Article de blog 48/2022

« Comment quelqu’un devrait-il être tenu responsable d’un dommage causé par des systèmes d’intelligence artificielle (IA) ? » est une préoccupation souvent soulevée concernant l’utilisation des systèmes d’IA. Après avoir proposé un règlement pour les systèmes d’IA en 2021, la Commission européenne s’est maintenant penchée sur cette question cruciale de la responsabilité. Réglementer la responsabilité en matière d’IA n’est pas une tâche facile, et les récents efforts législatifs de la Commission le rendent encore plus clair. S’assurer que les systèmes d’IA sont sûrs à utiliser est crucial pour les législateurs. Sur la base de deux propositions de directives, la Commission vise à protéger les victimes de dommages causés par l’IA en établissant certaines règles pour imposer la responsabilité. Il est donc impératif d’examiner dans quelle mesure ces règles répondent au souci de responsabilité et facilitent l’indemnisation des personnes lésées pour le préjudice subi.

Arrière plan

En 2020, la Commission a publié un livre blanc sur l’IA qui s’engageait à faire face à divers risques liés à l’utilisation des systèmes d’IA. Cela a été suivi en 2021 par une proposition de loi sur l’IA (AIA) qui n’a pas encore été adoptée. Le règlement proposé énonce des exigences importantes pour minimiser les risques nocifs pour les individus en faisant la distinction entre les systèmes d’IA interdits et à haut risque. Les systèmes d’IA interdits comprennent l’identification biométrique en temps réel, la notation sociale ou les systèmes d’IA manipulatrice (article 5). Des exigences plus strictes s’appliquent aux systèmes d’IA à haut risque. Un système d’IA «à haut risque» constitue tout système alimenté par l’IA ou tout composant de sécurité d’un système qui est lié par une exigence d’évaluation de la conformité en vertu des réglementations européennes harmonisées (article 6) Ces systèmes ne peuvent être utilisés que s’ils sont conformes au système de gestion des risques prescrit , transparence, surveillance humaine, qualité appropriée des données et exigences efficaces en matière de cybersécurité (voir chapitre 2). L’AIA proposé fonctionne donc pour assurer la sécurité des systèmes d’IA contre les risques éventuels.

Cependant, que se passe-t-il une fois que ces risques se matérialisent et que quelqu’un est blessé ? Comment quelqu’un peut-il être tenu pour responsable ? Pour traiter ces questions, la Commission a récemment proposé deux directives : à savoir une directive sur la responsabilité en matière d’IA (AILD ou directive portant adaptation des règles de responsabilité civile non contractuelle à l’intelligence artificielle) et une directive révisée sur la responsabilité du fait des produits défectueux (PLD). L’AILD ouvre la voie à la preuve de la faute de quelqu’un lorsqu’un système d’IA cause un préjudice. Dans le langage juridique, il peut être considéré comme un mécanisme de « responsabilité pour faute ». Le PLD révisé est utile dans les cas où le préjudice est causé par un défaut dans un système d’IA, et non par la faute de quelqu’un. Par conséquent, il établit des règles de « responsabilité sans faute ». L’idée derrière cet effort est de renforcer la confiance du public dans la technologie de l’IA et de fournir une clarté juridique aux entreprises impliquées dans le développement de ces systèmes (voir les sections 1.1. des exposés des motifs de la Commission sur le PLD et l’AILD).

Directive sur la responsabilité en matière d’IA (AILD)

Les principaux aspects couverts par l’AILD proposée sont les hypothèses et la fourniture d’informations sur le système d’IA à une personne blessée. Deux hypothèses se retrouvent dans la proposition de directive. L’un s’étend au non-respect de l’obligation de diligence et un autre au lien entre la faute et le résultat, appelé « présomption de causalité » (articles 3 et 4). En termes simples, l’hypothèse de causalité implique que le dommage causé par un système d’IA était bien dû à la faute du fournisseur ou de l’utilisateur. Cette présomption s’active si le fournisseur ou l’utilisateur, quel que soit le défendeur dans l’affaire, ne fournit pas d’informations sur le système concerné même après qu’une juridiction nationale a ordonné une telle divulgation (article 3, paragraphe 5). Un « fournisseur », dans le cadre de l’AILD, est défini comme un fabricant ou toute autre personne qui met le système d’IA donné sur le marché sous son propre nom commercial (article 2, paragraphe 3). Un « utilisateur » peut être toute personne utilisant le système d’IA sous son autorité. (article 2, paragraphe 4)

