Archives par mot-clé : droit

Données de connexion : le Conseil d’Etat dit d’ajuster légèrement la loi française au droit européen

Publié le par

Données de connexion (comme l’adresse IP) ou données téléphoniques (comme le numéro), leur conservation est interdite. Mais il y a une exception obligeant les opérateurs et les hébergeurs à conserver ces données durant un an. Le Conseil d’Etat appelle le gouvernement à circonscrire cette rétention.

Par Christiane Féral-Schuhl*, avocate associée, cabinet Féral-Schuhl/Sainte-Marie

Décevante pour certains, équilibrée pour d’autres : la décision du 21 avril 2021 du Conseil d’Etat (1) – saisi en avril 2021 par les associations La Quadrature du Net, French Data Network et Igwan.net – a le mérite de procéder à une analyse précise du cadre règlementaire national relatif aux données de connexion, en opérant une distinction entre l’obligation de conservation et le droit d’accès à ces données. Pour se conformer à la jurisprudence européenne, des adaptations sont à prévoir – mais à la marge.

Rétention des données de connexion
Interdiction de principe. Les données de communication sont celles qui sont engendrées automatiquement par les communications effectuées via Internet (données de connexion) ou la téléphonie (données téléphoniques). Elles donnent des informations sur chaque message échangé (nom, prénom, numéro de téléphone pour les données téléphoniques, numéro IP pour les données de connexion). Egalement qualifiées de « métadonnées », elles représentent tout ce qui n’est pas le contenu lui-même de la communication, mais qui informe sur cette dernière (horodatage par exemple).
La conservation de ces données est interdite, en application de l’article L. 34-1 du code des postes et des communications électroniques qui impose leur effacement – voire l’anonymisation de « toute donnée relative au trafic » (2).
Cependant, il existe une exception à ce principe. L’article R10-13 du même code (3) impose aux opérateurs de communications électroniques, aux fournisseurs d’accès à Internet (FAI) et aux hébergeurs de conserver – pour une durée d’un an – toutes les données de trafic, de localisation et celles relatives à l’identité de leurs utilisateurs. Cette conservation se justifie pour les besoins d’une part, de la recherche, de la constatation et de la poursuite des infractions, notamment pénales, et, d’autre part, des missions de défense et de promotion des « intérêts fondamentaux de la nation » (indépendance, intégrité de son territoire, sécurité, forme républicaine de ses institutions, moyens de sa défense et de sa diplomatie, etc. (4)) confiées aux services de renseignement. Ainsi – et c’est bien ce que relève le Conseil d’Etat dans son arrêt du 21 avril 2021 –, il existe une obligation de conservation générale et indifférenciée des données de connexion. On retrouve dans la directive ePrivacy (5) (désormais abrogée) le principe et l’exception précités. En effet, le texte européen interdisait le stockage des communications et des données relatives au trafic (6), mais ouvrait la faculté pour les Etats membres d’adopter des mesures législatives visant à limiter la portée de cette interdiction (7).
Dans la continuité de plusieurs décisions antérieures, un arrêt du 8 avril 2014 de la Cour de Justice de l’Union européenne (CJUE) rappelle que la conservation des données de connexion constitue une ingérence profonde dans la vie privée des citoyens de l’UE (8). La Haute juridiction européenne exige en conséquence : de solides garanties, des textes clairs et une obligation circonscrite à la seule lutte contre les infractions graves. Elle a consolidé cette analyse le 2 mars 2021, en conditionnant les législations permettant l’accès des autorités publiques aux données de connexion « à des procédures visant à la lutte contre la criminalité grave ou à la prévention de menaces graves contre la sécurité publique » (9). Dans la suite de l’arrêt de la CJUE du 2 mars 2021, le Conseil d’Etat a pris position à son tour : il admet que la conservation généralisée et indifférenciée peut être justifiée dans un objectif de sécurité nationale. A ce titre, les risques d’attentats qui pèsent sur le pays, mais également les risques d’espionnage et d’ingérence étrangère, les risques d’attaques informatiques ou encore l’augmentation de l’activité de groupes radicaux et extrémistes constitueraient autant de menaces portant atteinte à la sécurité nationale. Il prévoit cependant que le gouvernement doit adapter la règlementation, dans les six mois, afin de prévoir un réexamen périodique de la menace, de manière à rectifier le dispositif.

