COMMISSION EUROPÉENNE Bruxelles, le 21.4.2021 COM(2021) 206 final 2021/0106(COD) Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL ÉTABLISSANT DES RÈGLES HARMONISÉES CONCERNANT L’INTELLIGENCE ARTIFICIELLE (LÉGISLATION SUR L’INTELLIGENCE ARTIFICIELLE) ET MODIFIANT CERTAINS ACTES LÉGISLATIFS DE L’UNION {SEC(2021) 167 final} - {SWD(2021) 84 final} - {SWD(2021) 85 final}



EXPOSÉ DES MOTIFS 1.CONTEXTE DE LA PROPOSITION 1.1.Justification et objectifs de la proposition Le présent exposé des motifs accompagne la proposition de règlement établissant des règles harmonisées concernant l’intelligence artificielle (législation sur l’intelligence artificielle). L’intelligence artificielle (IA) recouvre un large champ de technologies en évolution rapide et peut procurer de nombreux avantages économiques et sociétaux dans l’ensemble des secteurs économiques et des activités sociales. En fournissant de meilleures prédictions, en optimisant les processus et l’allocation des ressources et en permettant la prestation de services personnalisés, le recours à l’intelligence artificielle peut produire des résultats bénéfiques sur les plans sociaux et environnementaux et donner des avantages concurrentiels aux entreprises et à l’économie européenne. Une action s’impose tout spécialement dans les secteurs à fort impact, notamment dans la lutte contre le changement climatique, l’environnement et la santé, le secteur public, la finance, la mobilité, les affaires intérieures et l’agriculture. Cela étant, les éléments et techniques qui rendent possibles les bénéfices socio-économiques de l’IA peuvent aussi être à l’origine de nouveaux risques ou de conséquences négatives pour les personnes ou la société. Au vu de la rapidité des évolutions technologiques et des éventuels défis à relever à cet égard, l’UE est déterminée à faire tout son possible pour adopter une approche équilibrée. Il est dans l’intérêt de l’UE de préserver son avance technologique et de faire en sorte que les Européens puissent bénéficier de nouvelles technologies dont le développement et le fonctionnement respectent les valeurs de l’Union et les droits et principes fondamentaux. La présente proposition met en œuvre l’engagement politique pris par la présidente von der Leyen, qui avait annoncé, dans ses orientations politiques pour la Commission 2019-2024 intitulées «Une Union plus ambitieuse», que la Commission présenterait une proposition législative en vue de l’adoption d’une approche européenne coordonnée relative aux implications humaines et éthiques de l’IA. À la suite de cette annonce, le 19 février 2020, la Commission a publié son livre blanc intitulé «Intelligence artificielle – Une approche européenne axée sur l’excellence et la confiance». Ce livre blanc définit des options stratégiques poursuivant le double objectif de promouvoir l’adoption de l’IA et de tenir compte des risques associés à certaines utilisations de cette technologie. La présente proposition vise à mettre en œuvre le deuxième objectif, relatif à la mise en place d’un écosystème de confiance, en proposant un cadre juridique pour une IA digne de confiance. La proposition se fonde sur les valeurs de l’UE et les droits fondamentaux, et vise à donner aux personnes et aux autres utilisateurs la confiance d’adopter des solutions fondées sur l’IA, tout en encourageant les entreprises à développer ces solutions. L’IA est un outil qui devrait se mettre au service des personnes et constituer une force positive pour la société afin d’accroître, en définitive, le bien-être de l’être humain. Les règles en matière d’IA qui s’appliquent au marché de l’Union ou qui touchent d’une autre façon les personnes de l’Union devraient par conséquent être axées sur le facteur humain, de manière à ce que les personnes puissent avoir confiance dans le fait que la technologie est utilisée d’une façon sûre et conforme à la loi, notamment en ce qui concerne le respect des droits fondamentaux. À la suite de la publication du livre blanc, la Commission a lancé une large consultation des parties intéressées, qui a suscité un vif intérêt de la part de nombreuses parties prenantes, dont la plupart étaient en faveur d’une intervention réglementaire visant à répondre aux défis et préoccupations liés à l’utilisation croissante de l’IA. La présente proposition répond à des demandes explicites du Parlement européen et du Conseil européen, qui ont lancé plusieurs appels en faveur de l’adoption de mesures législatives visant à assurer le bon fonctionnement du marché intérieur des systèmes d’intelligence artificielle (ci-après les «systèmes d’IA») en mettant en balance les bénéfices et les risques de l’IA à l’échelle de l’Union. Elle vise à contribuer à la réalisation de l’objectif formulé par le Conseil européen de faire de l’Union un acteur mondial de premier plan dans le développement d’une intelligence artificielle sûre, fiable et éthique, et elle garantit la protection de principes éthiques expressément demandée par le Parlement européen. En 2017, le Conseil européen a fait valoir la nécessité de faire preuve d’«un sens de l’urgence face aux tendances émergentes, notamment en ce qui concerne des questions telles que l’intelligence artificielle», tout en veillant à assurer «une protection des données, des droits numériques et des normes éthiques d’un niveau élevé». Dans ses conclusions de 2019 concernant le plan coordonné pour le développement et l’utilisation de l’intelligence artificielle «made in Europe», le Conseil a en outre souligné l’importance d’assurer le respect intégral des droits des citoyens européens, et il a demandé que la législation pertinente en vigueur fasse l’objet d’un réexamen en vue de s’assurer qu’elle est adaptée aux nouvelles possibilités qu’offre l’intelligence artificielle et aux nouveaux défis qui en découlent. Le Conseil européen a aussi demandé à ce que soit présentée une définition claire des applications d’IA à haut risque. Les dernières conclusions, publiées le 21 octobre 2020, préconisent en outre l’adoption de mesures visant à remédier aux difficultés posées par l’opacité, la complexité, les biais, le degré relatif d’imprévisibilité et le comportement partiellement autonome de certains systèmes d’IA, afin de faire en sorte que ceux-ci soient compatibles avec les droits fondamentaux et de faciliter l’application des règles juridiques. Le Parlement européen a aussi accompli un travail considérable dans le domaine de l’IA. En octobre 2020, il a adopté un certain nombre de résolutions relatives à l’IA, notamment en ce qui concerne les aspects éthiques, le régime de responsabilité et les droits de propriété intellectuelle. En 2021, celles-ci ont été suivies par des résolutions relatives à l’utilisation de l’IA dans les affaires pénales et dans les domaines de l’éducation, de la culture et de l’audiovisuel. Dans sa résolution concernant un cadre pour les aspects éthiques de l’intelligence artificielle, de la robotique et des technologies connexes, le Parlement européen recommande expressément à la Commission de proposer des mesures législatives visant à exploiter les possibilités et les avantages offerts par l’IA, mais aussi à garantir la protection des principes éthiques. La résolution comprend un texte de la proposition législative pour un règlement sur les principes éthiques relatifs au développement, au déploiement et à l’utilisation de l’IA, de la robotique et des technologies connexes. Conformément à l’engagement politique pris par la présidente von der Leyen dans ses orientations politiques en ce qui concerne les résolutions adoptées par le Parlement européen au titre de l’article 225 du traité sur le fonctionnement de l’Union européenne (TFUE), la présente proposition tient compte de la résolution du Parlement européen susmentionnée dans le plein respect des principes de proportionnalité et de subsidiarité ainsi que de l’accord «Mieux légiférer». Dans ce contexte politique, la Commission présente la proposition de cadre réglementaire relatif à l’IA dont les objectifs spécifiques sont les suivants: ·veiller à ce que les systèmes d’IA mis sur le marché de l’Union et utilisés soient sûrs et respectent la législation en vigueur en matière de droits fondamentaux et les valeurs de l’Union; ·garantir la sécurité juridique pour faciliter les investissements et l’innovation dans le domaine de l’IA; ·renforcer la gouvernance et l’application effective de la législation existante en matière de droits fondamentaux et des exigences de sécurité applicables aux systèmes d’IA; ·faciliter le développement d’un marché unique pour des applications d’IA légales, sûres et dignes de confiance, et empêcher la fragmentation du marché. Afin d’atteindre ces objectifs, la présente proposition présente une approche réglementaire horizontale équilibrée et proportionnée de l’IA qui se limite aux exigences minimales nécessaires pour répondre aux risques et aux problèmes liés à l’IA, sans restreindre ou freiner indûment le développement technologique ni augmenter de manière disproportionnée les coûts de mise sur le marché de solutions d’IA. La proposition établit un cadre juridique solide et souple. D’une part, le cadre est complet et conçu pour résister à l’épreuve du temps dans ses choix réglementaires fondamentaux, y compris dans les exigences fondées sur des principes auxquelles les systèmes d’IA devraient se conformer. D’autre part, il met en place un système réglementaire proportionné centré sur une approche réglementaire bien définie fondée sur le risque qui ne crée pas de restrictions commerciales injustifiées, et en vertu duquel l’intervention juridique est adaptée aux situations concrètes dans lesquelles des préoccupations légitimes existent ou sont raisonnablement prévisibles dans un avenir proche. Par ailleurs, le cadre juridique prévoit des mécanismes souples qui permettent de l’adapter de manière dynamique à l’évolution de la technologie et aux nouvelles situations préoccupantes. La proposition établit des règles harmonisées pour le développement, la mise sur le marché et l’utilisation de systèmes d’IA dans l’Union suivant une approche proportionnée fondée sur le risque. Elle contient une définition de l’IA unique et à l’épreuve du temps. Certaines pratiques d’IA particulièrement néfastes sont interdites en raison de leur caractère contraire aux valeurs de l’Union, tandis que des restrictions et des garanties spécifiques sont proposées en ce qui concerne certaines utilisations de systèmes d’identification biométrique à distance à des fins répressives. La proposition établit une méthode solide d’évaluation du risque permettant de recenser les systèmes d’IA dits «à haut risque» qui présentent des risques importants pour la santé, la sécurité ou les droits fondamentaux des personnes. Les systèmes d’IA en question devront satisfaire à un ensemble d’exigences obligatoires horizontales garantissant une IA digne de confiance et faire l’objet de procédures d’évaluation de la conformité avant de pouvoir être mis sur le marché de l’Union. Des obligations prévisibles, proportionnées et claires sont aussi imposées aux fournisseurs et aux utilisateurs de ces systèmes afin de garantir la sécurité et le respect de la législation existante en matière de protection des droits fondamentaux tout au long du cycle de vie des systèmes d’IA. Pour certains systèmes d’IA spécifiques, seules des obligations minimales en matière de transparence sont proposées, en particulier lorsque des dialogueurs ou des trucages vidéo ultra-réalistes sont utilisés. Le contrôle de l’application des règles proposées sera assuré au moyen d’un système de gouvernance au niveau des États membres reposant sur des structures déjà existantes ainsi que d’un mécanisme de coopération au niveau de l’Union accompagnant la création d’un Comité européen de l’intelligence artificielle. Des mesures supplémentaires sont aussi proposées dans le but de soutenir l’innovation, notamment par l’établissement de bacs à sable réglementaires sur l’IA et d’autres mesures visant à réduire la charge réglementaire et à soutenir les petites et moyennes entreprises (PME) et les start-up. 1.2.Cohérence avec les dispositions existantes dans le domaine d’action Le caractère horizontal de la proposition requiert une cohérence parfaite avec la législation de l’Union existante applicable aux secteurs dans lesquels des systèmes d’IA à haut risque sont déjà utilisés ou sont susceptibles de l’être dans un avenir proche.

