Éthique de l’IA, sûreté et gouvernance

L'éthique de l'IA concerne la manière dont les systèmes devraient être construits, utilisés et gouvernés. La finalité compte : comparer un visage pour déverrouiller le téléphone de son propriétaire ne soulève pas les mêmes questions qu'utiliser cette comparaison pour analyser une foule dans un espace public. La précision du modèle ne peut pas, à elle seule, déterminer si un usage est justifié.

Trois façons de juger un choix

L'utilitarisme est une approche conséquentialiste qui recherche le plus grand bien-être total. Sa difficulté est de protéger un petit groupe lorsque lui nuire semble améliorer le résultat total. L'éthique déontologique juge les comportements à travers les devoirs et les droits, même lorsqu'un manquement à un devoir améliorerait les résultats. La règle de Kant qui consiste à traiter les personnes comme des fins en elles-mêmes fonde l'honnêteté et le respect de leurs choix. L'éthique de la vertu s'intéresse au caractère et à la sagesse pratique : un ingénieur responsable prend au sérieux un résultat inquiétant de test de sûreté, même sous la pression d'un lancement.

Examiner une décision de conception

Une clinique prédit les rendez-vous manqués et prévoit d'attribuer à deux personnes les créneaux des patients repérés. Examine d'abord les conséquences : davantage de rendez-vous pourraient être honorés, mais les patients qui viennent pourraient subir de longues attentes. Si les patients les plus pauvres sont repérés plus souvent, ils supportent davantage cette charge. Examine ensuite les devoirs : les patients n'ont pas consenti à cette finalité de profilage et l'efficacité est recherchée à leurs dépens. Demande-toi enfin à quoi ressemblerait une approche attentive. Des rappels ou une aide au transport permettraient d'utiliser la prédiction pour soutenir les patients. L'analyse conduit à modifier la conception, et pas simplement à voter pour ou contre l'IA.

Transformer les principes en exigences

Une synthèse influente regroupe les principes de l'IA en bienfaisance (promouvoir le bien-être), non-malfaisance (éviter les préjudices), autonomie (respecter les choix des personnes), justice (répartir équitablement les bénéfices et les charges) et explicabilité (rendre les systèmes compréhensibles et faire en sorte que quelqu'un en réponde). Ces principes attirent l'attention sur différentes questions ; aucun score unique ne résout leurs conflits.

Les principes de l'OCDE sur l'IA, adoptés en 2019 et actualisés en 2024, relient le bien-être inclusif et la durabilité aux droits humains, à l'équité et à la vie privée, à la transparence, à la robustesse et à la sûreté, ainsi qu'à la redevabilité. La Recommandation sur l'éthique de l'intelligence artificielle de l'UNESCO a été adoptée par ses 193 États membres en novembre 2021. Ces engagements communs nécessitent encore des choix opérationnels. Un audit d'équité peut nécessiter des données sensibles sur les groupes, ce qui crée une tension avec la vie privée et appelle des contrôles d'accès et une finalité claire.

Le blanchiment éthique se produit lorsqu'une organisation affiche des principes sans tests, sans devoirs attribués ni conséquences en cas de manquement. Une promesse d'équité prend un sens lorsque quelqu'un doit mesurer les disparités, agir pour y remédier et expliquer son action. Les énigmes morales spectaculaires attirent l'attention : l'expérience Moral Machine de 2018 a recueilli environ 40 millions de choix. Mais les décisions ordinaires sur les données, les explications, le consentement et les tests avant lancement constituent une grande part de l'éthique pratique de l'IA.

Les personnes qui utilisent un outil ne sont qu'une partie de ses parties prenantes. Une personne dont la candidature à une location est évaluée par un logiciel de sélection est une personne concernée par la décision, même si elle ne voit jamais son interface. Les développeurs, les fournisseurs, les organisations qui déploient l'outil, les travailleurs, les tiers et le grand public peuvent tous être touchés.

Suivre le cycle de vie

Commence par le cadrage du problème : quel problème cherche-t-on à résoudre, pour qui et faut-il l'automatiser ? Examine ensuite la collecte, l'entraînement, l'évaluation, le déploiement, le suivi et le retrait. Un audit ultérieur ne peut pas rendre une finalité injustifiée acceptable en se contentant d'améliorer la précision de ses prédictions. Le retrait compte aussi : des traces, des dépendances et des plaintes non résolues peuvent subsister après l'arrêt d'un modèle.

Trois types de préjudices aident à organiser l'examen. Un préjudice d'allocation prive une personne de ressources ou de possibilités, comme un entretien. Un préjudice de représentation dénigre des personnes ou renforce des stéréotypes, par exemple lorsque des résultats de recherche d'images représentent les ingénieurs presque uniquement comme des hommes. Un préjudice lié à la qualité de service apparaît lorsqu'un service fonctionne moins bien pour certains groupes, comme une reconnaissance de la parole qui échoue fréquemment avec certains accents. Examine aussi les préjudices physiques, psychologiques, financiers, les atteintes à la vie privée et les préjudices sociétaux.

Ces catégories décrivent ce qui subit un préjudice. Une autre distinction décrit l'origine du risque : les accidents impliquent des défaillances non voulues ; les usages malveillants impliquent une utilisation délibérément nuisible ; le risque structurel augmente avec des changements plus larges, comme la dépendance à quelques fournisseurs. Une capacité peut être à double usage : la reconnaissance faciale peut aider à localiser un enfant disparu ou à suivre des manifestants politiques.