Accès aux données de connexion
Mais cela ne modifie en rien l’obligation de conservation des données de connexion pour les opérateurs télécoms et fournisseurs d’accès et d’hébergement Internet, lesquels peuvent recevoir une demande d’accès de la part des services de renseignement. La lutte contre la criminalité légitime l’ingérence de l’Etat. Les services d’enquête doivent pouvoir accéder aux données de connexion afin de pouvoir remonter jusqu’à l’auteur de l’infraction. Cette modalité est parfaitement admise par la CJUE. Toutefois, si la finalité est légitime, la mise en œuvre interroge. Comment, en effet, circonscrire l’obligation de conservation des données de connexion à des infractions qui n’ont pas été commises, ou dont les auteurs n’ont pas encore été identifiés ? Une solution en fait impraticable. La finalité de la sécurité, même encadrée, conduit nécessairement à une conservation généralisée et indifférenciée des données par les opérateurs. En effet, elle soulève une difficulté opérationnelle. Obstacles techniques et ciblages Le Conseil d’Etat détaille lui-même l’ensemble des obstacles de nature technique et matérielle auxquelles font face les opérateurs, fournisseurs et hébergeurs. Ces derniers ne peuvent que difficilement effectuer un tri selon les personnes ou les zones géographiques. Il leur est également impossible d’identifier par avance une personne susceptible de commettre telle infraction, ou deviner un lieu où est susceptible de se dérouler telle autre.
Le Conseil d’État n’abroge pas pour autant la solution européenne (10). L’opportunité de la solution mise en avant par la CJUE – la conservation doit être ciblée sur certaines personnes soupçonnées ou des lieux spécifiques – n’est pas à proprement parler remise en question par le Conseil d’Etat. En revanche, il enjoint au Premier ministre de réviser les textes concernés (11) afin de circonscrire les finalités de l’obligation de conservation des données de trafic et de localisation à la seule sauvegarde de la sécurité nationale. Ce qui, selon le Conseil d’Etat, ne comprend pas les données d’identité civile, les coordonnées de contact et de paiement, les données relatives aux contrats et aux comptes, ainsi que les adresses IP qui, à elles seules, ne permettent pas d’obtenir d’information pertinente sur la communication. Le Conseil d’Etat valide également la légalité des techniques mises en œuvre par les services de renseignement.
L’accès en temps différé (12), l’accès en temps réel aux données de connexion en matière terroriste (13), la géolocalisation en temps réel (14), ou encore les fameuses boîtes noires ou traitements algorithmiques – à savoir les « traitements automatisés destinés, en fonction de paramètres précisés dans l’autorisation, à détecter des connexions susceptibles de révéler une menace terroriste » (15) – sont autant de techniques mises à la disposition des services de renseignement. Introduites dans le code de la sécurité intérieure (16) à la suite des attentats de 2015, leur légalité, fortement contestée à plusieurs reprises, a été questionnée de nouveau, sans infléchir la position du Conseil d’Etat qui admet leur conformité au droit de l’Union européenne (UE). Cependant, le recours à ces techniques doit être contrôlé par une institution dotée d’un pouvoir contraignant. La Commission nationale de contrôle des techniques de renseignement (CNCTR), instituée en juillet 2015 (17), a bien été mise en place pour veiller au respect du principe de proportionnalité de l’atteinte à la vie privée qu’entraînent ces techniques (18). Cependant, comme elle formule seulement des avis simples ou des recommandations qui n’ont pas de force contraignante, le Conseil d’Etat – pour se conformer au droit de l’UE – a annulé les décrets (19) en ce qu’ils prévoient la mise en œuvre de ces techniques de renseignement (20) sans contrôle préalable par une autorité administrative indépendante dotée d’un pouvoir d’avis conforme ou d’une juridiction.
Au final, des changements marginaux sont à prévoir. Si le Conseil d’Etat admet que la règlementation française doit être adaptée pour se conformer à la jurisprudence européenne, on observe qu’il s’agit de changements à la marge : prévoir un réexamen périodique de la menace qui justifie la conservation des données de connexion, redéfinir les finalités des traitements et garantir un pouvoir contraignant aux avis formulés par la CNCTR. Le cadre législatif et règlementaire français apparaît ainsi dans les grandes lignes conforme aux exigences de la CJUE.