La cohérence est aussi assurée avec la charte des droits fondamentaux de l’UE et le droit dérivé de l’Union existant en matière de protection des données, de protection des consommateurs, de non-discrimination et d’égalité entre les femmes et les hommes. La proposition est sans préjudice du règlement général sur la protection des données [règlement (UE) 2016/679] et de la directive en matière de protection des données dans le domaine répressif [directive (UE) 2016/680], et elle complète ces actes avec un ensemble de règles harmonisées concernant la conception, le développement et l’utilisation de certains systèmes d’IA à haut risque ainsi que des restrictions portant sur certaines utilisations de systèmes d’identification biométrique à distance. En outre, la proposition complète le droit de l’Union existant en matière de non-discrimination en prévoyant des exigences spécifiques qui visent à réduire au maximum le risque de discrimination algorithmique, en particulier s’agissant de la conception et de la qualité des jeux de données utilisés pour le développement de systèmes d’IA, assorties d’obligations en ce qui concerne les essais, la gestion des risques, la documentation et le contrôle humain tout au long du cycle de vie des systèmes d’IA. La proposition est sans préjudice de l’application du droit de la concurrence de l’Union. En ce qui concerne les systèmes d’IA à haut risque constituant des composants de sécurité de produits, la présente proposition sera intégrée dans la législation sectorielle existante en matière de sécurité pour assurer la cohérence, empêcher les doubles emplois et réduire au minimum les charges supplémentaires. S’agissant en particulier des systèmes d’IA à haut risque liés aux produits couverts par les actes du nouveau cadre législatif (les machines, les dispositifs médicaux et les jouets, par exemple), les exigences applicables aux systèmes d’IA définies dans la présente proposition feront l’objet d’une vérification dans le cadre des procédures existantes d’évaluation de la conformité prévues dans les actes appropriés du nouveau cadre législatif. En ce qui concerne l’interaction entre les exigences, la présente proposition définit des exigences destinées à couvrir les risques en matière de sécurité spécifiques aux systèmes d’IA, tandis que les actes du nouveau cadre législatif visent à garantir la sécurité globale du produit final et peuvent par conséquent contenir des exigences spécifiques relatives à l’intégration sûre d’un système d’IA dans le produit final. La proposition de règlement relatif aux machines et équipements, dont l’adoption est prévue le même jour que la présente proposition, cadre parfaitement avec cette approche. Pour ce qui est des systèmes d’IA à haut risque liés aux produits couverts par des législations spécifiques relevant de l’ancienne approche (l’aviation et les voitures, par exemple), la présente proposition ne devrait pas s’appliquer directement. Cela étant, les exigences ex ante essentielles applicables aux systèmes d’IA à haut risque définies dans la présente proposition devront être prises en considération lors de l’adoption d’actes d’exécution ou d’actes délégués pertinents en vertu des actes correspondants. En ce qui concerne les systèmes d’IA fournis ou utilisés par des établissements de crédit réglementés, les autorités de surveillance dans le cadre de la législation de l’Union relative aux services financiers devraient être désignées comme les autorités compétentes pour la surveillance des exigences de la présente proposition afin d’assurer un contrôle cohérent du respect des obligations au titre de la présente proposition et de la législation de l’Union relative aux services financiers lorsque les systèmes d’IA sont, dans une certaine mesure, implicitement réglementés par rapport au système de gouvernance interne des établissements de crédit. Pour renforcer davantage la cohérence, la procédure d’évaluation de la conformité et certaines des obligations procédurales des fournisseurs au titre de la présente proposition sont intégrées dans les procédures de la directive 2013/36/UE concernant l’accès à l’activité des établissements de crédit et la surveillance prudentielle. La présente proposition concorde également avec la législation applicable de l’Union en matière de services, notamment s’agissant des services intermédiaires réglementés par la directive 2000/31/CE sur le commerce électronique, et avec la récente proposition de la Commission concernant une législation sur les services numériques. En ce qui concerne les systèmes d’IA constituant des composants de systèmes d’information à grande échelle au sein de l’espace de liberté, de sécurité et de justice géré par l’Agence de l’Union européenne pour la gestion opérationnelle des systèmes d’information à grande échelle au sein de l’espace de liberté, de sécurité et de justice (eu-LISA), la proposition ne s’appliquera pas aux systèmes d’IA mis sur le marché ou en service avant qu’une année se soit écoulée à partir de la date d’application du présent règlement, à moins que le remplacement ou la modification des actes législatifs correspondants entraîne un changement important de la conception ou de la destination du ou des systèmes d’IA concernés. 1.3.Cohérence avec les autres politiques de l’Union La proposition s’inscrit dans le cadre plus large d’un ensemble complet de mesures visant à résoudre les problèmes liés au développement et à l’utilisation de l’IA examinés dans le livre blanc sur l’IA. Par conséquent, elle assure la cohérence et la complémentarité avec d’autres initiatives en cours ou prévues de la Commission qui visent également à résoudre ces problèmes, parmi lesquelles la révision de la législation sectorielle sur les produits (la directive «Machines» et la directive relative à la sécurité générale des produits, par exemple) et les initiatives qui traitent des questions de responsabilité liées aux nouvelles technologies, y compris aux systèmes d’IA. Ces initiatives s’appuieront sur la présente proposition et la compléteront afin d’apporter une certaine clarté juridique et de favoriser la mise en place d’un écosystème de confiance pour l’IA en Europe. La présente proposition est aussi cohérente avec la stratégie numérique globale de la Commission en ce qu’elle contribue à promouvoir des technologies au service des personnes, l’un des trois piliers principaux de l’orientation politique et des objectifs annoncés dans la communication «Façonner l’avenir numérique de l’Europe». Elle établit un cadre cohérent, efficace et proportionné destiné à garantir que l’IA soit développée de manière à respecter les droits des personnes et à gagner la confiance de ceux-ci, à faire en sorte que l’Europe soit adaptée à l’ère du numérique et à faire des dix prochaines années la décennie numérique. En outre, la promotion des innovations engendrées par l’IA est étroitement liée à l’acte sur la gouvernance des données, à la directive concernant les données ouvertes et à d’autres initiatives s’inscrivant dans le cadre de la stratégie de l’UE pour les données, qui établiront des mécanismes et des services de confiance pour la réutilisation, le partage et la mise en commun des données essentielles au développement de modèles d’IA fondés sur les données de haute qualité. La proposition renforce aussi considérablement la contribution de l’Union à la définition de normes mondiales et à la promotion d’une IA digne de confiance qui soit conforme aux valeurs et aux intérêts de l’Union. Elle fournit à l’Union une base solide pour dialoguer davantage avec ses partenaires extérieurs, y compris avec des pays tiers et dans le cadre d’échanges internationaux sur des questions liées à l’IA. 2.BASE JURIDIQUE, SUBSIDIARITÉ ET PROPORTIONNALITÉ 2.1.Base juridique La base juridique de la proposition est en premier lieu l’article 114 du TFUE, qui prévoit l’adoption de mesures destinées à assurer l’établissement et le fonctionnement du marché intérieur. La présente proposition fait partie intégrante de la stratégie de l’UE pour le marché unique numérique. Elle a pour objectif principal d’assurer le bon fonctionnement du marché intérieur en établissant des règles harmonisées notamment en ce qui concerne le développement, la mise sur le marché de l’Union et l’utilisation de produits et de services exploitant des technologies de l’IA ou commercialisés en tant que systèmes d’IA autonomes. Certains États membres envisagent déjà de mettre en place des règles nationales destinées à faire en sorte que l’IA soit sûre et à ce qu’elle soit développée et utilisée dans le respect des obligations en matière de droits fondamentaux. Cela donnera vraisemblablement lieu à deux problèmes principaux: i) une fragmentation du marché intérieur sur des éléments essentiels concernant notamment les exigences relatives aux produits et services d’IA, leur commercialisation, leur utilisation, la responsabilité et la surveillance par les pouvoirs publics, et ii) la diminution substantielle de la sécurité juridique tant pour les fournisseurs que pour les utilisateurs de systèmes d’IA quant à la manière dont les règles existantes et nouvelles s’appliqueront à ces systèmes dans l’Union. Compte tenu de la large circulation transfrontière des produits et services, la législation d’harmonisation de l’UE est l’outil le plus approprié pour résoudre ces deux problèmes. En effet, la proposition définit des exigences obligatoires communes applicables à la conception et au développement de certains systèmes d’IA avant leur mise sur le marché, qui seront mises en œuvre concrètement grâce à des normes techniques harmonisées. La proposition traite aussi de la situation après la mise sur le marché des systèmes d’IA en harmonisant la manière dont les contrôles ex post sont effectués. En outre, étant donné que la présente proposition contient certaines règles spécifiques sur la protection des personnes physiques en ce qui concerne le traitement des données à caractère personnel, à savoir notamment des restrictions portant sur l’utilisation de systèmes d’IA pour l’identification biométrique à distance «en temps réel» dans des espaces accessibles au public à des fins répressives, il convient de fonder le présent règlement, dès lors que ces règles spécifiques sont concernées, sur l’article 16 du TFUE. 2.2.Subsidiarité (en cas de compétence non exclusive) Du fait de la nature de l’IA, qui repose souvent sur des jeux de données vastes et diversifiés et qui peut être intégrée à tout produit ou service circulant librement au sein du marché intérieur, les objectifs de la présente proposition ne peuvent pas être atteints efficacement par les seuls États membres. En outre, la formation d’un ensemble hétérogène de règles nationales potentiellement divergentes entraverait la circulation fluide des produits et services liés aux systèmes d’IA dans l’UE et serait inefficace pour garantir la sécurité et la protection des droits fondamentaux et des valeurs de l’Union dans les différents États membres. Les approches nationales visant à résoudre les problèmes ne feront que créer une insécurité juridique et des obstacles supplémentaires, et ralentiront la pénétration de l’IA sur le marché. L’action au niveau de l’Union est plus appropriée pour atteindre les objectifs de la présente proposition en évitant une nouvelle fragmentation du marché unique en cadres nationaux potentiellement contradictoires qui empêcheraient la libre circulation des biens et services intégrant l’IA. Un cadre réglementaire européen solide pour une IA digne de confiance garantira également des conditions de concurrence équitables et protégera toutes les personnes, tout en renforçant la compétitivité et la base industrielle de l’Europe dans le domaine de l’IA. Seule une action commune au niveau de l’Union peut également permettre de protéger la souveraineté numérique de l’Union et de tirer parti des outils et des pouvoirs réglementaires de l’Union pour définir des règles et des normes mondiales. 2.3.Proportionnalité