Toutefois, le défendeur peut réfuter l’hypothèse en démontrant que des informations suffisantes concernant le système d’IA pouvaient être consultées pour prouver la faute, le cas échéant, de sa part (article 4, paragraphe 4). Une autre condition pour que la responsabilité du fournisseur aboutisse est que la juridiction nationale doit déduire que le dommage causé par le système d’IA donné a été «probablement» causé par sa faute (article 4, paragraphe 1, point b)). Le fournisseur serait tenu responsable s’il violait son devoir de diligence en vertu de la loi applicable et de l’une des exigences de l’AIA relatives à la qualité des données, à la transparence, à la surveillance humaine, à la cybersécurité ou à l’absence de retrait d’un système donné lorsque la faute a été commise. identifié (article 4, paragraphe 2, de l’AILD). En revanche, un utilisateur engagerait sa responsabilité s’il violait les instructions d’utilisation ou s’il exposait le système à des données d’entrée non pertinentes (article 3). Cependant, le demandeur devrait prouver cette probabilité pour se prévaloir de cette hypothèse.

En ce qui concerne la fourniture d’informations sur le système d’IA nuisible, l’AILD permet à une personne lésée de demander des informations par l’intermédiaire du tribunal national (article 3). Une disposition similaire sur la divulgation d’informations figure également à l’article 13 de l’AIA proposé afin de garantir la transparence des systèmes d’IA. Une différence majeure entre ces exigences est que l’exigence AIA est dirigée vers l’utilisateur du système, tandis que l’AILD exige la divulgation d’informations à toute victime de dommages causés par l’IA. L’AILD vise ainsi à faciliter aux demandeurs la preuve de la faute sur la base des informations divulguées, et ainsi la réparation du préjudice éventuellement subi. Par exemple, si un drone propulsé par l’IA dans un environnement civil fonctionne mal et blesse un spectateur, ce dernier pourrait réclamer des dommages-intérêts en raison de la faute d’une personne physique. L’AILD permettrait au demandeur de se renseigner sur le drone auprès de son fournisseur ou de son utilisateur pour identifier la panne.

Directive révisée sur la responsabilité du fait des produits (PLD)

Une révision de la PLD s’imposait depuis longtemps, étant donné que la directive originale sur la responsabilité du fait des produits a été adoptée en 1985 (directive 85/374/CEE) et présentait donc plusieurs lacunes lorsqu’elle était appliquée aux systèmes d’IA. La proposition de directive la remplace. Un aspect important de cette révision est qu’elle intègre le logiciel dans son champ d’application. Ceci est considéré comme un écart par rapport à la position traditionnelle selon laquelle seuls les fabricants ou les importateurs d’un produit peuvent être tenus responsables et non les développeurs de logiciels. Contrairement à l’AILD, la PLD révisée permet de tenir le fournisseur responsable sur la base d’un défaut du produit plutôt que sur la base d’une faute. Par conséquent, si un drone alimenté par l’IA cause un préjudice à un individu en raison d’un défaut, le demandeur pourrait demander réparation en vertu du PLD révisé.

L’article 9 PLD reconnaît deux présomptions : une présomption de défectuosité (article 9(2)) et une présomption de lien de causalité entre la défectuosité et le dommage (article 9(3)). La présomption de défectuosité est déclenchée dans trois cas (voir article 9, paragraphe 2), si :

• le fournisseur ne divulgue pas les informations système ; ou
• le demandeur présente un dysfonctionnement manifeste ; ou
• le demandeur démontre une violation des règles de sécurité de la part du prestataire.

La présomption de lien de causalité s’active si le dommage est « typiquement compatible » avec le défaut. Les deux hypothèses peuvent être faites simultanément si la complexité technique du système rend difficile l’identification du défaut (article 9, paragraphe 4). Cependant, pour pouvoir se fier à ces hypothèses, le demandeur devrait encore prouver la probabilité de la défectuosité et que le produit a contribué au dommage. Toutefois, les hypothèses peuvent être réfutées par le fournisseur en démontrant que de telles difficultés techniques excessives n’existent pas (considérant 34).

défi

L’une des critiques auxquelles est particulièrement confrontée la proposition d’AILD est que, malgré la mise à disposition d’informations pertinentes, il peut encore être très difficile de prouver une faute dans des systèmes complexes. D’autant plus que certains systèmes d’IA se comportent de manière autonome et partagent la complexité de leurs fonctions où la raison de toute sortie ne peut pas être comprise facilement. Ce défi évoque le problème de l’algorithme de la « boîte noire » qui survient lorsque les complexités d’un système d’IA rendent difficile la compréhension de l’entrée qui conduit à une certaine sortie. Dans ces circonstances, à quoi serviraient les informations sur le système pour une partie lésée ?