Conservation généralisée : arrêt belge contre
La Cour constitutionnelle belge, elle, n’a pas fait la même analyse. Saisie en janvier 2017 par l’Ordre des barreaux francophones et germanophone, ainsi que par trois associations sans but lucratif (21), elle a rendu le lendemain de la décision du Conseil d’Etat en France, soit le 22 avril 2021, un arrêt (22) où elle retient que le droit de l’UE, à la lumière de la jurisprudence de la CJUE, impose aux Etats de renoncer, pour l’essentiel, à « la conservation généralisée et indifférenciée des données » de connexion (données de trafic et des données de localisation, adresses IP, identité civile des utilisateurs de moyens de communications électroniques, …), annulant ainsi la loi belge du 29 mai 2016 « relative à la collecte et à la conservation des données dans le secteur des communications électroniques », sans attendre une nouvelle législation en la matière. @

* Christiane Féral-Schuhl, ancienne présidente
du Conseil national des barreaux (CNB) après
avoir été bâtonnier du Barreau de Paris,
est l’auteure de « Cyberdroit » paru aux éditions Dalloz.

Copyright : les limitations à l’article 17 déplaisent

Publié le par

En fait. Le 14 juin, dix-huit organisations des industries créatives – dont l’IFPI (musique), Eurocinema (cinéma), l’ACT (télévisions privées), la Fep (livre) ou encore l’EPC (presse) – ont écrit aux Etats membres pour leur demander de ne pas tenir compte des lignes directrices que la Commission européenne a publiées le 4 juin.

Facebook : l’Allemagne rouvre la voie à une régulation des données par le droit de la concurrence

Publié le par

Pour une surprise, c’est une surprise. La plus haute juridiction d’Allemagne a annulé une décision prise en référé par une cour d’appel du pays. Cette affaire pourrait impacter toute l’Europe puisqu’elle concerne Facebook qui se voir enjoint de cesser la fusion de données issues de plusieurs services.

Par Winston Maxwell*, Telecom Paris, Institut polytechnique de Paris

Le saga « Facebook » en Allemagne rencontre un nouveau rebondissement après la décision surprise de la Cour suprême fédérale d’Allemagne du 23 juin 2020. La « Bundesgerichtshof » (BGH) a en effet validé, au moins temporairement, la décision de l’autorité de concurrence allemande ordonnant à Facebook de cesser le traitement de données provenant de sources-tiers telles que Instagram ou de sites web tiers. La décision inédite du 6 février 2019 de l’autorité de la concurrence – la « Bundeskartellamt » – avait fait l’objet d’une suspension par la cour d’appel fédérale de Düsseldorf le 26 août 2019, suspension que la Cour suprême vient d’annuler.