La proposition s’appuie sur les cadres juridiques existants et est proportionnée et nécessaire pour atteindre ses objectifs, car elle suit une approche fondée sur les risques et n’impose des charges réglementaires que lorsqu’un système d’IA est susceptible de présenter des risques élevés pour les droits fondamentaux et la sécurité. Pour les systèmes d’IA qui ne sont pas à haut risque, seules des obligations de transparence très limitées sont imposées, par exemple en ce qui concerne la fourniture d’informations signalant l’utilisation d’un système d’IA lorsque celui-ci interagit avec des humains. Pour les systèmes d’IA à haut risque, les exigences en matière de données de haute qualité, de documentation, de traçabilité, de transparence, de contrôle humain, d’exactitude et de robustesse se limitent au strict nécessaire pour atténuer les risques pour les droits fondamentaux et la sécurité qui sont associés à l’IA et qui ne sont pas couverts par d’autres cadres juridiques existants. Des normes harmonisées accompagnées d’outils d’orientation et de mise en conformité aideront les fournisseurs et les utilisateurs à respecter les exigences fixées par la proposition et à réduire au maximum leurs frais. Les coûts supportés par les opérateurs sont proportionnés aux objectifs atteints ainsi qu’aux retombées économiques et aux gages de confiance que les opérateurs peuvent attendre de la présente proposition. 2.4.Choix de l’instrument Le choix d’un règlement en tant qu’instrument juridique se justifie par la nécessité d’une application uniforme des nouvelles règles, notamment en ce qui concerne la définition de l’IA, l’interdiction de certaines pratiques préjudiciables reposant sur l’IA et la classification de certains systèmes d’IA. L’applicabilité directe du règlement, conformément à l’article 288 du TFUE, réduira la fragmentation juridique et facilitera la mise en place d’un marché unique pour des systèmes d’IA licites, sûrs et dignes de confiance. Pour ce faire, le règlement introduira un ensemble harmonisé d’exigences fondamentales en ce qui concerne les systèmes d’IA classés à haut risque ainsi que des obligations pour les fournisseurs et les utilisateurs de ces systèmes devant permettre de mieux protéger les droits fondamentaux et d’assurer une sécurité juridique dans l’intérêt des opérateurs et des consommateurs. Dans le même temps, les dispositions du règlement ne sont pas excessivement contraignantes et laissent aux États membres la possibilité d’agir à divers niveaux pour les éléments qui ne compromettent pas les objectifs de l’initiative, en particulier l’organisation interne du système de surveillance du marché et l’adoption de mesures visant à favoriser l’innovation. 3.RÉSULTATS DES ÉVALUATIONS EX POST, DES CONSULTATIONS DES PARTIES INTÉRESSÉES ET DES ANALYSES D’IMPACT 3.1.Consultations des parties intéressées La présente proposition est le résultat d’une vaste consultation de toutes les principales parties intéressées, dans le cadre de laquelle les principes généraux et les normes minimales en ce qui concerne la consultation des parties intéressées par la Commission ont été appliqués. Une consultation publique en ligne a été lancée le 19 février 2020 parallèlement à la publication du livre blanc sur l’IA et s’est poursuivie jusqu’au 14 juin 2020. L’objectif de cette consultation était de recueillir des points de vue et des opinions sur le livre blanc. La consultation s’adressait à toutes les parties prenantes intéressées issues du secteur public et du secteur privé, y compris les gouvernements, les autorités locales, les organisations commerciales et non commerciales, les partenaires sociaux, les experts, les universitaires et les citoyens. Après avoir analysé toutes les réponses reçues, la Commission a publié un résumé des résultats ainsi que les différentes réponses sur son site internet. Au total, 1 215 contributions ont été reçues, dont 352 provenant d’entreprises ou d’organisations/associations professionnelles, 406 de particuliers (92 % de particuliers de l’UE), 152 de représentants d’institutions universitaires/de recherche et 73 d’autorités publiques. La société civile était représentée par 160 répondants (dont 9 organisations de consommateurs, 129 organisations non gouvernementales et 22 syndicats), tandis que 72 répondants ont indiqué appartenir à la catégorie «autres». Sur 352 représentants d’entreprises et de secteurs d’activité, 222 étaient des entreprises et des représentants d’entreprises, dont 41,5 % de micro, petites et moyennes entreprises. Les autres étaient des associations professionnelles. Au total, 84 % des réponses de représentants d’entreprises et de secteurs d’activité provenaient de l’Union des Vingt-sept. En fonction des différentes questions, entre 81 et 598 répondants ont utilisé les espaces de texte libre pour insérer des observations. Plus de 450 documents de prise de position ont été présentés sur le site internet de l’UE consacré aux enquêtes, soit en tant que complément aux réponses au questionnaire (plus de 400), soit en tant que contribution indépendante (plus de 50). Dans l’ensemble, les parties intéressées s’accordent à reconnaître la nécessité d’agir. Une grande majorité de parties intéressées s’accordent à reconnaître l’existence de vides juridiques ou la nécessité d’une nouvelle législation. Cependant, plusieurs parties intéressées ont invité la Commission à empêcher les doubles emplois, les obligations contradictoires et la réglementation excessive. De nombreuses observations ont souligné l’importance d’un cadre réglementaire neutre sur le plan technologique et proportionné. Les parties intéressées ont pour la plupart demandé que l’IA soit définie de manière stricte, claire et précise. Au-delà de la nécessité de clarifier le terme «IA», elles ont également souligné l’importance de définir les termes «risque», «à haut risque», «à faible risque», «identification biométrique à distance» et «préjudice». La plupart des répondants se sont explicitement prononcés en faveur de l’approche fondée sur les risques. Le recours à un cadre fondé sur les risques a été considéré comme préférable à une réglementation globale de tous les systèmes d’IA. Les types de risques et de menaces devraient se fonder sur une approche secteur par secteur et au cas par cas. Les risques devraient aussi être calculés en tenant compte de l’incidence sur les droits et la sécurité. Les bacs à sable réglementaires pourraient être très utiles pour la promotion de l’IA et ont été accueillis favorablement par certaines parties intéressées, en particulier les associations professionnelles. Parmi les parties intéressées qui ont formulé un avis sur les modèles de contrôle de l’application, plus de 50 % des répondants, dont de nombreuses associations professionnelles, se sont prononcés en faveur du modèle combinant une auto-évaluation ex ante des risques et un contrôle ex post de l’application des règles pour les systèmes d’IA à haut risque. 3.2.Obtention et utilisation d’expertise La proposition s’appuie sur deux années d’analyse et de coopération étroite avec les parties intéressées, y compris avec des universitaires, des entreprises, des partenaires sociaux, des organisations non gouvernementales, des États membres et des citoyens. Les travaux préparatoires ont commencé en 2018 avec la mise en place du groupe d’experts de haut niveau sur l’IA, composé de manière inclusive et ouverte et réunissant 52 experts renommés chargés de conseiller la Commission sur la mise en œuvre de sa stratégie en matière d’IA. En avril 2019, la Commission a soutenu les exigences essentielles énoncées dans les lignes directrices en matière d’éthique pour une IA digne de confiance du groupe d’experts de haut niveau sur l’IA, qui avaient été révisées pour tenir compte de plus de 500 soumissions des parties intéressées. Les exigences essentielles se situent dans la ligne d’une approche répandue et commune, comme en témoigne une pléthore de codes et de principes éthiques élaborés par plusieurs organisations privées et publiques en Europe et dans le monde, selon laquelle le développement et l’utilisation de l’IA devraient être guidés par certains principes fondamentaux axés sur des valeurs. La liste d’évaluation pour une IA digne de confiance (ALTAI) a rendu ces exigences opérationnelles dans le cadre d’un processus pilote mené avec plus de 350 organisations. En outre, la plateforme Alliance pour l’IA a été créée, permettant à environ 4 000 parties intéressées de débattre des enjeux technologiques et sociétaux liés à l’IA et de se réunir à l’occasion d’une assemblée annuelle sur l’IA. Le livre blanc sur l’IA a poussé plus loin cette approche inclusive, en permettant de recueillir les observations de plus de 1 250 parties intéressées, dont plus de 450 documents de prise de position supplémentaires. En conséquence, la Commission a publié une analyse d’impact initiale, qui à son tour a suscité plus de 130 observations. Des ateliers et des événements supplémentaires réunissant les parties intéressées ont aussi été organisés, et les résultats obtenus ont servi de base à l’analyse d’impact et aux choix stratégiques effectués dans la présente proposition. Une étude externe a également été réalisée pour étayer l’analyse d’impact. 3.3.Analyse d’impact Conformément à sa politique «Mieux légiférer», la Commission a réalisé une analyse d’impact pour la présente proposition, qui a été examinée par le comité d’examen de la réglementation de la Commission. Une réunion s’est tenue le 16 décembre 2020 avec le comité d’examen de la réglementation, à la suite de laquelle celui-ci a émis un avis négatif. L’analyse d’impact a ensuite été révisée en profondeur pour répondre aux observations puis soumise à nouveau au comité d’examen de la réglementation, qui a émis un avis positif le 21 mars 2021. L’annexe 1 de l’analyse d’impact comprend les avis du comité d’examen de la réglementation et les recommandations, et précise comment ces dernières ont été prises en considération.

