Résumé de l’avis du Contrôleur européen de la protection des données sur le livre blanc de la Commission européenne intitulé «Intelligence artificielle — Une approche européenne axée sur l’excellence et la confiance»

(Le texte complet de l’avis en allemand, anglais et français est disponible sur le site internet du CEPD www.edps.europa.eu)

(2020/C 392/03)

Synthèse

Le 19 février 2020, la Commission européenne a publié un livre blanc intitulé «Intelligence artificielle — Une approche européenne axée sur l’excellence et la confiance». Ce document fait partie d’un ensemble plus vaste de documents stratégiques, qui comprend également une communication intitulée «Une stratégie européenne pour les données».

Le livre blanc poursuit un double objectif: définir des options stratégiques afin de promouvoir le recours à l’intelligence artificielle (IA) et tenir compte «des risques associés à certaines utilisations de cette nouvelle technologie». Pour y parvenir, le livre blanc propose une série de mesures visant à promouvoir le développement et l’adoption de l’IA ainsi qu’un nouveau cadre réglementaire qui répondrait aux préoccupations spécifiques que suscite l’IA et auxquelles le cadre actuel ne peut pas répondre.

Le présent avis expose le point de vue du CEPD sur le livre blanc dans son ensemble, ainsi que sur certains de ses aspects spécifiques, tels que l’approche proposée fondée sur les risques, l’application de la réglementation en matière d’IA ou les exigences particulières relatives à l’identification biométrique à distance (y compris la reconnaissance faciale).

Le CEPD reconnaît l’importance et l’impact croissants de l’intelligence artificielle. Toutefois, l’IA comporte des risques qui lui sont propres et n’est pas une panacée qui résoudra tous les problèmes. Quiconque adopte une technologie, en particulier les administrations publiques qui traitent de grandes quantités de données à caractère personnel, devrait prendre en considération les avantages, les coûts et les risques qu’elle entraîne.

Le CEPD se réjouit des très nombreuses références du livre blanc à une approche européenne de l’IA, fondée sur les valeurs et les droits fondamentaux de l’Union européenne, ainsi que de la prise en compte de la nécessité de se conformer à la législation européenne en matière de protection des données.

Par conséquent, les recommandations formulées dans le présent avis visent à clarifier et, le cas échéant, à renforcer les garanties et les contrôles en matière de protection des données à caractère personnel, en tenant compte du contexte spécifique de l’intelligence artificielle.

À cet effet, le CEPD recommande en particulier que tout nouveau cadre réglementaire relatif à l’IA:

— s’applique tant aux États membres de l’Union européenne qu’aux institutions, organes et organismes de l’Union européenne,

— soit conçu dans l’optique de protéger de tout effet négatif non seulement les personnes physiques, mais également les communautés et la société dans son ensemble,

— propose un système de classification des risques plus solide et plus nuancé, garantissant que tout dommage important potentiel découlant des applications d’IA soit compensé par des mesures d’atténuation appropriées,

— inclue une analyse d’impact définissant clairement les lacunes réglementaires qu’il entend combler,

— évite les chevauchements entre les différentes autorités de contrôle et inclue un mécanisme de coopération.

En ce qui concerne l’identification biométrique à distance, le CEPD est favorable à l’idée d’un moratoire sur le déploiement, dans l’espace public de l’Union européenne, d’un système automatisé de reconnaissance de caractéristiques humaines, non seulement des visages, mais aussi de la démarche, des empreintes digitales, de l’ADN, de la voix, de la pression sur des touches et d’autres signaux biométriques ou comportementaux, de sorte qu’un débat démocratique et éclairé puisse avoir lieu, jusqu’au moment où l’Union européenne et les États membres disposeront de toutes les garanties appropriées, y compris un cadre juridique complet assurant la proportionnalité des différentes technologies et différents systèmes pour chaque type d’utilisation spécifique.

Le CEPD se tient à la disposition de la Commission, du Conseil et du Parlement européen pour tout avis supplémentaire et espère être consulté en temps utile, comme le prévoit l’article 42 du règlement (UE) 2018/1725. Les commentaires figurant dans le présent avis sont sans préjudice de tout commentaire supplémentaire futur sur des points particuliers et/ou au cas où de nouvelles informations seraient disponibles.

1. INTRODUCTION ET CONTEXTE

1. o 10 («Une approche européenne de l’intelligence artificielle») et relève du chapitre «Une Europe adaptée à l’ère du numérique» du programme de travail 2020 de la Commission. Le livre blanc de la Commission intitulé «Intelligence artificielle — Une approche européenne axée sur l’excellence et la confiance» ( 1 ) (ci-après le «livre blanc») s’inscrit dans le cadre de l’initiative n10 («Une approche européenne de l’intelligence artificielle») et relève du chapitre «Une Europe adaptée à l’ère du numérique» du programme de travail 2020 de la Commission.

2. Le CEPD observe que le livre blanc a un lien étroit avec la «Communication de la Commission au Parlement européen, au Conseil, au Comité économique et social européen et au Comité des régions — Une stratégie européenne pour les données» ( 2 ) (ci-après la «stratégie pour les données»), sur laquelle le CEPD a adopté un avis distinct ( 3 )

3. Le 29 janvier 2020, le CEPD a été consulté par la Commission sur le projet de livre blanc et a présenté des observations informelles préliminaires. Le CEPD se réjouit que son avis ait été sollicité à un stade précoce de la procédure et encourage la Commission à maintenir cette bonne pratique.