Fusion des données : Facebook doit cesser
Du coup, le droit de la concurrence redevient une arme qui peut accompagner le règlement général européen sur la protection des données (RGPD) – en vigueur depuis le 25 mai 2018 – dans la lutte contre des pratiques excessives en matière de données personnelles. Cette décision pèsera dans le débat européen sur la régulation des plateformes structurantes. Comment en est-on arrivé là ? Remontons au 6 février 2019, date à laquelle l’autorité de la concurrence allemande a émis une décision inédite sur le plan mondiale : elle a jugé que la collecte excessive de données par Facebook, notamment auprès des services Instagram, WhatsApp et sites web tiers, constituait non seulement une violation du RGPD mais également un abus de position dominante au regard du droit de la concurrence.
La Bundeskartellamt – littéralement Office fédéral de lutte contre les cartels – a ordonné à Facebook de cesser cette collecte de ces données, estimant que le consentement donné par les consommateurs n’était pas valable car ceuxci n’avaient pas de véritable choix : soit on accepte de livrer ses données, soit on n’utilise pas le plus grand réseau social du monde. Dans une décision de 300 pages, l’autorité de concurrence a tenté d’argumenter que l’absence de consentement valait violation du RGPD et que cette violation valait « abus » au sens du droit de la concurrence qui interdit tout abus de position dominante. Elle a donc enjoint à Facebook d’arrêter de collecter les données en question. Cette injonction aurait sérieusement perturbé le modèle d’affaires de Facebook, et a pu créer un précédent dangereux dans d’autres pays, où les autorités de concurrence scrutent les moindres faits et gestes du réseau social. Dans une décision du 26 août 2019, la cour d’appel – l’« Oberlandesgericht » – de Düsseldorf a suspendu l’application de la décision de la Bundeskartellamt dans l’attente d’un jugement au fond. Dans sa décision de suspension, la cour d’appel n’a pas caché son désaccord avec le raisonnement de l’autorité de la concurrence. Selon la cour d’appel, le travail de l’autorité de la concurrence n’était pas d’appliquer le RGPD, mais d’appliquer le droit de la concurrence. Cette dernière a fait un amalgame inacceptable entre les principes de protection des données personnelles et les principes de protection de la concurrence, lesquels ne visent pas les mêmes objectifs. Selon la cour d’appel, l’autorité de la concurrence n’avait pas démontré en quoi la collecte excessive de données par Facebook, et la violation du RGPD, avaient un impact néfaste sur la concurrence.
Beaucoup d’observateurs estimaient que l’histoire se terminerait là, l’Oberlandesgericht Düsseldorf ayant mis définitivement fin à la folle idée que le droit de la concurrence pourrait venir en aide au RGPD. Mais l’histoire ne s’est pas arrêtée là, l’autorité de la concurrence ayant fait appel. La décision de la Cour suprême du 23 juin 2020 fut une surprise, car la BGH – plus haute juridiction allemande – annule rarement les décisions prises en référé (à savoir dans le cadre d’une procédure d’urgence) au niveau de la cour d’appel. Le résultat de cette nouvelle décision – non-encore publiée – est que l’injonction de l’autorité de la concurrence du 6 février 2019 reprend vie et Facebook doit immédiatement cesser de fusionner des données de différentes sources.

Violer le RGPD serait anticoncurrentiel
Sur le plan de la procédure, le match n’est pas terminé. L’affaire sera maintenant traitée au fond par la cour d’appel de Düsseldorf, et un autre appel est possible devant la Cour suprême, ainsi qu’une question préjudicielle devant la Cour de justice de l’Union européenne (CJUE). Mais pour l’instant la voie est de nouveau ouverte pour considérer qu’une violation du RGPD peut constituer un abus de position dominante au regard du droit de la concurrence. Le communiqué (1) de la Cour suprême dévoile son raisonnement, qui diffère du raisonnement de l’autorité de la concurrence. Selon la plus haute juridiction allemande, la liberté de choix des acteurs économiques est un principe essentiel de la concurrence et du bon fonctionnement des marchés. Les consommateurs sont des acteurs économiques comme les autres, et le fait – pour une entreprise en position dominante – de mettre le consommateur devant un choix qui n’en est pas un réduit sa liberté, créant ainsi une distorsion de la concurrence.