La Commission a étudié différentes options stratégiques pour atteindre l’objectif général de la proposition, qui est d’assurer le bon fonctionnement du marché unique, en créant des conditions propices au développement et à l’utilisation d’une IA digne de confiance dans l’Union. Quatre options stratégiques à différents degrés d’intervention réglementaire ont été évaluées: ·Option nº 1: instrument législatif de l’UE établissant un système de label non obligatoire; ·Option nº 2: une approche ad hoc secteur par secteur; ·Option nº 3: instrument législatif horizontal de l’UE suivant une approche proportionnée fondée sur les risques; ·Option nº 3+: instrument législatif horizontal de l’UE suivant une approche proportionnée fondée sur les risques + codes de conduite pour les systèmes d’IA qui ne sont pas à haut risque; ·Option nº 4: instrument législatif horizontal de l’UE établissant des exigences obligatoires pour tous les systèmes d’IA, indépendamment du niveau de risque qu’ils présentent. Conformément à la méthode établie par la Commission, chaque option stratégique a été évaluée par rapport aux incidences économiques et sociétales, avec un accent particulier sur les incidences sur les droits fondamentaux. L’option privilégiée est l’option nº 3+, à savoir un cadre réglementaire pour les systèmes d’IA à haut risque uniquement, la possibilité étant donnée à tous les fournisseurs de systèmes d’IA qui ne sont pas à haut risque de suivre un code de conduite. Les exigences porteront sur les données, la documentation et la traçabilité, la fourniture d’informations et la transparence, le contrôle humain, la robustesse et l’exactitude, et elles seraient obligatoires pour les systèmes d’IA à haut risque. Les entreprises désireuses d’introduire des codes de conduite pour d’autres systèmes d’IA le feraient volontairement. L’option privilégiée a été considérée comme étant appropriée pour atteindre le plus efficacement possible les objectifs de la présente proposition. En exigeant un ensemble restreint mais efficace d’actions de la part des développeurs et des utilisateurs de l’IA, l’option privilégiée limite les risques de violation des droits fondamentaux et de la sécurité des personnes et favorise une surveillance et un contrôle de l’application efficaces grâce à des exigences ciblées applicables uniquement aux systèmes pour lesquels le risque que de telles violations se produisent est élevé. En conséquence, cette option réduit les coûts de mise en conformité au maximum, évitant ainsi un ralentissement injustifié de l’adoption en raison de prix et de frais de mise en conformité plus élevés. Afin de remédier aux éventuels inconvénients pour les PME, cette option comprend plusieurs dispositions visant à aider les PME à se mettre en conformité et à réduire leurs coûts, à savoir notamment la création de bacs à sable réglementaires et l’obligation de tenir compte des intérêts des PME lors de la fixation des redevances liées à l’évaluation de la conformité. L’option privilégiée renforcera la confiance des personnes dans l’IA, assurera une plus grande sécurité juridique pour les entreprises et dissuadera les États membres de prendre des mesures unilatérales susceptibles de fragmenter le marché unique. La hausse de la demande résultant du degré de confiance plus élevé, l’accroissement de l’offre disponible favorisé par la sécurité juridique et l’absence d’obstacles à la circulation transfrontière des systèmes d’IA sont autant de facteurs qui devraient permettre au marché unique pour l’IA de prospérer. L’UE continuera d’œuvrer à la mise en place d’un écosystème d’IA à croissance rapide pour les services et les produits innovants intégrant des technologies de l’IA ou les systèmes d’IA autonomes, ce qui se traduira par une plus grande autonomie numérique. Les entreprises ou les autorités publiques qui développent ou utilisent des applications d’IA présentant un risque élevé pour la sécurité ou les droits fondamentaux des personnes devraient se conformer à des exigences et à des obligations spécifiques. Les coûts de mise en conformité correspondants sont estimés entre 6 000 EUR et 7 000 EUR pour la fourniture d’un système d’IA à haut risque moyen d’une valeur d’environ 170 000 EUR d’ici 2025. Des coûts annuels liés au temps consacré à assurer un contrôle humain sont aussi à prendre en charge par les utilisateurs de systèmes d’IA lorsque cela est approprié, en fonction du cas d’utilisation. Ces coûts sont estimés entre 5 000 EUR et 8 000 EUR par an. Les coûts de vérification pourraient représenter entre 3 000 EUR et 7 500 EUR supplémentaires pour les fournisseurs de systèmes d’IA à haut risque. Les entreprises ou les autorités publiques qui développent ou utilisent des applications d’IA qui ne sont pas classées à haut risque ne seraient soumises qu’à des obligations minimales concernant les informations à fournir. Cependant, elles pourraient choisir de se regrouper et d’adopter ensemble un code de conduite pour suivre les exigences appropriées et s’assurer que leurs systèmes d’IA sont dignes de confiance. Les coûts ainsi engendrés seraient tout au plus aussi élevés que pour les systèmes d’IA à haut risque, mais très probablement inférieurs. Les incidences des options stratégiques sur différentes catégories de parties intéressées (opérateurs économiques/entreprises; organismes d’évaluation de la conformité, organismes de normalisation et autres organismes publics; particuliers/citoyens; chercheurs) sont expliquées en détail à l’annexe 3 de l’analyse d’impact réalisée à l’appui de la présente proposition. 3.4.Réglementation affûtée et simplification La présente proposition établit des obligations qui s’appliqueront aux fournisseurs et aux utilisateurs de systèmes d’IA à haut risque. Pour les fournisseurs qui développent de tels systèmes et les mettent sur le marché de l’Union, elle créera une sécurité juridique et garantira qu’aucun obstacle ne puisse empêcher la fourniture transfrontière de services et de produits liés à l’IA. Pour les entreprises qui ont recours à l’IA, elle contribuera à instaurer un climat de confiance auprès de leurs clients. Pour les administrations publiques nationales, elle favorisera la confiance du public dans l’utilisation de l’IA et renforcera les mécanismes de contrôle de l’application (en introduisant un mécanisme de coordination européen, en prévoyant des capacités appropriées et en facilitant la vérification des systèmes d’IA avec de nouvelles exigences en matière de documentation, de traçabilité et de transparence). En outre, le cadre envisagera des mesures spécifiques de soutien à l’innovation, y compris des bacs à sable réglementaires et des mesures spécifiques visant à aider les petits utilisateurs et fournisseurs de systèmes d’IA à haut risque à se conformer aux nouvelles règles. La proposition vise aussi spécifiquement à renforcer la compétitivité et la base industrielle de l’Europe dans le domaine de l’IA. Une cohérence parfaite est assurée avec la législation sectorielle existante de l’Union applicable aux systèmes d’IA (par exemple sur les produits et services), ce qui apportera plus de clarté et simplifiera l’application des nouvelles règles. 3.5.Droits fondamentaux L’utilisation de l’IA, compte tenu des caractéristiques spécifiques de cette technologie (par exemple l’opacité, la complexité, la dépendance à l’égard des données, le comportement autonome), peut porter atteinte à un certain nombre de droits fondamentaux consacrés dans la charte des droits fondamentaux de l’UE (ci-après la «charte»). La présente proposition vise à garantir un niveau élevé de protection de ces droits fondamentaux et à lutter contre diverses sources de risques grâce à une approche fondée sur les risques clairement définie. Prévoyant un ensemble d’exigences pour une IA digne de confiance et des obligations proportionnées pour tous les participants à la chaîne de valeur, la proposition renforcera et favorisera la protection des droits protégés par la charte: le droit à la dignité humaine (article 1er), le respect de la vie privée et la protection des données à caractère personnel (articles 7 et 8), la non-discrimination (article 21) et l’égalité entre les femmes et les hommes (article 23). Elle vise à prévenir un effet dissuasif sur les droits à la liberté d’expression (article 11) et à la liberté de réunion (article 12), à préserver le droit à un recours effectif et à accéder à un tribunal impartial, les droits de la défense et la présomption d’innocence (articles 47 et 48), ainsi que le principe général de bonne administration. En outre, la proposition renforcera les droits d’un certain nombre de groupes particuliers dans différents domaines d’intervention, notamment les droits des travailleurs à des conditions de travail justes et équitables (article 31), le droit des consommateurs à un niveau élevé de protection (article 28), les droits de l’enfant (article 24) et l’intégration des personnes handicapées (article 26). Le droit à un niveau élevé de protection de l’environnement et l’amélioration de la qualité de l’environnement (article 37) sont également pertinents, y compris au regard de la santé et de la sécurité des personnes. Les obligations relatives aux essais ex ante, à la gestion des risques et au contrôle humain faciliteront également le respect d’autres droits fondamentaux en réduisant au minimum le risque de décisions erronées ou biaisées assistées par l’IA dans des domaines cruciaux tels que l’éducation et la formation, l’emploi, les services essentiels et l’appareil répressif et judiciaire. Dans les situations où des violations des droits fondamentaux se produiraient encore, les personnes concernées pourront bénéficier de possibilités de recours efficaces rendues possibles grâce à la transparence et à la traçabilité des systèmes d’IA, associées à de solides contrôles ex post. La présente proposition impose certaines restrictions à la liberté d’entreprise (article 16) et à la liberté des arts et des sciences (article 13) pour des raisons impérieuses d’intérêt général liées à la santé, à la sécurité, à la protection des consommateurs et à la protection d’autres droits fondamentaux («innovation responsable») dans le contexte du développement et de l’utilisation de technologies d’IA à haut risque. Ces restrictions sont proportionnées et limitées au strict nécessaire pour prévenir et atténuer les risques graves pour la sécurité et les éventuelles violations des droits fondamentaux. Les obligations en matière de renforcement de la transparence ne porteront pas non plus atteinte de manière disproportionnée au droit à la protection de la propriété intellectuelle (article 17, paragraphe 2), puisqu’elles seront limitées aux informations strictement nécessaires pour permettre aux personnes d’exercer leur droit à un recours effectif et à la transparence requise de la part des autorités de contrôle et d’exécution, conformément à leurs mandats. Toute divulgation d’informations sera effectuée conformément à la législation en vigueur dans le domaine concerné, notamment la directive 2016/943 sur la protection des savoir-faire et des informations commerciales non divulgués (secrets d’affaires) contre l’obtention, l’utilisation et la divulgation illicites. Lorsque les autorités publiques et les organismes notifiés doivent avoir accès à des informations confidentielles ou à un code source pour vérifier le respect d’obligations essentielles, ils sont soumis à des obligations de confidentialité contraignantes. 4.INCIDENCE BUDGÉTAIRE

Les États membres devront désigner des autorités de surveillance chargées de la mise en œuvre des exigences législatives. La fonction de surveillance pourrait s’appuyer sur les dispositions existantes, concernant par exemple les organismes d’évaluation de la conformité ou la surveillance du marché, mais exigerait une expertise technologique et des ressources humaines et financières suffisantes. En fonction de la structure préexistante dans chaque État membre, cela pourrait représenter de 1 à 25 équivalents temps plein par État membre. Une vue d’ensemble détaillée des coûts engendrés est présentée dans la «fiche financière» qui accompagne la présente proposition. 5.AUTRES ÉLÉMENTS 5.1.Plans de mise en œuvre et modalités de suivi, d’évaluation et d’information Il est essentiel de prévoir un mécanisme solide de suivi et d’évaluation pour garantir que la proposition atteindra efficacement ses objectifs spécifiques. La Commission sera chargée de surveiller les effets de la proposition. Elle établira un système d’enregistrement des applications d’IA autonomes à haut risque dans une base de données publique à l’échelle de l’UE. Cet enregistrement permettra également aux autorités compétentes, aux utilisateurs et à d’autres personnes intéressées de vérifier si le système d’IA à haut risque est conforme aux exigences énoncées dans la proposition et d’exercer un contrôle renforcé sur les systèmes d’IA présentant des risques élevés pour les droits fondamentaux. Pour alimenter cette base de données, les fournisseurs d’IA seront tenus de fournir des informations utiles sur leurs systèmes et sur les mesures d’évaluation de la conformité de ceux-ci. De plus, les fournisseurs d’IA seront tenus d’informer les autorités nationales compétentes des incidents ou dysfonctionnements graves qui constituent une violation des obligations en matière de droits fondamentaux dès qu’ils auront connaissance de tels faits, ainsi que de tout rappel ou retrait de systèmes d’IA du marché. Les autorités nationales compétentes enquêteront ensuite sur les incidents ou dysfonctionnements, collecteront toutes les informations nécessaires et les transmettront régulièrement à la Commission accompagnées des métadonnées appropriées. La Commission complétera ces informations sur les incidents par une analyse complète de l’ensemble du marché de l’IA. Elle publiera un rapport d’évaluation et de révision du cadre pour l’IA proposé cinq ans après la date d’entrée en vigueur de celui-ci. 5.2.Explication détaillée des différentes dispositions de la proposition 5.2.1.CHAMP D’APPLICATION ET DÉFINITIONS (TITRE I) Le titre I définit l’objet du règlement et le champ d’application des nouvelles règles qui couvrent la mise sur le marché, la mise en service et l’utilisation des systèmes d’IA. Il énonce également les définitions utilisées dans l’ensemble de l’acte. La définition d’un système d’IA dans le cadre juridique a été pensée pour être aussi neutre que possible sur le plan technologique et pour résister à l’épreuve du temps, en tenant compte de l’évolution rapide des technologies et du marché de l’IA. Afin de fournir la sécurité juridique requise, le titre I est complété par l’annexe I, qui contient une liste détaillée d’approches et de techniques de développement de l’IA à adapter par la Commission à mesure que de nouvelles technologies apparaissent. Des définitions claires sont aussi énoncées pour les acteurs principaux de la chaîne de valeur de l’IA tels que les fournisseurs et les utilisateurs de systèmes d’IA. Celles-ci couvrent à la fois les opérateurs publics et les opérateurs privés afin de garantir des conditions de concurrence équitables. 