Alors que l’AILD proposée mentionne l’autonomie comme un problème dans la compréhension du système – dans les considérants 3, 27 et 28 – elle fait très peu pour faciliter l’établissement d’une présomption de causalité par les parties lésées. Une partie lésée sera toujours confrontée à une lourde charge de la preuve en vertu de l’AILD : de la fourniture de preuves à l’appui de la plausibilité de l’allégation (article 3, paragraphe 1) à l’identification du non-respect des exigences de l’AIA (article 4, paragraphe 1, point a )), et démontrant un lien entre l’action du système d’IA et le dommage subi[article 4, paragraphe 1, sous c)]. Il pourrait également être assez ardu de prouver la non-conformité aux exigences énoncées dans l’AIA proposé. Par exemple, il peut ne pas être facile de prouver que les ensembles de données utilisés dans le développement d’un système d’IA, ou les niveaux de précision d’un système donné, sont effectivement inadéquats. Par conséquent, l’AILD proposée offre, au mieux, une facilité procédurale très limitée pour les parties lésées. Il faut faire davantage pour faciliter efficacement le mécanisme de réparation à la disposition des victimes de dommages causés par l’IA.

Une façon de traiter ce problème consiste à utiliser le recours basé sur les défauts dans le cadre de la PLD révisée où aucune faute ne doit être prouvée. Cependant, en vertu de la PLD, une indemnisation ne peut être demandée qu’en cas de préjudice matériel (article 4, paragraphe 6). Cela signifie que les systèmes d’IA impliqués, par exemple, dans la notation de crédit par toute institution financière qui pourrait nuire aux individus de manière non physique ne pourraient pas être contestés sur la base d’être défectueux. Dans ce cas, la personne lésée devra prouver sa faute auprès de l’AILD pour être indemnisée. Ursula Pachl, la directrice adjointe du Bureau européen des consommateurs (BEUC) a déjà exprimé cette inquiétude en parlant des directives proposées. Dans ce contexte, l’approche de la Commission est plus bénéfique pour les promoteurs, dont certains se sont opposés à la responsabilité objective contre les dommages immatériels lors de la préparation de ces propositions. En plus de cet obstacle, le PLD exige également que les demandeurs prouvent la probabilité qu’un dommage ait été causé en raison du défaut du système pour se prévaloir de l’hypothèse de défectuosité (article 9). Cela soulève une question sur le paramètre de cette probabilité qu’un demandeur doit respecter, en particulier lorsqu’un système donné est trop complexe à comprendre.

Conclusion

Les directives proposées par la Commission sur la responsabilité en matière d’IA facilitent principalement la recherche d’informations sur les systèmes d’IA pour établir la responsabilité. Cela, d’une certaine manière, intègre l’exigence de transparence pour les systèmes d’IA, qui est également contenue dans l’AIA proposé. Cependant, ce faisant, les directives proposées en matière de responsabilité font également peser sur les demandeurs certains obstacles délicats à surmonter; l’avoir pour établir la faute ou les hypothèses de défectuosité et de causalité, et le lien entre le dommage et le défaut ou la faute, qui peut être trouvé dans l’AILD et la PLD. Les propositions de la Commission en sont au stade législatif initial et subiront probablement diverses modifications avant leur adoption définitive. De plus, des modifications potentielles de l’AIA proposé pourraient encore changer la mise en œuvre des directives proposées sur la responsabilité puisque les directives reposent sur les définitions et les exigences énoncées dans l’AIA. Les efforts législatifs visant à établir la responsabilité de l’IA sont une étape importante dans la bonne direction pour réglementer efficacement l’IA. Cependant, il reste impératif d’être prudent face à la complexité des systèmes d’IA, en particulier lorsque l’objectif est de protéger les parties lésées.