Liberté de choix des consommateurs : jusqu’où ?
La Cour suprême ne mentionne pas le RGPD, mais fonde son raisonnement uniquement sur l’effet néfaste des pratiques sur la liberté de choix des consommateurs, créant ainsi un lien solide entre les mauvaises pratiques en matière de données personnelles et le droit de la concurrence, un lien que l’autorité de la concurrence n’avait peut-être pas assez développé. La BGH mentionne également le possible impact sur le marché de la publicité en ligne, créant un autre lien possible entre les pratiques de Facebook et les principes de droit de la concurrence.
La Cour suprême allemande ayant mis l’accent sur la liberté de choix des consommateurs, on peut s’interroger sur les limites de cette liberté. Est-ce que les consommateurs peuvent du coup refuser tout traitement lié à la publicité personnalisée, tout en exigeant de bénéficier des services gratuits, ce qui reviendrait à interdire les « cookie walls » ? Les consommateurs peuvent-ils avoir « le beurre et l’argent du beurre » ? Dans le cas Facebook, la BGH semble considérer normal le traitement de données pour la publicité personnalisée dès lors que les données sont générées à l’intérieur du réseau social lui-même.
Lier l’utilisation du service à l’acceptation de ce traitement de données « intra-muros » ne serait pas abusif, car c’est ce qui se passerait probablement dans un environnement concurrentiel. En revanche, lier l’utilisation du service à l’acceptation de la collecte de données provenant d’autres services et sites web « extra-muros » n’est pas une pratique que l’on s’attendrait à voir dans un marché pleinement concurrentiel. En présence d’une concurrence effective sur le marché des réseaux sociaux, il est probable que d’autres acteurs proposeraient un service gratuit sans ce type de collecte de données tiers.
Comme dans toute affaire de droit de la concurrence, l’impact sur la concurrence s’apprécie par un jeu de comparaison : on compare la situation réelle qui existe en présence d’un acteur dominant à une situation fictive, contrefactuelle, où il existerait une concurrence effective sur le marché. C’est en comparant ces deux scénarios que l’on apprécie l’impact sur la concurrence d’une pratique. Souvent, les autorités de la concurrence mettent l’accent sur l’impact d’une pratique sur les autres acteurs du marché : réseaux sociaux concurrents, annonceurs, prestataires de publicité, ainsi que sur les prix pour le consommateur. Une augmentation des prix est un signe d’une concurrence défaillante. Pour un service gratuit tel que Facebook, l’augmentation du prix n’est pas un critère utile, car le prix officiel reste toujours zéro. En revanche, la diminution de la qualité est également un facteur à prendre en compte, et s’apprécie non seulement par rapport à la qualité des services numériques rendus, mais également par l’imposition de conditions d’utilisation pénalisantes, telles que celles imposées par Facebook en matière de données personnelles (livrer ses données, sinon pas de possibilité d’utiliser le réseau social). Comme le souligne le rapport du Stigler Center de septembre 2019, une baisse de qualité à travers l’imposition de conditions pénalisantes en matière de traitement de données personnelles devient l’équivalent d’une augmentation du prix (2).
Par l’utilisation excessive de ses données, le consommateur paie plus cher que ce qu’il paierait dans un marché pleinement concurrentiel. Selon les universitaires auteurs du rapport Stigler, le droit de la concurrence est ainsi équipé pour sanctionner des pratiques abusives dans le traitement des données, à condition de pouvoir démontrer ce type de baisse de qualité pour le consommateur. Ce raisonnement est maintenant repris par la Cour suprême d’Allemagne. Reste le problème du temps. Les affaires en droit de la concurrence prennent généralement des années, et l’affaire Facebook n’est pas une exception. L’autorité de la concurrence allemande a commencé ses enquêtes en 2016, et l’affaire n’est toujours pas réglée. Le gouvernement allemand envisage de modifier sa loi sur la concurrence pour permettre à l’autorité de la concurrence d’aller plus vite à l’égard de plateformes structurantes.