5.2.2.PRATIQUES D’INTELLIGENCE ARTIFICIELLE INTERDITES (TITRE II) Le titre II établit la liste des pratiques d’IA interdites. Le règlement suit une approche fondée sur les risques et introduit une distinction entre les utilisations de l’IA qui créent i) un risque inacceptable, ii) un risque élevé et iii) un risque faible ou minimal. La liste des pratiques interdites figurant au titre II comprend tous les systèmes d’IA dont l’utilisation est considérée comme inacceptable car contraire aux valeurs de l’Union, par exemple en raison de violations des droits fondamentaux. Les interdictions portent sur les pratiques qui présentent un risque important de manipuler des personnes par des techniques subliminales agissant sur leur inconscient, ou d’exploiter les vulnérabilités de groupes vulnérables spécifiques tels que les enfants ou les personnes handicapées afin d’altérer sensiblement leur comportement d’une manière susceptible de causer un préjudice psychologique ou physique à la personne concernée ou à une autre personne. D’autres pratiques de manipulation ou d’exploitation visant les adultes et susceptibles d’être facilitées par des systèmes d’IA pourraient être couvertes par les actes existants sur la protection des données, la protection des consommateurs et les services numériques, qui garantissent que les personnes physiques sont correctement informées et peuvent choisir librement de ne pas être soumises à un profilage ou à d’autres pratiques susceptibles de modifier leur comportement. La proposition interdit également la notation sociale fondée sur l’IA effectuée à des fins générales par les autorités publiques. Enfin, l’utilisation de systèmes d’identification biométrique à distance «en temps réel» dans des espaces accessibles au public à des fins répressives est également interdite, à moins que certaines exceptions limitées ne s’appliquent. 5.2.3.SYSTÈMES D’IA À HAUT RISQUE (TITRE III) Le titre III contient des règles spécifiques applicables aux systèmes d’IA qui présentent un risque élevé pour la santé, la sécurité ou les droits fondamentaux des personnes physiques. Selon une approche fondée sur les risques, ces systèmes d’IA à haut risque sont autorisés sur le marché européen sous réserve du respect de certaines exigences obligatoires et d’une évaluation ex ante de la conformité. La classification d’un système d’IA comme étant à haut risque repose sur la finalité du système d’IA, conformément à la législation existante en matière de sécurité des produits. Par conséquent, la classification d’un système d’IA comme étant à haut risque ne dépend pas seulement de la fonction remplie par le système d’IA, mais également de la finalité et des modalités spécifiques pour lesquelles ce système est utilisé. Le chapitre 1 du titre III énonce les règles de classification et définit deux grandes catégories de systèmes d’IA à haut risque: ·les systèmes d’IA destinés à être utilisés en tant que composants de sécurité de produits, qui font l’objet d’une évaluation ex ante de la conformité par un tiers; ·les autres systèmes d’IA autonomes qui soulèvent principalement des questions quant au respect des droits fondamentaux, qui sont explicitement énumérés à l’annexe III. La liste de systèmes d’IA à haut risque de l’annexe III comprend un nombre limité de systèmes d’IA pour lesquels les risques recensés se sont déjà matérialisés ou sont susceptibles de se matérialiser dans un avenir proche. Pour garantir que le règlement puisse être adapté aux nouvelles utilisations et applications de l’IA, la Commission peut étendre la liste des systèmes d’IA à haut risque utilisés dans certains domaines prédéfinis, en appliquant un ensemble de critères et une méthode d’évaluation des risques. Le chapitre 2 définit les exigences légales applicables aux systèmes d’IA à haut risque en ce qui concerne les données et la gouvernance des données, la documentation et la tenue de registres, la transparence et la fourniture d’informations aux utilisateurs, le contrôle humain, la robustesse, l’exactitude et la sécurité. Les exigences minimales proposées correspondent déjà aux méthodes les plus modernes utilisées par de nombreux opérateurs diligents. Elles sont le résultat de deux années de travaux préparatoires, basés sur les lignes directrices en matière d’éthique du groupe d’experts de haut niveau sur l’IA et menés par plus de 350 organisations. De plus, elles cadrent largement avec les autres recommandations et principes internationaux, ce qui garantit la compatibilité du cadre pour l’IA proposé avec les cadres adoptés par les partenaires commerciaux internationaux de l’UE. Les solutions techniques concrètes pour se conformer à ces exigences peuvent être fournies par des normes ou par d’autres spécifications techniques, ou être élaborées d’une autre manière sur la base de connaissances générales en ingénierie ou en science, selon l’appréciation du fournisseur du système d’IA. Cette flexibilité est particulièrement importante, car elle permet aux fournisseurs de systèmes d’IA de choisir la marche à suivre pour se conformer aux exigences, en tenant compte des avancées les plus récentes et des progrès technologiques et scientifiques dans ce domaine. Le chapitre 3 impose un ensemble clair d’obligations horizontales aux fournisseurs de systèmes d’IA à haut risque. Des obligations proportionnées sont également imposées aux utilisateurs et aux autres participants situés tout au long de la chaîne de valeur de l’IA (par exemple les importateurs, les distributeurs et les mandataires).

Le chapitre 4 définit le cadre dans lequel les organismes notifiés doivent être associés en tant que tiers indépendants aux procédures d’évaluation de la conformité, tandis que le chapitre 5 décrit en détail les procédures d’évaluation de la conformité à suivre pour chaque type de système d’IA à haut risque. L’approche en matière d’évaluation de la conformité vise à réduire au minimum la charge pour les opérateurs économiques ainsi que pour les organismes notifiés, dont la capacité doit être progressivement augmentée au fil du temps. Les systèmes d’IA destinés à être utilisés en tant que composants de sécurité de produits réglementés par des actes du nouveau cadre législatif (les machines, les jouets et les dispositifs médicaux, par exemple) seront soumis aux mêmes mécanismes ex ante et ex post de mise en conformité et de contrôle de l’application que ceux applicables aux produits dont ils sont des composants. La principale différence est que les mécanismes ex ante et ex post garantiront le respect non seulement des exigences établies par la législation sectorielle, mais également des exigences établies par le présent règlement. En ce qui concerne les systèmes d’IA autonomes à haut risque visés à l’annexe III, un nouveau système de mise en conformité et de contrôle de l’application sera mis en place. Ce système suit le modèle des actes du nouveau cadre législatif, dont la mise en œuvre fait l’objet de contrôles internes effectués par les fournisseurs, sauf pour les systèmes d’identification biométrique à distance, qui devraient être soumis à une évaluation de la conformité réalisée par un tiers. Une évaluation ex ante complète de la conformité, réalisée au moyen de contrôles internes et assortie d’un contrôle ex post renforcé de l’application, pourrait être une solution efficace et raisonnable pour ces systèmes, compte tenu du stade précoce de l’intervention réglementaire et du fait que le secteur de l’IA produit de nombreuses innovations et que les compétences techniques nécessaires à la vérification commencent seulement à être acquises. Une évaluation au moyen de contrôles internes pour les systèmes d’IA autonomes à haut risque exigerait une évaluation ex ante complète, efficace et correctement documentée de la conformité avec toutes les exigences du règlement ainsi que de la conformité avec les exigences en matière de robustesse, de qualité, de systèmes de gestion des risques et de surveillance après commercialisation. Une fois que le fournisseur a effectué l’évaluation de la conformité appropriée, il devrait enregistrer ces systèmes d’IA autonomes à haut risque dans une base de données de l’UE qui sera gérée par la Commission pour accroître la transparence, améliorer le contrôle public et renforcer le contrôle ex post par les autorités compétentes. En revanche, pour des raisons de cohérence avec la législation existante en matière de sécurité des produits, les évaluations de la conformité des systèmes d’IA utilisés en tant que composants de sécurité de produits seront effectuées selon un système doté de procédures d’évaluation de la conformité par des tiers déjà établi dans le cadre de la législation sectorielle appropriée en matière de sécurité des produits. En cas de modification substantielle des systèmes d’IA, ceux-ci devront faire l’objet de réévaluations ex ante de la conformité (notamment lorsque les modifications vont au-delà de ce qui est prédéterminé par le fournisseur dans sa documentation technique et vérifié lors de l’évaluation ex ante de la conformité). 5.2.4.OBLIGATIONS DE TRANSPARENCE POUR CERTAINS SYSTÈMES D’IA (TITRE IV) Le titre IV impose des obligations à certains systèmes d’IA en raison des risques spécifiques de manipulation qu’ils présentent. Les obligations de transparence s’appliqueront aux systèmes qui i) interagissent avec les humains, ii) sont utilisés pour détecter des émotions ou déterminer l’association avec des catégories (sociales) sur la base de données biométriques, ou iii) générer ou manipuler des contenus (trucages vidéo ultra-réalistes). Lorsque des personnes interagissent avec un système d’IA ou que leurs émotions ou caractéristiques sont reconnues par des moyens automatisés, elles doivent en être informées. Si un système d’IA est utilisé pour générer ou manipuler des images ou des contenus audio ou vidéo afin de produire un résultat qui ressemble sensiblement à un contenu authentique, il devrait être obligatoire de déclarer que le contenu est généré par des moyens automatisés, sauf pour certaines finalités légitimes faisant l’objet d’exceptions (domaine répressif, liberté d’expression). Cette obligation laisse la possibilité aux personnes de prendre des décisions en connaissance de cause ou de se désengager d’une situation donnée. 5.2.5.MESURES DE SOUTIEN À L’INNOVATION (TITRE V) Le titre V contribue à la réalisation de l’objectif consistant à créer un cadre juridique propice à l’innovation et résistant à l’épreuve du temps et aux perturbations. À cette fin, il encourage les autorités nationales compétentes à mettre en place des bacs à sable réglementaires et établit un cadre de base en matière de gouvernance, de surveillance et de responsabilité. Les bacs à sable réglementaires sur l’IA offrent un environnement contrôlé pour mettre à l’essai des technologies novatrices sur une durée limitée sur la base d’un plan d’essai convenu avec les autorités compétentes. Le titre V contient également des mesures visant à réduire la charge réglementaire pesant sur les PME et les start-up. 5.2.6.GOUVERNANCE ET MISE EN ŒUVRE (TITRES VI, VII ET VII) Le titre VI met en place les systèmes de gouvernance au niveau de l’Union et au niveau national. Au niveau de l’Union, la proposition institue un Comité européen de l’intelligence artificielle (ci-après le «Comité»), composé de représentants des États membres et de la Commission. Le Comité facilitera la mise en œuvre fluide, efficace et harmonisée du présent règlement en contribuant à la coopération efficace entre les autorités de contrôle nationales et la Commission et en fournissant des conseils et une expertise à la Commission. Il recensera également les meilleures pratiques et les diffusera dans les États membres. Au niveau national, les États membres devront désigner une ou plusieurs autorités nationales compétentes et, parmi elles, l’autorité de contrôle nationale chargée de contrôler l’application et la mise en œuvre du règlement. Le Contrôleur européen de la protection des données agira en tant qu’autorité compétente pour la surveillance des institutions, agences et organes de l’Union lorsqu’ils relèvent du champ d’application du présent règlement. Le titre VII vise à faciliter le travail de suivi de la Commission et des autorités nationales par la création d’une base de données à l’échelle de l’UE pour les systèmes d’IA autonomes à haut risque qui soulèvent principalement des questions quant au respect des droits fondamentaux. La base de données sera gérée par la Commission et alimentée par les fournisseurs de systèmes d’IA, qui seront tenus d’enregistrer leurs systèmes avant de les mettre sur le marché ou de les mettre en service d’une autre manière. Le titre VIII énonce les obligations en matière de surveillance et d’établissement de rapports pour les fournisseurs de systèmes d’IA en ce qui concerne la surveillance après commercialisation et l’établissement de rapports et les enquêtes sur les incidents et les dysfonctionnements liés à l’IA. Les autorités de surveillance du marché seraient aussi chargées de contrôler le marché et d’enquêter sur le respect des obligations et des exigences pour tous les systèmes d’IA à haut risque déjà mis sur le marché. Les autorités de surveillance du marché seraient investies de tous les pouvoirs qui leur sont conférés en vertu du règlement (UE) 2019/1020 sur la surveillance du marché. Le contrôle ex post de l’application devrait garantir qu’une fois le système d’IA mis sur le marché, les autorités publiques ont les pouvoirs et les ressources nécessaires pour intervenir au cas où les systèmes d’IA généreraient des risques inattendus, qui justifient une action rapide. Les autorités contrôleront également le respect par les opérateurs des obligations pertinentes qui leur incombent au titre du règlement. La proposition ne prévoit pas la création automatique d’organes ou autorités supplémentaires au niveau des États membres. Les États membres peuvent donc désigner (et s’appuyer sur l’expertise) des autorités sectorielles existantes, qu’ils investiraient également des pouvoirs de suivi et de contrôle de l’application des dispositions du règlement. Cela est sans préjudice du système existant et de l’attribution des pouvoirs de contrôle ex post du respect des obligations relatives aux droits fondamentaux dans les États membres. Lorsque cela est nécessaire à leur mandat, les autorités existantes de surveillance et de contrôle de l’application seront également habilitées à demander et à avoir accès à toute documentation conservée en vertu du présent règlement et, le cas échéant, à demander aux autorités de surveillance du marché d’organiser des essais du système d’IA à haut risque par des moyens techniques. 