations applicables.
2. Éthique : respecter les principes et les valeurs éthiques.
3. Robuste : être solide techniquement, tout en tenant compte de son environnement social.

Sept principes

1. Action humaine et contrôle humain : cette première exigence repose sur le respect des droits fondamentaux et des droits de la personne, ainsi que sur la nécessité pour l’IA de soutenir le pouvoir d’agir humain.
2. Robustesse technique et sécurité : cette exigence concerne le développement du système et sa résistance aux attaques extérieures, notamment adversariales, ainsi qu’aux défaillances internes, par exemple une mauvaise communication de sa fiabilité.
3. Respect de la vie privée et gouvernance des données : cette exigence relie les responsabilités des développeurs et de ceux qui déploient le système. Elle traite notamment de la qualité et de l’intégrité des données de développement et de la protection de la vie privée tout au long du cycle de vie.
4. Transparence : les décisions techniques comme humaines doivent pouvoir être comprises et retracées.
5. Diversité, non-discrimination et équité : ces exigences rendent le système accessible à tous. Elles comprennent notamment la prévention des biais, la conception universelle et le refus d’une approche unique pour toutes les situations.
6. Bien-être sociétal et environnemental : l’exigence la plus large concerne la société mondiale et l’environnement. Elle couvre autant la durabilité et l’empreinte écologique de l’IA que ses effets sur le processus démocratique.
7. Responsabilité : cette exigence complète toutes les autres et s’applique avant, pendant et après le développement et le déploiement du système.

*Il s’agit de versions abrégées des principes définitifs; la formulation complète se trouve ici.

Ces principes ont connu de nombreuses itérations, nourries par les commentaires des 4 000 membres de l’Alliance européenne pour l’IA issus de l’industrie et de la société civile. Ils ont guidé notre liste d’évaluation pour une IA digne de confiance, ALTAI , ensuite mise à l’essai par 350 organisations au cours de l’année écoulée. Tous ces travaux ont alimenté l’AIA : quelques entreprises demandant encore de « l’évaluer » ne le feront pas disparaître.

Ce que dit réellement le règlement sur l’IA

Le travail ne fait que commencer. À la lecture, l’AIA reste assez général. Il classe actuellement les risques en quatre catégories : inacceptable, élevé, limité et minimal. Il se concentre sur les usages à haut risque et leurs obligations. Je reprends ici les termes de la page d’annonce, soigneusement choisis pour correspondre au texte du projet.

Risque inacceptable: les systèmes d’IA constituant une menace manifeste pour la sécurité, les moyens de subsistance et les droits des personnes seront interdits. Cela comprend les applications qui manipulent les comportements pour contourner le libre arbitre, comme des jouets à assistance vocale encourageant des comportements dangereux chez les mineurs, et les systèmes de « notation sociale » gouvernementale.

Risque limité: certains systèmes sont soumis à des obligations précises de transparence. Avec un agent conversationnel, par exemple, l’utilisateur doit savoir qu’il interagit avec une machine pour décider de poursuivre ou de se retirer en connaissance de cause.

Risque minimal: la proposition autorise librement les applications telles que les jeux vidéo utilisant l’IA ou les filtres antipourriel. La grande majorité des systèmes appartient à cette catégorie. Le projet n’intervient pas ici, car ces systèmes présentent peu ou pas de risques pour les droits et la sécurité des citoyens.

Risque élevé: cette catégorie comprend les technologies d’IA utilisées dans :

• Les infrastructures critiques , comme les transports, qui pourraient mettre en danger la vie et la santé des citoyens;
• L’éducation ou la formation professionnelle, pouvant déterminer l’accès aux études et le parcours professionnel, par exemple la notation d’examens;
• Les composants de sécurité des produits , par exemple l’IA en chirurgie robotisée;
• L’emploi, la gestion des travailleurs et l’accès au travail autonome , par exemple les logiciels de tri des CV lors du recrutement;
• Les services privés et publics essentiels , par exemple une notation de crédit empêchant l’obtention d’un prêt;
• Les services répressifs , susceptibles de porter atteinte aux droits fondamentaux, par exemple l’évaluation de la fiabilité d’éléments de preuve;
• La gestion des migrations, de l’asile et des contrôles frontaliers , par exemple la vérification de l’authenticité des documents de voyage;
• L’administration de la justice et les processus démocratiques , par exemple l’application du droit à un ensemble concret de faits.

Avant leur mise sur le marché, les systèmes à haut risque seront soumis à des obligations strictes :

• Des systèmes adéquats d’évaluation et d’atténuation des risques;
• Des jeux de données de grande qualité pour minimiser les risques et les résultats discriminatoires;
• La journalisation des activités pour assurer la traçabilité des résultats;
• Une documentation détaillée fournissant aux autorités les informations nécessaires sur le système et sa finalité pour évaluer sa conformité;
• Des informations claires et suffisantes pour l’utilisateur;
• Des mesures appropriées de contrôle humain pour réduire les risques;
• Un niveau élevé de robustesse, de sécurité et d’exactitude.