L’Allemagne pourrait inspirer l’Europe
L’initiative allemande pourrait servir de modèle pour la modernisation des règles de concurrence (« New Competition Tool ») actuellement étudiée au niveau de l’Union européenne (3) et soumise à consultation publique jusqu’au 8 septembre prochain (4). En parallèle, la Commission européenne étudie la possibilité de réguler les plateformes structurantes par une approche ex ante (« Digital Services Act »), comme en matière de télécommunications (5). La décision de la Cour suprême allemande ravive un vieux débat sur la meilleure manière de réguler les opérateurs puissants (ceux exerçant une influence significative sur le marché pertinent considéré), soit à travers une régulation ex post fondée sur le droit de la concurrence, soit à travers une régulation sectorielle ex ante, comme en télécommunications. @

* Winston Maxwell, ancien avocat, est depuis juin 2019
directeur d’études Droit et Numérique à Telecom Paris.

Pour la reconnaissance faciale à distance ou locale, les enjeux éthiques ne sont pas les mêmes

Publié le par

Identifier un visage dans une foule soulève de sérieuses questions sur les libertés individuelles. Mais il existe de nombreux autres usages de la reconnaissance faciale, notamment la validation d’identité en local. Ces utilisations ont vocation à se développer mais posent d’autres questions éthiques.

Brainstorming politique et législatif sur les multiples enjeux de l’intelligence artificielle

Publié le par

Il ne se passe pas un mois sans que l’intelligence artificielle (IA) ne fasse l’objet d’un rapport, d’un livre blanc, ou d’une déclaration politique. Il en va pour les uns de la « souveraineté », pour les autres de droit de propriété intellectuelle, ou encore de révolution numérique, c’est selon. Et après ?

La Commission européenne a publié le 19 février – dans le cadre de la présentation de sa stratégie numérique (1) – son livre blanc intitulé « Intelligence artificielle. Une approche européenne axée sur l’excellence et la confiance » (2), soumis à consultation publique jusqu’au 19 mai (3). En France, le 7 février, c’était le Conseil supérieur de la propriété littéraire et artistique (CSPLA) qui publiait son rapport sur l’IA et la culture au regard du droit d’auteur (4). En octobre 2019, l’OCDE (5) présentait son rapport « L’intelligence artificielle dans la société » (6). Le gouvernement français, lui, présentait à l’été 2019 sa stratégie économique d’IA (7), dans le prolongement du rapport Villani de 2018.