5.2.7.CODES DE CONDUITE (TITRE IX) Le titre IX établit un cadre pour la création de codes de conduite visant à encourager les fournisseurs de systèmes d’IA ne présentant pas de risque élevé à appliquer volontairement les exigences obligatoires pour les systèmes d’IA à haut risque (telles qu’énoncées au titre III). Les fournisseurs de systèmes d’IA ne présentant pas de risque élevé peuvent créer et mettre en œuvre eux-mêmes les codes de conduite. Ces codes peuvent aussi inclure des engagements volontaires liés, par exemple, à la durabilité environnementale, à l’accessibilité pour les personnes handicapées, à la participation des parties prenantes à la conception et au développement des systèmes d’IA et à la diversité des équipes de développement. 5.2.8.DISPOSITIONS FINALES (TITRES X, XI ET XII) Le titre X met l’accent sur l’obligation pour toutes les parties de respecter la confidentialité des informations et des données et définit des règles pour l’échange d’informations obtenues lors de la mise en œuvre du règlement. Le titre X comprend également des mesures visant à garantir la mise en œuvre efficace du règlement grâce à l’application de sanctions effectives, proportionnées et dissuasives en cas de violation des dispositions. Le titre XI définit les règles relatives à l’exercice de la délégation et aux compétences d’exécution. La proposition habilite la Commission à adopter, le cas échéant, des actes d’exécution pour assurer une application uniforme du règlement ou des actes délégués pour mettre à jour ou compléter les listes des annexes I à VII. Le titre XII contient une obligation pour la Commission d’évaluer régulièrement la nécessité d’une mise à jour de l’annexe III et de préparer des rapports réguliers sur l’évaluation et la révision du règlement. Il établit également des dispositions finales, y compris une période transitoire différenciée pour la date initiale d’applicabilité du règlement visant à faciliter sa mise en œuvre harmonieuse pour toutes les parties concernées. 2021/0106 (COD) Proposition de

RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL ÉTABLISSANT DES RÈGLES HARMONISÉES CONCERNANT L’INTELLIGENCE ARTIFICIELLE (LÉGISLATION SUR L’INTELLIGENCE ARTIFICIELLE) ET MODIFIANT CERTAINS ACTES LÉGISLATIFS DE L’UNION LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L’UNION EUROPÉENNE, vu le traité sur le fonctionnement de l’Union européenne, et notamment ses articles 16 et 114, vu la proposition de la Commission européenne, après transmission du projet d’acte législatif aux parlements nationaux, vu l’avis du Comité économique et social européen, vu l’avis du Comité des régions, statuant conformément à la procédure législative ordinaire, considérant ce qui suit: (1)L’objectif du présent règlement est d’améliorer le fonctionnement du marché intérieur en établissant un cadre juridique uniforme, en particulier pour le développement, la commercialisation et l’utilisation de l’intelligence artificielle dans le respect des valeurs de l’Union. Le présent règlement poursuit un objectif justifié par un certain nombre de raisons impérieuses d’intérêt général, telles que la nécessité d’un niveau élevé de protection de la santé, de la sécurité et des droits fondamentaux, et il garantit la libre circulation transfrontière des biens et services fondés sur l’IA, empêchant ainsi les États membres d’imposer des restrictions concernant le développement, la commercialisation et l’utilisation de systèmes d’IA, sauf autorisation expresse du présent règlement. (2)Les systèmes d’intelligence artificielle (ci-après les «systèmes d’IA») peuvent être facilement déployés dans plusieurs secteurs de l’économie et de la société, y compris transfrontières, et circuler dans toute l’Union. Certains États membres ont déjà envisagé l’adoption de règles nationales destinées à faire en sorte que l’intelligence artificielle soit sûre et à ce qu’elle soit développée et utilisée dans le respect des obligations en matière de droits fondamentaux. La disparité des règles nationales peut entraîner une fragmentation du marché intérieur et réduire la sécurité juridique pour les opérateurs qui développent ou utilisent des systèmes d’IA. Il convient donc de garantir un niveau de protection cohérent et élevé dans toute l’Union, tandis que les divergences qui entravent la libre circulation des systèmes d’IA et des produits et services connexes au sein du marché intérieur devraient être évitées, en établissant des obligations uniformes pour les opérateurs et en garantissant la protection uniforme des raisons impérieuses d’intérêt général et des droits des citoyens dans l’ensemble du marché intérieur conformément à l’article 114 du traité sur le fonctionnement de l’Union européenne (TFUE). Dans la mesure où le présent règlement contient des règles spécifiques sur la protection des personnes physiques en ce qui concerne le traitement des données à caractère personnel, à savoir notamment des restrictions portant sur l’utilisation de systèmes d’IA pour l’identification biométrique à distance «en temps réel» dans des espaces accessibles au public à des fins répressives, il convient de fonder le présent règlement, dès lors que ces règles spécifiques sont concernées, sur l’article 16 du TFUE. Compte tenu de ces règles spécifiques et du recours à l’article 16 du TFUE, il convient de consulter le comité européen de la protection des données. (3)L’intelligence artificielle est une famille de technologies en évolution rapide susceptible de contribuer à un large éventail de bienfaits économiques et sociétaux touchant l’ensemble des secteurs économiques et des activités sociales. En fournissant de meilleures prédictions, en optimisant les processus et l’allocation des ressources et en personnalisant les solutions numériques disponibles pour les particuliers et les organisations, le recours à l’intelligence artificielle peut donner des avantages concurrentiels décisifs aux entreprises et produire des résultats bénéfiques pour la société et l’environnement, dans des domaines tels que les soins de santé, l’agriculture, l’éducation et la formation, la gestion des infrastructures, l’énergie, les transports et la logistique, les services publics, la sécurité, la justice, l’utilisation efficace des ressources et de l’énergie ainsi que l’atténuation du changement climatique et l’adaptation à celui-ci. (4)Dans le même temps, en fonction des circonstances concernant son application et son utilisation, l’intelligence artificielle peut générer des risques et porter atteinte aux intérêts et droits publics protégés par le droit de l’Union. Le préjudice causé peut être matériel ou immatériel. (5)Un cadre juridique de l’Union établissant des règles harmonisées sur l’intelligence artificielle est donc nécessaire pour favoriser le développement, l’utilisation et l’adoption de l’intelligence artificielle dans le marché intérieur, tout en garantissant un niveau élevé de protection des intérêts publics, comme la santé, la sécurité et la protection des droits fondamentaux, tels qu’ils sont reconnus et protégés par le droit de l’Union. Pour atteindre cet objectif, des règles régissant la mise sur le marché et la mise en service de certains systèmes d’IA devraient être établies, garantissant ainsi le bon fonctionnement du marché intérieur et permettant à ces systèmes de bénéficier du principe de libre circulation des marchandises et des services. En établissant ces règles, le présent règlement contribue à la réalisation de l’objectif formulé par le Conseil européen de faire de l’Union un acteur mondial de premier plan dans le développement d’une intelligence artificielle sûre, fiable et éthique, et il garantit la protection de principes éthiques expressément demandée par le Parlement européen. (6)Il convient de définir clairement la notion de système d’IA afin de garantir une sécurité juridique, tout en offrant la flexibilité nécessaire pour s’adapter aux progrès technologiques à venir. La définition devrait être basée sur les caractéristiques fonctionnelles clés du logiciel, en particulier la capacité, pour un ensemble donné d’objectifs définis par l’homme, à générer des résultats tels que du contenu, des prédictions, des recommandations ou des décisions qui influencent l’environnement avec lequel le système interagit, que ce soit dans une dimension physique ou numérique. Les systèmes d’IA peuvent être conçus pour fonctionner à différents niveaux d’autonomie et être utilisés seuls ou en tant que composant d’un produit, que le système soit physiquement incorporé dans le produit (intégré) ou qu’il serve la fonctionnalité du produit sans être incorporé dans celui-ci (non intégré). La définition des systèmes d’IA devrait être complétée par une liste de techniques et d’approches spécifiques utilisées pour le développement de ces systèmes, laquelle devrait être mise à jour, pour tenir compte de l’évolution du marché et de la technologie, par l’adoption d’actes délégués de la Commission modifiant ladite liste. (7)La notion de données biométriques utilisée dans le présent règlement est conforme à la notion de données biométriques telle que définie à l’article 4, paragraphe 14, du règlement (UE) 2016/679 du Parlement européen et du Conseil, à l’article 3, paragraphe 18, du règlement (UE) 2018/1725 du Parlement européen et du Conseil et à l’article 3, paragraphe 13, de la directive (UE) 2016/680 du Parlement européen et du Conseil et devrait être interprétée de manière cohérente avec celle-ci. (8)La notion de système d’identification biométrique à distance telle qu’elle est utilisée dans le présent règlement devrait être définie, sur le plan fonctionnel, comme un système d’IA destiné à identifier des personnes physiques à distance par la comparaison des données biométriques d’une personne avec les données biométriques contenues dans une base de données de référence, sans savoir au préalable si la personne ciblée sera présente et pourra être identifiée, quels que soient la technologie, les processus ou les types de données biométriques utilisés. Compte tenu de leurs caractéristiques et modes d’utilisation différents, ainsi que des différents risques encourus, il convient de faire une distinction entre les systèmes d’identification biométrique à distance «en temps réel» et «a posteriori». Dans le cas des systèmes «en temps réel», la capture des données biométriques, la comparaison et l’identification se font toutes instantanément, quasi instantanément ou en tout état de cause sans décalage significatif. À cet égard, il convient, en prévoyant la possibilité de légers décalages, d’empêcher le contournement des règles du présent règlement relatives à l’utilisation «en temps réel» des systèmes d’IA en question. Les systèmes «en temps réel» reposent sur l’utilisation d’éléments «en direct» ou «en léger différé», comme des séquences vidéo, générés par une caméra ou un autre appareil doté de fonctionnalités similaires. Dans le cas des systèmes «a posteriori», en revanche, les données biométriques sont prélevées dans un premier temps et la comparaison et l’identification n’ont lieu qu’après un délai significatif. Cela suppose des éléments tels que des images ou des séquences vidéo, qui ont été générés par des caméras de télévision en circuit fermé ou des appareils privés avant l’utilisation du système à l’égard des personnes physiques concernées. (9)Aux fins du présent règlement, la notion d’espace accessible au public devrait être comprise comme désignant tous les lieux physiques accessibles au public, qu’ils appartiennent à un propriétaire privé ou public. Par conséquent, cette notion ne couvre pas les lieux qui sont privés par nature et qui en temps normal ne sont pas librement accessibles à des tiers, y compris aux autorités répressives, sauf si ces tiers ont été spécifiquement invités ou autorisés, comme les logements, les clubs privés, les bureaux, les entrepôts et les usines. Les espaces en ligne ne sont pas non plus couverts, car ce ne sont pas des espaces physiques. Cependant, le simple fait que l'accès à un espace donné soit soumis à certaines conditions, telles que des billets d’entrée ou des restrictions d’âge, ne signifie pas que l’espace n’est pas accessible au public au sens du présent règlement. Par conséquent, outre les espaces publics tels que les rues, les parties pertinentes de bâtiments du secteur public et la plupart des infrastructures de transport, les espaces tels que les cinémas, les théâtres, les magasins et les centres commerciaux sont normalement aussi accessibles au public. Le caractère accessible au public ou non d’un espace donné devrait cependant être déterminé au cas par cas, en tenant compte des particularités de la situation en question. (10)Afin de garantir des conditions de concurrence équitables et une protection efficace des droits et libertés des citoyens dans toute l’Union, les règles établies par le présent règlement devraient s’appliquer de manière non discriminatoire aux fournisseurs de systèmes d’IA, qu’ils soient établis dans l’Union ou dans un pays tiers, et aux utilisateurs de systèmes d’IA établis dans l’Union.

