Le rapport, conduit par un député de la majorité, Philippe Pradal, et un député RN, Stéphane Rambaud, se veut être une première approche de l’IAG. Il liste ainsi les risques et opportunités de cette technologie. Pour les deux députés, les pouvoirs publics ne doivent pas « freiner cette nouvelle étape de la révolution numérique », mais « appréhender l’éventail des risques inhérents à la diffusion inéluctable de l’IAG pour préparer la société à les maîtriser ».
Les deux députés soutiennent une régulation européenne, car « la réponse à un enjeu aussi systémique que celui de l’IA ne peut se construire uniquement au niveau national ». Or, ni le DSA/DMA, ni le RGPD, ni le Data Act ne peuvent couvrir tous les problèmes liés à l’IAG. D’où le projet d’un AI Act proposé en avril 2021 par la Commission européenne, couvrant tous les systèmes d’IA, y compris IA générative. La commission voulait un niveau de réglementation en fonction des risques que présentent les systèmes IA pour les utilisateurs et la société.
De son côté, le Parlement européen a souhaité que tous les systèmes d’IAG rentrent dans la catégorie des systèmes d’IA à hauts risques. Les fournisseurs d’IAG devraient alors marquer les contenus générés, entraver la production de contenus illégaux et faire un reporting du type de données utilisées, pour protéger le droit d’auteur. Le compromis entre le Parlement et le Conseil de décembre 2023 prévoit un encadrement plus strict pour les modèles à « fort impact » (lié à la quantité de données avec lesquelles ils ont été entraînés et leur performance de calcul).
Toutefois, plusieurs États-membres, dont la France, souhaitent revoir certains points du compromis, notamment pour alléger les contraintes des systèmes d’IA utilisés par des acteurs publics. Pour les députés, il faut « rester attentif aux conséquences économiques d’une réglementation trop exigeante à l’égard des acteurs émergents ».
Pour l’échelle française, plus que l’ARCOM, les députés misent sur la Cnil qui « apparaît comme la mieux à même de réguler les IAG ». D’abord, en raison de la « place qu’occupent les données personnelles dans les problématiques relatives à l’IAG ». Surtout, l’autorité s’est déjà emparée du sujet, mettant en place un plan d’action et une équipe dédiée pour apporter aux entrepreneurs des réponses sur « l’interprétation d’une réglementation complexe en matière de protection des données ». La Cnil a mis en ligne des fiches thématiques et un « bac à sable », permettant un accompagnement personnalisé de projets innovants.
Pour les députés, « il faut aller plus loin, en redéfinissant dans leur ensemble les missions de la Cnil et son périmètre d’intervention ». Ils proposent de transformer la CNIL en une « Haute Autorité en charge de la protection des données et du contrôle de l’intelligence artificielle », ce qui nécessiterait de muscler ses effectifs.
Les députés souhaitent le développement des outils d’IAG dans l’administration, qui reste pour l’instant timide sur le sujet. Ils souhaitent inciter les acheteurs publics à s’orienter vers des systèmes d’IAG de confiance labellisés. Ils préconisent aussi de muscler le code pénal, pour prendre en compte l’utilisation de deepfakes dans certains délits ou le fait d’altérer un algorithme.
La commission européenne a publié une proposition de directive relative aux règles de responsabilité civile extracontractuelle applicables aux outils d’intelligence artificielle. Lors de leur audition, les représentants du Medef « ont toutefois indiqué aux rapporteurs n’avoir aucune nouvelle de ce projet de directive ».
Pour les députés, « la lenteur des institutions européennes à faire aboutir ce texte ne doit pas empêcher la France d’avancer », quitte à reprendre les principaux aspects du projet de directive. Les députés ne recommandent pas l’introduction d’un régime de responsabilité sans faute spécifique, qui « constituerait un frein évident à l’innovation ». En revanche, « l’allègement de la charge de la preuve apparaît indispensable pour limiter l’asymétrie entre utilisateurs et fournisseurs ».
Le juge pourrait notamment ordonner à l’éditeur de divulguer des éléments sur le fonctionnement du système d’IAG. « À défaut d’éléments probants permettant d’écarter sa responsabilité, le juge pourrait retenir une présomption de faute imputable à l’éditeur ». Il conviendrait également d’engager une « réflexion spécifique » sur la responsabilité des fournisseurs des systèmes d’IAG qu’ils n’ont pas conçus eux-mêmes. Enfin, pour rééquilibrer le rapport de force entre les parties, les députés proposent que les actions de groupe « données personnelles » soient étendues aux problématiques d’IAG.