Contrôler les « systèmes d’IA à haut risque »
Quels que soient les initiatives et travaux autour de l’intelligence artificielle, les regards se tournent vers le niveau européen lorsque ce n’est pas à l’échelon international. Appréhender l’IA d’un point de vue politique et/ou réglementaire nécessite en effet une approche transfrontalière, tant les enjeux dépassent largement les préoccupations des pays pris isolément. Ainsi, la Commission européenne et l’OCDE se sont chacune emparées du sujet pour tenter d’apporter des réponses et un cadre susceptible de s’appliquer à un ensemble de plusieurs pays. La présidente de la Commission européenne, Ursula von der Leyen (photo), s’était engagé à ouvrir dans les 100 premiers jours de son mandat le débat sur « l’intelligence artificielle humaine et éthique » et sur l’utilisation des méga données (Big Data). Le livre blanc sur l’IA, un document d’une trentaine de pages, expose ses propositions pour promouvoir le développement de l’intelligence artificielle en Europe tout en garantissant le respect des droits fondamentaux. Cette initiative avait été enclenchée il y a près de deux ans par l’ancienne Commission « Juncker » et sa stratégie européenne pour l’IA (8) présentée en avril 2018. Concrètement, il s’agit maintenant pour la Commission « Leyen » de limiter au maximum les risques potentiels que l’IA peut induire, tels que « l’opacité de la prise de décisions, la discrimination fondée sur le sexe ou sur d’autres motifs, l’intrusion dans nos vies privées ou encore l’utilisation à des fins criminelles » (dixit le livre blanc). « Par exemple, des biais dans des algorithmes ou des données de formation utilisés dans des systèmes de recrutement reposant sur l’IA pourraient conduire à des résultats qui seraient injustes et discriminatoires et, partant, illégaux en vertu de la législation de l’UE en matière de non-discrimination ». La Commission européenne compte mettre en place « un écosystème d’excellence » en rationalisant la recherche, en encourageant la collaboration entre les Vingt-sept, et en accroissant les investissements dans le développement et le déploiement de l’IA. Cet écosystème « IA » devra être basé sur la confiance. Aussi, la Commission européenne envisage la création d’un « cadre juridique » qui tienne compte des risques pour les droits fondamentaux et la sécurité. La précédente Commission « Juncker » avait déjà balisé le terrain avec un groupe d’experts de haut niveau – 52 au total (9) – dédié à l’intelligence artificielle, dont les travaux ont abouti à des lignes directrices en matière d’éthique « pour une IA digne de confiance » (10) que des entreprises ont mises à l’essai à la fin de 2019 dans le cadre du forum European AI Alliance constitué à cet effet par 500 membres (11).
Mais la Commission européenne ne veut pas effrayer les entreprises sur un cadre règlementaire trop stricte au regard de cette technologie émergente. « Un cadre juridique devrait reposer sur des principes et porter avant tout sur les systèmes d’IA à haut risque afin d’éviter une charge inutile pour les entreprises qui veulent innover. (…) Les systèmes d’IA à haut risque doivent être certifiés, testés et contrôlés, au même titre que les voitures, les cosmétiques et les jouets. (…) Pour les autres systèmes d’IA, la Commission propose un système de label non obligatoire lorsque les normes définies sont respectées. Les systèmes et algorithmes d’IA pourront tous accéder au marché européen, pour autant qu’ils respectent les règles de l’UE », a prévenu la Commission européenne. Encore faut-il que savoir comment caractériser une application d’IA « à haut risque ».

Une approche internationale nécessaire
Selon le livre blanc, c’est le cas si cette dernière cumule deux critères : l’application d’IA est employée dans un secteur où, compte tenu des caractéristiques des activités normalement menées, des risques importants sont à prévoir (santé, transports, énergie, certains services publics, …) ; l’application d’IA est de surcroît utilisée de façon telle que des risques importants sont susceptibles d’apparaître (risque de blessure, de décès ou de dommage matériel ou immatériel, …). L’Europe entend jouer « un rôle moteur, au niveau mondial, dans la constitution d’alliances autour de valeurs partagées et dans la promotion d’une utilisation éthique de l’IA ». Il faut dire que la Commission européenne n’est pas la seule – loin de là – à avancer sur le terrain encore vierge de l’IA.