(11)Compte tenu de leur nature numérique, certains systèmes d’IA devraient relever du présent règlement même lorsqu’ils ne sont ni mis sur le marché, ni mis en service, ni utilisés dans l’Union. Cela devrait notamment être le cas lorsqu’un opérateur établi dans l’Union confie à un opérateur externe établi en dehors de l’Union la tâche d'exécuter certains services ayant trait à une activité devant être réalisée par un système d’IA, qui serait considéré comme étant à haut risque et dont les effets ont une incidence sur des personnes physiques situées dans l’Union. Dans ces circonstances, l’opérateur établi en dehors de l’Union pourrait utiliser un système d’IA pour traiter des données légalement collectées et transférées depuis l’Union, et fournir à l’opérateur contractant établi dans l’Union le résultat de ce traitement, sans que ce système d’IA soit mis sur le marché, mis en service ou utilisé dans l’Union. Afin d’éviter le contournement des règles du présent règlement et d’assurer une protection efficace des personnes physiques situées dans l’Union, le présent règlement devrait également s’appliquer aux fournisseurs et aux utilisateurs de systèmes d’IA qui sont établis dans un pays tiers, dans la mesure où le résultat produit par ces systèmes est utilisé dans l’Union. Néanmoins, pour tenir compte des dispositions existantes et des besoins particuliers de coopération avec les partenaires étrangers avec lesquels des informations et des preuves sont échangées, le présent règlement ne devrait pas s’appliquer aux autorités publiques d’un pays tiers ni aux organisations internationales lorsqu’elles agissent dans le cadre d’accords internationaux conclus au niveau national ou au niveau européen pour la coopération des services répressifs et judiciaires avec l’Union ou avec ses États membres. De tels accords ont été conclus bilatéralement entre des États membres et des pays tiers ou entre l’Union européenne, Europol et d’autres agences de l’UE, des pays tiers et des organisations internationales. (12)Le présent règlement devrait également s’appliquer aux institutions, organismes, organes et agences de l’Union lorsqu’ils agissent en tant que fournisseurs ou utilisateurs d’un système d’IA. Les systèmes d’IA exclusivement développés ou utilisés à des fins militaires devraient être exclus du champ d’application du présent règlement lorsque cette utilisation relève de la compétence exclusive de la politique étrangère et de sécurité commune régie par le titre V du traité sur l’Union européenne (TUE). Le présent règlement ne devrait pas porter atteinte aux dispositions relatives à la responsabilité des prestataires de services intermédiaires énoncées dans la directive 2000/31/CE du Parlement européen et du Conseil (telle que modifiée par la législation sur les services numériques). (13)Afin d’assurer un niveau cohérent et élevé de protection des intérêts publics en ce qui concerne la santé, la sécurité et les droits fondamentaux, il convient d’établir des normes communes pour tous les systèmes d’IA à haut risque. Ces normes devraient être conformes à la charte des droits fondamentaux de l’Union européenne (ci-après la «charte»), non discriminatoires et compatibles avec les engagements commerciaux internationaux de l’Union. (14)Afin d’introduire un ensemble proportionné et efficace de règles contraignantes pour les systèmes d’IA, il convient de suivre une approche clairement définie fondée sur les risques. Cette approche devrait adapter le type et le contenu de ces règles à l’intensité et à la portée des risques que les systèmes d’IA peuvent générer. Il est donc nécessaire d’interdire certaines pratiques en matière d’intelligence artificielle, de fixer des exigences pour les systèmes d’IA à haut risque et des obligations pour les opérateurs concernés, ainsi que de fixer des obligations de transparence pour certains systèmes d’IA. (15)Si l’intelligence artificielle peut être utilisée à de nombreuses fins positives, cette technologie peut aussi être utilisée à mauvais escient et fournir des outils nouveaux et puissants à l’appui de pratiques de manipulation, d’exploitation et de contrôle social. De telles pratiques sont particulièrement néfastes et devraient être interdites, car elles sont contraires aux valeurs de l’Union relatives au respect de la dignité humaine, à la liberté, à l’égalité, à la démocratie et à l’état de droit, et elles portent atteinte aux droits fondamentaux de l’Union, y compris le droit à la non-discrimination, le droit à la protection des données et à la vie privée et les droits de l’enfant. (16)La mise sur le marché, la mise en service ou l’utilisation de certains systèmes d’IA destinés à altérer les comportements humains d’une manière qui est susceptible de causer un préjudice psychologique ou physique devraient être interdites. De tels systèmes d’IA déploient des composants subliminaux que les personnes ne peuvent pas percevoir, ou exploitent les vulnérabilités des enfants et des personnes vulnérables en raison de leur âge ou de leurs handicaps physiques ou mentaux. Ces systèmes ont pour finalité d’altérer substantiellement le comportement d’une personne d’une manière qui cause ou est susceptible de causer un préjudice à cette personne ou à une autre personne. La finalité ne peut être présumée si l’altération du comportement humain résulte de facteurs externes au système d’IA, qui échappent au contrôle du fournisseur ou de l’utilisateur. Les activités de recherche à des fins légitimes liées à de tels systèmes d’IA ne devraient pas être entravées par l’interdiction, tant que ces activités ne consistent pas à utiliser le système d’IA dans des relations homme-machine qui exposent des personnes physiques à un préjudice et tant qu’elles sont menées dans le respect de normes éthiques reconnues pour la recherche scientifique. (17)Les systèmes d’IA permettant la notation sociale des personnes physiques à des fins générales par les autorités publiques ou pour le compte de celles-ci peuvent conduire à des résultats discriminatoires et à l’exclusion de certains groupes. Ils peuvent porter atteinte au droit à la dignité et à la non-discrimination et sont contraires aux valeurs d’égalité et de justice. Ces systèmes d’IA évaluent ou classent la fiabilité des personnes physiques en fonction de leur comportement social dans plusieurs contextes ou de caractéristiques personnelles ou de personnalité connues ou prédites. La note sociale obtenue à partir de ces systèmes d’IA peut conduire au traitement préjudiciable ou défavorable de personnes physiques ou de groupes entiers dans des contextes sociaux qui sont dissociés du contexte dans lequel les données ont été initialement générées ou collectées, ou à un traitement préjudiciable disproportionné ou injustifié au regard de la gravité de leur comportement social. Il convient donc d’interdire de tels systèmes d’IA. (18)L’utilisation de systèmes d’IA pour l’identification biométrique à distance «en temps réel» de personnes physiques dans des espaces accessibles au public à des fins répressives est considérée comme particulièrement intrusive pour les droits et les libertés des personnes concernées, dans la mesure où elle peut toucher la vie privée d’une grande partie de la population, susciter un sentiment de surveillance constante et dissuader indirectement l’exercice de la liberté de réunion et d’autres droits fondamentaux. En outre, du fait de l’immédiateté des effets et des possibilités limitées d’effectuer des vérifications ou des corrections supplémentaires, l’utilisation de systèmes fonctionnant «en temps réel» engendre des risques accrus pour les droits et les libertés des personnes concernées par les activités répressives. (19)L’utilisation de ces systèmes à des fins répressives devrait donc être interdite, sauf dans trois situations précisément répertoriées et définies, dans lesquelles l’utilisation se limite au strict nécessaire à la réalisation d’objectifs d’intérêt général dont l’importance est considérée comme supérieure aux risques encourus. Ces situations comprennent la recherche de victimes potentielles d’actes criminels, y compris des enfants disparus; certaines menaces pour la vie ou la sécurité physique des personnes physiques, y compris les attaques terroristes; et la détection, la localisation, l’identification ou les poursuites à l'encontre des auteurs ou des suspects d’infractions pénales visées dans la décision-cadre 2002/584/JAI du Conseil si ces infractions pénales telles qu’elles sont définies dans le droit de l’État membre concerné sont passibles d’une peine ou d’une mesure de sûreté privative de liberté pour une période maximale d’au moins trois ans. Le seuil fixé pour la peine ou la mesure de sûreté privative de liberté prévue par le droit national contribue à garantir que l’infraction soit suffisamment grave pour justifier l’utilisation de systèmes d’identification biométrique à distance «en temps réel». En outre, sur les 32 infractions pénales énumérées dans la décision-cadre 2002/584/JAI du Conseil, certaines sont en pratique susceptibles d’être plus pertinentes que d’autres, dans le sens où le recours à l’identification biométrique à distance «en temps réel» sera vraisemblablement nécessaire et proportionné, à des degrés très divers, pour les mesures pratiques de détection, de localisation, d’identification ou de poursuites à l'encontre d’un auteur ou d’un suspect de l’une des différentes infractions pénales répertoriées, compte tenu également des différences probables dans la gravité, la probabilité et l’ampleur du préjudice ou des éventuelles conséquences négatives. (20)Afin de s’assurer que ces systèmes soient utilisés de manière responsable et proportionnée, il est également important d’établir que, dans chacune des trois situations précisément répertoriées et définies, certains éléments devraient être pris en considération, notamment en ce qui concerne la nature de la situation donnant lieu à la demande et les conséquences de l’utilisation pour les droits et les libertés de toutes les personnes concernées, ainsi que les garanties et les conditions associées à l’utilisation. En outre, l’utilisation de systèmes d’identification biométrique à distance «en temps réel» dans des espaces accessibles au public à des fins répressives devrait être soumise à des limites appropriées dans le temps et dans l’espace, eu égard en particulier aux preuves ou aux indications concernant les menaces, les victimes ou les auteurs. La base de données de référence des personnes devrait être appropriée pour chaque cas d’utilisation dans chacune des trois situations mentionnées ci-dessus. (21)Toute utilisation d’un système d’identification biométrique à distance «en temps réel» dans des espaces accessibles au public à des fins répressives devrait être subordonnée à l'autorisation expresse et spécifique d’une autorité judiciaire ou d’une autorité administrative indépendante d’un État membre. Cette autorisation devrait en principe être obtenue avant l’utilisation, sauf dans des situations d’urgence dûment justifiées, c’est-à-dire des situations où la nécessité d’utiliser les systèmes en question est de nature à rendre effectivement et objectivement