Comment la régulation de l'IA diffère dans le monde, et pourquoi cela vous concerne

Trois grandes approches de la régulation de l'intelligence artificielle ont émergé, et la plupart des autres pays s'inspirent de l'une d'elles. Les différences sont substantielles et déterminent ce que les entreprises peuvent construire et déployer.

Le modèle européen : global et fondé sur le risque :

L'Union européenne a légiféré largement, classant les systèmes d'IA par niveau de risque. Certains usages sont purement interdits. Un ensemble défini d'applications à haut risque, dont l'emploi, l'accès à l'éducation, le crédit, les services essentiels, le maintien de l'ordre et les infrastructures critiques, comporte des obligations substantielles : gestion des risques, gouvernance des données, documentation, journalisation, supervision humaine et évaluation de conformité avant déploiement.

Les systèmes qui interagissent avec des personnes doivent indiquer qu'ils sont des IA, et les contenus synthétiques doivent être signalés. Les modèles à usage général portent leurs propres obligations de documentation et de droit d'auteur, avec des exigences supplémentaires pour les plus grands.

Deux caractéristiques lui donnent une portée mondiale : le texte s'applique à quiconque met des systèmes sur le marché de l'Union quel que soit son siège, et les sanctions sont proportionnées au chiffre d'affaires mondial.

Le modèle américain : sectoriel et porté par l'application :

Les États-Unis n'ont pas de loi fédérale globale sur l'IA, et la posture fédérale change d'une administration à l'autre. Le droit existant s'applique néanmoins : le droit de la non-discrimination à l'embauche couvre les algorithmes de recrutement biaisés, le droit de la consommation couvre les allégations trompeuses sur l'IA, la régulation financière exige des décisions de crédit explicables, et les autorités sanitaires homologuent les dispositifs médicaux fondés sur l'IA.

La couche la plus active est le droit des États. Plusieurs États régulent les décisions automatisées dans l'emploi et les services aux conséquences importantes, exigeant des évaluations d'impact et une information. Des lois d'État globales sur la vie privée encadrent le profilage automatisé. Les règles californiennes font office de normes nationales de fait, car les entreprises conçoivent rarement des produits propres à un État.

Le modèle chinois : agrément et contrôle des contenus :

La Chine régule activement avec d'autres priorités. Des règles encadrent les algorithmes de recommandation, les médias synthétiques et les services d'IA générative, exigeant un enregistrement auprès des autorités, le marquage des contenus générés par IA, une évaluation de sécurité avant mise à disposition du public et la conformité aux exigences de contenu.

La conformité précède l'entrée sur le marché plutôt qu'elle ne la suit.

Tous les autres :

Le Royaume-Uni a préféré confier aux régulateurs sectoriels l'application des règles existantes plutôt qu'une loi unique. Le Canada, le Brésil, la Corée du Sud, le Japon et d'autres ont des cadres à différents stades, empruntant en général la hiérarchisation par le risque tout en ajustant le périmètre. Singapour privilégie des boîtes à outils pratiques de gouvernance plutôt que des règles contraignantes. La plupart des juridictions africaines, latino-américaines et asiatiques régulent l'IA principalement par le droit de la protection des données.

Ce qui s'applique presque partout :

Sous les différences, plusieurs obligations reviennent partout. Les données personnelles utilisées à l'entraînement ou à l'inférence restent soumises au droit de la vie privée. Les décisions automatisées lourdes de conséquences pour des personnes exigent en général information, explication et voie de recours humaine. Le droit de la non-discrimination s'applique aux résultats, quelle qu'en soit la production. Les règles sectorielles de la finance, de la santé et des systèmes critiques pour la sécurité s'appliquent à l'IA qui s'y insère. Le droit de la consommation interdit d'exagérer les capacités.

Une organisation qui traite bien ces points est globalement prête pour la plupart des régimes.

Ce que cela signifie en pratique :

Pour une entreprise opérant à l'international, la contrainte déterminante est en général le régime applicable le plus strict, ce qui, pour la plupart, signifie le cadre européen combiné aux règles d'État américaines les plus exigeantes.

Les implications pratiques sont : savoir où l'IA est utilisée dans vos activités, classer selon l'incidence sur les personnes, documenter les systèmes qui comptent, garantir une supervision humaine réelle là où les décisions touchent des droits, et tester les écarts de résultats.

Ce dernier point est celui où se concentre l'exposition juridique et où les problèmes restent invisibles sans mesure délibérée.

La direction :

La régulation converge vers le principe selon lequel les obligations doivent croître avec l'incidence sur les personnes, et l'application passe des cadres annoncés aux affaires réelles. Les organisations pour lesquelles cela restera gérable sont celles qui disposent d'un inventaire et de preuves, pas celles dont les documents de politique interne sont les plus longs.