Amendes à 15 millions €, accès au code source, pouvoir d’enquête sur les modèles les plus secrets du monde : depuis ce 2 août, l’AI Office cesse d’être un simple bureau d’études pour devenir un véritable gendarme des modèles d’IA jugés à « risque systémique ». Ce gendarme-là n’a pourtant rien d’improvisé. La structure existe depuis le 24 janvier 2024 pour disposer d’un organe capable de coordonner la mise en œuvre de l’AI Act et d’apporter une expertise technique et de gouvernance spécialisée.

Deux ans et demi de rodage, en somme, avant de recevoir enfin ses vrais pouvoirs de police. Car son rôle ne se limite pas à la répression. L’AI Office fait également office de voix institutionnelle de l’UE sur les politiques d’intelligence artificielle, représentant la Commission dans les grandes enceintes internationales (OCDE, G7, G20, Conseil de l’Europe, ISO/IEC) ou encore le réseau international réunissant les instituts nationaux chargés d’évaluer les risques des modèles d’IA les plus avancés.

Ce que l’AI Office peut exiger Dans le cadre de sa mission, l’AI Office dispose de trois leviers principaux. Lire aussi : AI Act : clés et ressources pour se mettre en conformité Il peut d’abord exiger des développeurs des modèles d’IA les plus puissants au monde la transmission de toute documentation nécessaire à l’évaluation de leur conformité. L’article 91 du règlement lui permet de réclamer l’ensemble des documents qu’un fournisseur a dû produire au titre des articles 53 et 55 du texte ; documentation technique, évaluation des capacités, analyses de risques ou toute information additionnelle jugée nécessaire.

L’AI Office emploie 145 personnes, notamment des spécialistes en technologie, des assistants administratifs, des juristes, des spécialistes des politiques et des économistes. Il comprend six unités et deux conseillers. L’AI Office peut ensuite commander des évaluations indépendantes de ces modèles, y compris un accès au code source, en s’appuyant si besoin sur des experts extérieurs mandatés pour agir en son nom.

Enfin, il peut imposer des amendes pouvant atteindre 3 % du chiffre d'affaires mondial annuel de l'entreprise, ou 15 millions €, le montant le plus élevé étant retenu, en cas de non-conformité. Refuser de répondre à une demande de documentation ou fournir des informations incorrectes, incomplètes ou trompeuses, constitue en soi un motif de sanction. Au niveau national, ce sont les autorités de surveillance du marché de chaque État membre qui prennent le relais pour les autres systèmes d'IA.

En France, c'est la CNIL qui a été désignée comme autorité de référence pour l'application de l'AI Act en France. Une compétence acquise après un an et demi d'arbitrage. Une quinzaine d'autorités sectorielles l'épaulent selon le domaine concerné : la DGCCRF pour les pratiques commerciales trompeuses, l'Arcom pour l'audiovisuel et les deepfakes, l'ACPR et l'AMF pour la finance, l'ANSM et la HAS pour la santé.

Une équipe de 145 experts Pour tenir ce rôle, l'AI Office promet 38 recrues de plus. De quoi porter ses effectifs à 145 personnes ; dont 34 sur la réglementation et la conformité, et 38 rien que pour surveiller la sécurité des modèles les plus avancés. Un chiffre qui reste modeste au regard de l'ampleur de la tâche.

Lire aussi : Un « kill switch » pour l'IA ? Ce que projette le législateur américain Autour de l'AI Office gravitent également d'autres instances comme l'AI Board, le comité scientifique (Scientific Panel) et le forum consultatif (Advisory Forum), chargés d'orienter et de conseiller la gouvernance globale de l'AI Act. Au-delà des pouvoirs d'enquête classiques, la Commission a mis en place des instruments pour faire remonter l'information : un outil dédié aux lanceurs d'alerte permettant aux salariés du secteur technologique de signaler des manquements et un outil de conformité destiné aux utilisateurs souhaitant alerter confidentiellement les autorités sur des comportements jugés illégaux.

Illustrations : © DR