Qui est un déployeur (« deployer ») au sens du règlement européen sur l’IA ?

Le Règlement européen sur l’intelligence artificielle (RIA) prévoit des obligations spécifiques pour les différents acteurs intervenant aux diverses étapes du développement, de l’exploitation et de l’utilisation d’un outil visé par le RIA.

Les deux « rôles » les plus déterminants au regard de ces obligations sont ceux de « fournisseur » (« provider ») (cf. Fischer, cdbf.ch/1418) et de « déployeur » (« deployer »). Il est donc important de déterminer le rôle que joue chaque entreprise vis-à-vis des systèmes d’intelligence artificielle (SIA) ou des modèles d’IA à usage général (GPAIM) (sur les notions de SIA et de GPAIM, cf. Caballero Cuevas, cdbf.ch/1382) qu’elle utilise ou développe, car ce rôle conditionne les obligations applicables en vertu du RIA. Le présent commentaire porte sur la notion de déployeur au sens du RIA.

1. Qui est considéré comme un déployeur ?

Un déployeur est « une personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d’IA » (article 3 al. 4 RIA). Sont exemptées les personnes qui n’utilisent un SIA qu’à des fins personnelles et non professionnelles.

Le critère « sous sa propre autorité » permet, selon nous, de distinguer (i) l’utilisation d’une SIA par exemple dans les relations avec des utilisateurs (employés, clients) de (ii) la simple « jouissance » d’une SIA et de ses résultats de l’utilisation d’une SIA. Par conséquent, seul celui qui bénéficie d’un certain degré de contrôle sur le SIA sera qualifié de déployeur. A titre d’exemple, le client d’une banque qui utilise un chatbot de service à la clientèle sur un site web ne dispose pas de ce niveau de contrôle. L’utilisateur peut poser des questions, mais c’est la banque qui contrôle la manière dont le chatbot y répond et qui sera donc vraisemblablement qualifiée de déployeur.

2. Quelles sont les conséquences concrètes du rôle de déployeur  ?

Les obligations à charge des déployeurs en lien avec les SIA à haut risque font l’objet d’un commentaire séparé (cf. Caballero Cuevas, cdbf.ch/1406).

S’agissant des autres SIA, les principales obligations des déployeurs ont trait à la transparence et peuvent être résumées comme suit (art. 50 RIA) :

• Les personnes concernées doivent être informées lorsque ces SIA utilisent des données personnelles pour détecter des émotions ou des intentions ou pour les classer sur la base de caractéristiques biométriques.
• Les deepfakes qui ont été générés doivent être reconnaissables en tant que tels ; il existe toutefois une exception pour les créateurs : si les deepfakes font manifestement partie de l’art, de la littérature, de la satire et autres, l’indication peut être limitée de manière à ne pas nuire à la représentation et à la jouissance de l’œuvre.
• Les textes publiés qui concernent des sujets d’intérêt public doivent indiquer que ceux-ci ont été générés par des IA ou manipulés , à moins que le texte n’ait été vérifié par un être humain et qu’un être humain ou une personne morale ait assumé la responsabilité éditoriale de sa publication.

3. Quelles sont les conséquences concrètes pour les entreprises suisses  ?

La majorité des entreprises suisses devraient jouer un rôle de déployeur. À ce titre, leur principale responsabilité, pour autant que le RIA soit applicable (cf. Fischer, cdbf.ch/1397), consiste à se conformer aux obligations de transparence imposées aux déployeurs. Cela implique d’informer de manière claire les personnes concernées lorsqu’elles interagissent avec un SIA ou lorsqu’un contenu généré ou modifié par une IA leur est présenté.

En pratique, trois approches peuvent, à notre sens, être envisagées :

• L’affichage permanent dans l’interface utilisateur, par exemple au moyen d’une icône ou d’un label visible indiquant que l’utilisateur interagit avec un SIA. Cette méthode convient lorsque l’usage de l’IA est constant et intégré dans le service.
• L’affichage contextuel, tel qu’une fenêtre d’information apparaissant lorsqu’une interaction avec une IA débute ou lorsqu’un contenu généré par l’IA est consulté. Cette solution permet de limiter la surcharge d’information tout en assurant une transparence ciblée.
• Un « AI Statement », par exemple sous forme d’une section dédiée sur un site internet ou dans les conditions d’utilisation, dans laquelle des explications plus détaillées sont fournies. Cette méthode est utile pour compléter les deux premières, mais ne saurait suffire à elle seule.

L’information doit être fournie de manière compréhensible, proportionnée et dans une forme accessible. Une transparence purement formelle ou technique n’est pas suffisante : il s’agit de permettre aux personnes concernées de comprendre qu’elles interagissent avec une IA, quelles en sont les implications, et dans certains cas, quels sont leurs droits.