En particulier, tous les systèmes d’identification biométrique à distance sont considérés à haut risque et soumis à des exigences strictes. Leur utilisation en temps réel dans les espaces accessibles au public à des fins répressives est interdite en principe. Des exceptions limitées sont strictement définies et encadrées : rechercher un enfant disparu lorsque cela est absolument nécessaire, prévenir une menace terroriste précise et imminente, ou détecter, localiser, identifier ou poursuivre l’auteur ou le suspect d’une infraction pénale grave.

*J’ai conservé ce dernier paragraphe parce qu’il illustre les nombreuses exceptions et réserves du projet. 

Ces dispositions, comme le projet lui-même, laissent beaucoup d’ambiguïtés. Ne les confondons toutefois pas avec le caractère peu nuancé du RGPD à ses débuts. L’AIA est une nouvelle avancée mesurée et déterminée. Nous entrons maintenant dans une période de plusieurs années pour définir précisément les normes — à titre de comparaison, il a fallu environ quatre ans pour le RGPD. Les entreprises pourraient en profiter pour vider la réglementation de sa substance. Elles ont une influence considérable, puisqu’elles emploient la plupart, sinon la totalité, des rares personnes qualifiées pour élaborer ces normes techniques. Mais, là encore, l’Europe est prête. 

Écarter la mauvaise foi 

L’AIA comporte des dispositions intéressantes pour anticiper une élaboration des normes de mauvaise foi. Elles prennent la forme d’un principe raisonnable : ne pas remplacer une réglementation existante appropriées qui respectent déjà ses orientations ou peuvent être adaptées. Mais si la Commission européenne juge ces normes inadéquates, elle les modifiera par voie législative. Le pouvoir de définir la norme quitte alors les instances où les organisations exercent leur influence. Cette disposition oblige les participants à anticiper le risque que leurs normes soient jugées insuffisantes. Ils devront dévoiler une partie de leur jeu pour élaborer ensemble quelque chose d’acceptable, au lieu de chercher seulement à réduire les exigences au minimum.

On m’a aussi dit que le projet n’allait pas assez loin. Les normes restent encore largement à préciser. Si vous avez lu mon article sur les sept principes du groupe d’experts, vous savez que la responsabilité est particulièrement complexe en IA. Contrairement à une machine ou à un logiciel traditionnel, ses éléments sont difficiles à séparer, car le logiciel se met à jour dynamiquement selon ses usages et ses interactions. Une grande part de l’écosystème repose sur l’infonuagique. Un service de surveillance d’examens en ligne peut suivre les visages pour détecter la tricherie. Cette fonction s’appuie probablement sur des modèles préentraînés de reconnaissance faciale et de suivi du regard d’Amazon ou de Microsoft, adaptés ensuite aux examens. Il est difficile de déterminer où finit le produit infonuagique et où commence le produit personnalisé, ou comment cette adaptation et son usage affectent l’intégrité du modèle original. 

Les fournisseurs infonuagiques doivent assurément rassurer leurs clients sur ce qu’implique l’AIA et sur la façon de rester conformes. Cette fois, ils ne pourront pas imposer leur volonté au processus réglementaire. Déterminer la juste répartition des responsabilités exigera plus que l’expertise technique qui leur permet habituellement de dominer la conversation. 

Négocier un nouveau contrat social

Il est grand temps de rééquilibrer les bénéfices et les préjudices de la technologie. Depuis des décennies, productivité et salaires se dissocient. À mesure que les logiciels gagnent en puissance, ils servent aussi à restreindre davantage les droits de la personne et le pouvoir d’agir humain. Ces préjudices ne sont pas nécessairement explicites ou intentionnels : ils amplifient des inégalités que nous avons fini par tenir pour acquises dans la société. Comme le montre la leçon de la journée de huit heures chez Ford, régler les problèmes technologiques demandera de traiter les problèmes sociaux sous-jacents.

Dans les discussions sur l’éthique de l’IA, on demande souvent d’élargir la participation et d’intégrer les sciences humaines aux réponses sur les responsabilités et les limites. Cette négociation du contrat social ne doit pas se limiter aux groupes de haut niveau ou à quelques bureaux de la Silicon Valley. Les valeurs humaines sont trop subjectives. Elle doit se dérouler partout dans la société et inclure les travailleurs et les consommateurs les plus directement concernés par ces règles encore à écrire. 

Beaucoup d’organismes de normalisation acceptent les commentaires et même la participation; voici comment poser sa candidature au groupe canadien sur l’IA de l’Organisation internationale de normalisation^[1]). Nous devrions aller bien au-delà du strict minimum et chercher à corriger les déséquilibres de notre société par la façon dont nous collaborons avec les machines.

La volonté d’agir est là. Un gouvernement majeur a bougé. Les États-Unis devraient jouer un rôle moins effacé qu’auparavant, alors qu’ils cherchent des appuis face à la Chine, grande exception à l’effet Bruxelles. L’action citoyenne grandit —voir la partie II— et continuera de faire pression sur les entreprises, qu’il faudra peut-être d’abord pousser. Elles devront néanmoins finir par participer, et je crois qu’elles bénéficieront elles aussi de cette occasion de repenser notre collaboration avec les machines; voir la partie III.