5 principes éthiques édictés par l’OCDE
L’OCDE, dont sont membres 37 pays répartis dans le monde (des pays riches pour la plupart), s’est aussi emparée de la question de l’IA en élaborant des principes éthiques. Cette organisation économique a elle aussi constitué son groupe d’experts sur l’intelligence artificielle (AIGO), qui, le 22 mai 2019, a amené l’OCDE à adopter des principes sur l’IA, sous la forme d’une recommandation (12) considérée comme « le premier ensemble de normes internationales convenu par les pays pour favoriser une approche responsable au service d’une IA digne de confiance ». Après en avoir donné une définition précise (voir encadré ci-dessous), l’OCDE recommande à ses Etats membres de promouvoir et de mettre en œuvre cinq grands principes pour « une IA digne de confiance », à savoir :
• 1. Croissance inclusive, développement durable et bienêtre (renforcement des capacités humaines et de la créativité humaine, inclusion des populations sous-représentées, réduction des inégalités économiques, sociales, entre les sexes et autres, et protection des milieux naturels, favorisant ainsi la croissance inclusive, le développement durable et le bien-être).
• 2. Valeurs centrées sur l’humain et équité (liberté, dignité, autonomie, protection de la vie privée et des données, non-discrimination, égalité, diversité, équité, justice sociale, droits des travailleurs, attribution de la capacité de décision finale à l’homme).
• 3. Transparence et explicabilité (transparence et divulgation des informations liées aux systèmes d’IA, favoriser une compréhension générale des systèmes d’IA, informer les parties prenantes de leurs interactions avec les systèmes d’IA, permettre aux personnes subissant les effets néfastes d’un système d’IA de contester les résultats sur la base d’informations claires et facilement compréhensibles).
• 4. Robustesse, sûreté et sécurité (veiller à la traçabilité, notamment pour ce qui est des ensembles de données, des processus et des décisions prises au cours du cycle de vie des systèmes d’IA, approche systématique de la gestion du risque, notamment ceux liés au respect de la vie privée, à la sécurité numérique, à la sûreté et aux biais).
• 5. Responsabilité (du bon fonctionnement des systèmes d’IA et du respect de ces principes).
Le G20 a ensuite approuvé ces principes dans sa déclaration ministérielle des 8-9 juin 2019 sur le commerce et l’économie numériques (13), en présence également du Chili, de l’Egypte, de l’Estonie, des Pays-Bas, du Nigéria, du Sénégal, de Singapour, de l’Espagne et du Viet Nam. « Afin de favoriser la confiance du public dans les technologies de l’IA et de réaliser pleinement leur potentiel, nous nous engageons à adopter une approche de l’IA axée sur l’être humain, guidée par les principes de l’IA du G20 tirés de la recommandation de l’OCDE sur l’IA, qui sont annexés et qui ne sont pas contraignants », ont déclarés les ministres de l’économie numérique et/ou du commerce des pays signataires.
D’autres organisations multilatérales mènent aussi des réflexions sur l’intelligence artificielle, telles que le Conseil de l’Europe, l’Unesco (14), l’OMC (15) et l’UIT (16). Au sein de l’ONU, l’UE participe au suivi du rapport du groupe de haut niveau sur la coopération numérique, et notamment de sa recommandation sur l’IA. Le 21 novembre dernier, l’Unesco a été mandatée à l’unanimité par ses 193 Etats membres pour élaborer avec l’aide d’experts des normes éthiques en matière d’IA. « Parce que l’intelligence artificielle dépasse le registre de l’innovation, c’est une rupture, une rupture anthropologique majeure qui nous place devant des choix éthiques », a lancé sa directrice générale, la Française Audrey Azoulay, lors de la 40e Conférence générale de cette agence de l’ONU.
En France, le CSPLA s’est penché sur l’IA au regard du droit d’auteur. Dans leur rapport publié en février, les deux professeures – Alexandra Bensamoun et Joëlle Farchy – suggèrent « la création d’un droit spécial du droit d’auteur (pour manifester la parenté évidente de ces créations avec les œuvres classiques), assis sur les critères classiques dans une lecture renouvelée ». Il s’agit d’un choix politique, comme ce fut le cas pour le logiciel. Une autre option avancée par les auteures serait de créer un droit spécifique, en droit d’auteur et à la lisière d’un droit voisin, en s’inspirant du régime de l’œuvre posthume.

Quel droit pour l’œuvre créée par une IA ?
Le droit privatif sur les productions créatives d’une IA pourrait ensuite consister en un droit sui generis, sur le modèle du droit accordé au producteur de bases de données, avec un objectif affiché, celui de soutenir et de protéger l’investissement. « La publication de notre rapport sur l’IA permet de contribuer utilement à la réflexion européenne et internationale sur ce sujet. Il sera d’ailleurs traduit prochainement en anglais dans ce but », indique à Edition Multimédi@ Olivier Japiot, président du CSPLA. @

Charles de Laubier