impossible l’obtention d’une autorisation avant le début de l’utilisation. Dans de telles situations d’urgence, l’utilisation devrait être limitée au strict nécessaire et être assorties de garanties et de conditions appropriées, telles que déterminées dans la législation nationale et spécifiées dans le contexte de chaque cas d’utilisation urgente par les autorités répressives elles-mêmes. De plus, les autorités répressives devraient, dans de telles situations, chercher à obtenir une autorisation dans les meilleurs délais, tout en indiquant les raisons pour lesquelles elles n’ont pas pu la demander plus tôt. (22)En outre, il convient de prévoir, dans le cadre exhaustif établi par le présent règlement, qu’une telle utilisation sur le territoire d’un État membre conformément au présent règlement ne devrait être possible que dans la mesure où l’État membre en question a décidé de prévoir expressément la possibilité d’autoriser une telle utilisation dans des règles détaillées de son droit national. Par conséquent, les États membres restent libres, en vertu du présent règlement, de ne pas prévoir une telle possibilité, ou de prévoir une telle possibilité uniquement pour certains objectifs parmi ceux susceptibles de justifier l’utilisation autorisée définis dans le présent règlement. (23)L’utilisation de systèmes d’IA pour l’identification biométrique à distance «en temps réel» de personnes physiques dans des espaces accessibles au public à des fins répressives passe nécessairement par le traitement de données biométriques. Les règles du présent règlement qui interdisent, sous réserve de certaines exceptions, une telle utilisation, et qui sont fondées sur l’article 16 du TFUE, devraient s’appliquer en tant que lex specialis pour ce qui est des règles sur le traitement des données biométriques figurant à l’article 10 de la directive (UE) 2016/680, réglementant ainsi de manière exhaustive cette utilisation et le traitement des données biométriques qui en résulte. Par conséquent, une telle utilisation et un tel traitement ne devraient être possibles que dans la mesure où ils sont compatibles avec le cadre fixé par le présent règlement, sans qu’il soit possible pour les autorités compétentes, lorsqu’elles agissent à des fins répressives en dehors de ce cadre, d’utiliser ces systèmes et de traiter les données y afférentes pour les motifs énumérés à l’article 10 de la directive (UE) 2016/680. Dans ce contexte, le présent règlement ne vise pas à fournir la base juridique pour le traitement des données à caractère personnel en vertu de l’article 8 de la directive (UE) 2016/680. Cependant, l’utilisation de systèmes d’identification biométrique à distance «en temps réel» dans des espaces accessibles au public à des fins autres que répressives, y compris par les autorités compétentes, ne devrait pas être couverte par le cadre spécifique concernant l’utilisation à des fins répressives établi par le présent règlement. L’utilisation à des fins autres que répressives ne devrait donc pas être subordonnée à l’exigence d’une autorisation au titre du présent règlement et des règles détaillées du droit national applicable susceptibles de lui donner effet. (24)Tout traitement de données biométriques et d’autres données à caractère personnel mobilisées lors de l’utilisation de systèmes d’IA pour l’identification biométrique, qui n’est pas lié à l’utilisation de systèmes d’identification biométrique à distance «en temps réel» dans des espaces accessibles au public à des fins répressives telle que réglementée par le présent règlement, y compris lorsque ces systèmes sont utilisés par les autorités compétentes dans des espaces accessibles au public à des fins autres que répressives, devrait continuer d’être conforme à toutes les exigences découlant de l’article 9, paragraphe 1, du règlement (UE) 2016/679, de l’article 10, paragraphe 1, du règlement (UE) 2018/1725 et de l’article 10 de la directive (UE) 2016/680, selon le cas. (25)Conformément à l’article 6 bis du protocole nº 21 sur la position du Royaume-Uni et de l’Irlande à l’égard de l’espace de liberté, de sécurité et de justice, annexé au TUE et au TFUE, l’Irlande n’est pas liée par les règles fixées à l’article 5, paragraphe 1, point d), et à l’article 5, paragraphes 2 et 3, du présent règlement et adoptées sur la base de l’article 16 du TFUE concernant le traitement de données à caractère personnel par les États membres dans l’exercice d’activités qui relèvent du champ d’application du chapitre 4 ou 5 du titre V de la troisième partie du TFUE, lorsque l’Irlande n’est pas liée par les règles qui régissent des formes de coopération judiciaire en matière pénale ou de coopération policière dans le cadre desquelles les dispositions fixées sur la base de l’article 16 du TFUE doivent être respectées. (26)Conformément aux articles 2 et 2 bis du protocole nº 22 sur la position du Danemark, annexé au TUE et au TFUE, le Danemark n’est pas lié par les règles fixées à l’article 5, paragraphe 1, point d), et à l’article 5, paragraphes 2 et 3, du présent règlement et adoptées sur la base de l’article 16 du TFUE, ni soumis à leur application, lorsqu’elles concernent le traitement des données à caractère personnel par les États membres dans l’exercice d’activités qui relèvent du champ d’application du chapitre 4 ou 5 du titre V de la troisième partie du TFUE. (27)Les systèmes d’IA à haut risque ne devraient être mis sur le marché de l’Union ou mis en service que s’ils satisfont à certaines exigences obligatoires. Ces exigences devraient garantir que les systèmes d’IA à haut risque disponibles dans l’Union ou dont les résultats sont utilisés d’une autre manière dans l’Union ne présentent pas de risques inacceptables pour d’importants intérêts publics de l’Union tels qu’ils sont reconnus et protégés par le droit de l’Union. Les systèmes d’IA désignés comme étant à haut risque devraient être limités aux systèmes qui ont une incidence préjudiciable significative sur la santé, la sécurité et les droits fondamentaux des citoyens dans l’Union, une telle limitation permettant, le cas échéant, de réduire au minimum toute éventuelle restriction au commerce international. (28)Les systèmes d’IA pourraient avoir des effets néfastes sur la santé et la sécurité des citoyens, en particulier lorsque ces systèmes sont utilisés en tant que composants de produits. Conformément aux objectifs de la législation d’harmonisation de l’Union visant à faciliter la libre circulation des produits sur le marché intérieur et à garantir que seuls des produits sûrs et conformes à d’autres égards soient mis sur le marché, il est important de dûment prévenir et atténuer les risques pour la sécurité susceptibles d’être associés à un produit dans son ensemble en raison de ses composants numériques, y compris les systèmes d’IA. Par exemple, des robots de plus en plus autonomes, que ce soit dans le secteur de l’industrie manufacturière ou des services de soins et d’aide aux personnes, devraient pouvoir opérer et remplir leurs fonctions en toute sécurité dans des environnements complexes. De même, dans le secteur de la santé, où les enjeux pour la vie et la santé sont particulièrement importants, les systèmes de diagnostic de plus en plus sophistiqués et les systèmes soutenant les décisions humaines devraient être fiables et précis. L’ampleur de l’incidence négative du système d’IA sur les droits fondamentaux protégés par la charte est un critère particulièrement pertinent lorsqu'il s'agit de classer des systèmes d’IA en tant que système à haut risque. Ces droits comprennent le droit à la dignité humaine, le respect de la vie privée et familiale, la protection des données à caractère personnel, la liberté d’expression et d’information, la liberté de réunion et d’association, ainsi que la non-discrimination, la protection des consommateurs, les droits des travailleurs, les droits des personnes handicapées, le droit à un recours effectif et à accéder à un tribunal impartial, les droits de la défense et la présomption d’innocence, et le droit à une bonne administration. En plus de ces droits, il est important de souligner que les enfants bénéficient de droits spécifiques tels que consacrés à l’article 24 de la charte et dans la convention des Nations unies relative aux droits de l’enfant (et précisés dans l’observation générale nº 25 de la CNUDE en ce qui concerne l’environnement numérique), et que ces deux textes considèrent la prise en compte des vulnérabilités des enfants et la fourniture d’une protection et de soins appropriés comme étant nécessaires au bien-être de l’enfant. Le droit fondamental à un niveau élevé de protection de l’environnement consacré dans la charte et mis en œuvre dans les politiques de l’Union devrait également être pris en considération lors de l’évaluation de la gravité du préjudice qu’un système d’IA peut causer, notamment en ce qui concerne les conséquences pour la santé et la sécurité des personnes. (29)En ce qui concerne les systèmes d’IA à haut risque constituant des composants de sécurité de produits ou de systèmes, ou qui sont eux-mêmes des produits ou des systèmes entrant dans le champ d’application du règlement (CE) nº 300/2008 du Parlement européen et du Conseil, du règlement (UE) nº 167/2013 du Parlement européen et du Conseil, du règlement (UE) nº 168/2013 du Parlement européen et du Conseil, de la directive 2014/90/UE du Parlement européen et du Conseil, de la directive (UE) 2016/797 du Parlement européen et du Conseil, du règlement (UE) 2018/858 du Parlement européen et du Conseil, du règlement (UE) 2018/1139 du Parlement européen et du Conseil ou du règlement (UE) 2019/2144 du Parlement européen et du Conseil, il convient de modifier ces actes pour veiller à ce que la Commission tienne compte, sur la base des spécificités techniques et réglementaires de chaque secteur, et sans interférer avec les mécanismes et les autorités de gouvernance, d’évaluation de la conformité et de contrôle de l’application déjà en place en vertu de ces règlements, des exigences obligatoires applicables aux systèmes d’IA à haut risque définis dans le présent règlement lors de l’adoption ultérieure d’actes délégués ou d’actes d’exécution pertinents sur la base de ces actes. (30)En ce qui concerne les systèmes d’IA qui constituent des composants de sécurité de produits relevant de certaines législations d’harmonisation de l’Union, ou qui sont eux-mêmes de tels produits, il convient de les classer comme étant à haut risque au titre du présent règlement si le produit en question est soumis à la procédure d’évaluation de la conformité par un organisme tiers d’évaluation de la conformité conformément à la législation d’harmonisation de l’Union correspondante. Ces produits sont notamment les machines, les jouets, les ascenseurs, les appareils et les systèmes de protection destinés à être utilisés en atmosphères explosibles, les équipements radioélectriques, les équipements sous pression, les équipements pour bateaux de plaisance, les installations à câbles, les appareils brûlant des combustibles gazeux, les dispositifs médicaux et les dispositifs médicaux de diagnostic in vitro.

(31)La classification d’un système d’I