4. Le livre blanc fait l’objet d’une consultation publique. La consultation vise à recueillir des avis sur le livre blanc dans son ensemble, ainsi que sur certains aspects particuliers de celui-ci. Une consultation publique similaire avait eu lieu sur la communication de la Commission européenne «Une stratégie européenne pour les données».

5. Le présent avis approfondit certaines des observations informelles formulées par le CEPD et apporte une contribution plus ciblée à la Commission à la lumière de la consultation publique. Par ailleurs, le présent avis est sans préjudice de tout commentaire supplémentaire que le CEPD pourrait formuler sur la base d’informations additionnelles disponibles ultérieurement, notamment dans le cadre des futures consultations législatives sur les actes juridiques prévus dans le livre blanc et dans le programme de travail de la Commission.

6. Bien que les institutions, organes et organismes de l’Union européenne soient soumis au RPDUE et non au RGPD, les deux règlements poursuivent les mêmes objectifs et les principes qui les fondent sont identiques ( 4 ) . Pour refléter cette cohérence, toute référence à une disposition du RGPD dans le présent avis sera accompagnée de la mention de la disposition correspondante du RPDUE entre parenthèses.

7. Afin de parvenir à une approche cohérente dans l’ensemble de l’Union , le CEPD recommande que tout nouveau cadre réglementaire en matière d’IA s’applique tant aux États membres qu’aux institutions, organes et organismes de l’Union européenne. Lorsque les institutions, organes et organismes de l’Union ont recours à l’intelligence artificielle («IA»), ils devraient être soumis aux mêmes règles que celles qui s’appliquent dans les États membres de l’Union européenne.

3. CONCLUSIONS

77. Le CEPD partage totalement l’avis de la Commission sur la nécessité d’une approche européenne de l’IA et, à cet égard, se félicite vivement de l’engagement pris par le livre blanc en faveur des droits fondamentaux et des valeurs de l’Union européenne.

78. Le CEPD est toutefois d’avis que les propositions contenues dans le livre blanc doivent faire l’objet d’ajustements et de clarifications supplémentaires sur certains points. Parmi les sujets qui nécessiteraient une plus grande clarté dans une éventuelle proposition législative future figurent le lien entre les risques engendrés par l’IA et les lacunes législatives connexes, l’approche fondée sur les risques qui est appliquée aux systèmes d’IA et la définition de l’IA proprement dite, qui devrait permettre de définir clairement le champ d’application de la législation proposée.

79. Le CEPD recommande en outre que tout nouveau cadre réglementaire relatif à l’IA: — s’applique tant aux États membres de l’Union européenne qu’aux institutions, organes et organismes de l’Union européenne, — soit conçu dans l’optique de protéger de tout effet négatif non seulement les personnes physiques, mais également les communautés et la société dans son ensemble, — propose un système de classification des risques plus solide et plus nuancé, garantissant que tout dommage important potentiel découlant des applications d’IA soit compensé par des mesures d’atténuation appropriées, — inclue une analyse d’impact définissant clairement les lacunes réglementaires qu’il entend combler, — évite les chevauchements entre les différentes autorités de contrôle et inclue un mécanisme de coopération.

80. En ce qui concerne l’identification biométrique à distance, le CEPD est favorable à l’idée d’un moratoire sur le déploiement, dans l’espace public de l’Union européenne, d’un système automatisé de reconnaissance de caractéristiques humaines, non seulement des visages, mais aussi de la démarche, des empreintes digitales, de l’ADN, de la voix, de la pression sur des touches et d’autres signaux biométriques ou comportementaux, de sorte qu’un débat démocratique et éclairé puisse avoir lieu, jusqu’au moment où l’Union européenne et les États membres disposeront de toutes les garanties appropriées, y compris un cadre juridique complet assurant la proportionnalité des différentes technologies et systèmes pour chaque type d’utilisation spécifique.

81. Si un nouveau cadre juridique tel que celui présenté dans le livre blanc et dans le programme de travail de la Commission devait voir le jour, le CEPD fournira un avis supplémentaire à la Commission, comme le prévoit l’article 42 du RPDUE.

Bruxelles, le 29 juin 2020. Wojciech Rafał WIEWIÓROWSKI

(1) COM(2020) 65 final.

(2) COM(2020) 66 final.

(3) Avis 3/2020 du CEPD sur la stratégie européenne pour les données, https://edps.europa.eu/sites/edp/files/publication/20-06-16_opinion_data_strategy_en.pdf (en anglais).

(4) Lorsque les dispositions du règlement (UE) 2018/1725 suivent les mêmes principes que celles du règlement (UE) 2016/679, conformément à la jurisprudence de la Cour de justice, il convient d’interpréter les deux ensembles de dispositions de manière homogène, notamment parce que l’économie du RPDUE doit être comprise comme équivalente à l’économie du RGPD (voir considérant 5 du RPDUE, faisant référence à l’arrêt de la Cour du 9 mars 2010, Commission européenne/République fédérale d’Allemagne, C-518/07, ECLI:EU:C:2010:125, point 28).