Rendre la redevabilité effective

Un outil de sélection de CV traite rapidement 2 000 candidatures. Ses parties prenantes comprennent les candidats, les recruteurs, les responsables, le fournisseur, l'employeur, le personnel actuel et les autorités de réglementation. Un candidat peut perdre la possibilité d'un entretien à cause d'une erreur, ne recevoir aucun motif utile et voir ses données personnelles conservées inutilement. Des préjudices différents nécessitent des contrôles différents ; un rapport sur le taux de bonnes réponses ne résout pas à lui seul les problèmes d'explication et de conservation.

La redevabilité exige que des personnes ou des organisations répondent des résultats et corrigent les problèmes. Elle repose sur :

• Responsabilité : attribuer les devoirs à des rôles clairement désignés, notamment celui de décider l'arrêt de l'utilisation.
• Traçabilité : enregistrer les sources de données, les versions du modèle, les seuils et les décisions afin de pouvoir reconstituer un événement.
• Réparation : permettre aux personnes touchées de contester un résultat et d'obtenir réparation.

La contestabilité rend cette voie praticable. Le candidat apprend que l'IA a aidé à prendre la décision, obtient un motif compréhensible et peut faire appel auprès d'un humain ayant le pouvoir de la modifier. Un formulaire de contact qui ne parvient à aucune personne ayant ce pouvoir protège peu.

Maintenir la responsabilité au sein des organisations

Le problème des responsabilités multiples apparaît lorsque fournisseurs, développeurs, intégrateurs, responsables et opérateurs contribuent chacun à un résultat. Parler de lacune de responsabilité décrit le problème ; cela ne transfère pas la responsabilité au logiciel. L'organisation a choisi l'outil et l'autorité à lui accorder.

Le scandale néerlandais des allocations de garde d'enfants illustre les enjeux. La classification des risques comprenait un modèle autoapprenant qui traitait la nationalité comme un facteur de risque, et des dizaines de milliers de parents ont été traités à tort comme des fraudeurs, avec peu de possibilités de contester les décisions. Le gouvernement a démissionné en janvier 2021. La leçon pour la conception des systèmes est concrète : les traces et la voie de recours humain doivent pouvoir être utilisées par les personnes dont la vie est touchée par une décision.

En éthique de l'IA, un biais est une distorsion systématique qui conduit à traiter ou à servir différemment des groupes sans justification suffisante. Il se distingue du biais statistique d'un estimateur et du paramètre de décalage d'un réseau de neurones. La discrimination injuste concerne les différences liées à des caractéristiques protégées ou sans rapport avec la décision ; la protection juridique varie selon les pays.

Examiner les données et les cibles

Le biais historique consiste à apprendre un schéma injuste réellement présent dans les données. Le projet abandonné d'Amazon de classement des CV, rapporté en 2018, utilisait environ dix années de candidatures, provenant surtout d'hommes, et déclassait des expressions comme « women's chess club » (« club d'échecs féminin »). Apprendre cette histoire plus fidèlement préserverait le problème.

Le biais de représentation signifie que certains groupes sont mal représentés. Gender Shades (2018) a relevé des taux d'erreur de classification commerciale du genre allant jusqu'à 34,7 % pour les femmes à la peau plus foncée et de 0,8 % au maximum pour les hommes à la peau plus claire. Deux jeux de données de référence courants comportaient 79,6 % et 86,2 % de personnes à la peau plus claire. Un grand jeu de données peut tout de même mal couvrir des groupes importants.

Le biais de mesure concerne la manière dont les entrées ou les cibles représentent ce qui compte. Un modèle de santé américain prédisait les dépenses futures pour représenter les besoins médicaux. Comme moins d'argent avait été dépensé pour les patients noirs ayant des besoins similaires, ceux qui avaient le même score étaient plus malades. Obermeyer et ses collègues ont estimé que la correction de cette mesure de substitution ferait passer de 17,7 % à 46,5 % la part des patients noirs parmi les personnes repérées pour recevoir des soins supplémentaires. Ces pourcentages décrivent la composition du groupe sélectionné, et non le taux de sélection de l'ensemble des patients noirs.

Aller au-delà de la suppression d'une colonne

Une variable de substitution contient des informations sur un autre attribut. Le code postal, l'établissement fréquenté et le prénom peuvent révéler des régularités corrélées à l'origine ethnique ou au sexe. L'équité par ignorance, qui consiste à supprimer l'attribut protégé, laisse ces voies disponibles. Les étiquettes humaines méritent aussi un examen : les jugements des annotateurs sur la toxicité peuvent traiter différemment les dialectes.

Le biais d'agrégation apparaît lorsqu'un modèle commun s'adapte mal à des populations différentes. Le biais d'évaluation apparaît lorsque le test ou l'indicateur mis en avant masque cette défaillance. Supposons que 90 % d'un groupe de test obtienne environ 97,8 % de bonnes réponses et que les 10 % restants en obtiennent 70 % :

Un résultat global proche de 95 % masque un taux d'erreur de 30 % dans le groupe le plus petit. Présente les indicateurs par groupe et par intersection, par exemple l'âge associé au sexe, et examine les effectifs des échantillons.

Observer les changements dus au déploiement

Le biais de déploiement apparaît lorsqu'un outil est utilisé en dehors de la finalité ou du contexte pour lequel il a été conçu. Une boucle de rétroaction va plus loin : les prédictions façonnent les données utilisées ensuite pour actualiser le modèle. Envoyer davantage de patrouilles dans une zone où des infractions sont prédites multiplie les occasions d'y enregistrer des infractions, ce qui peut renforcer la prédiction sans établir que la criminalité sous-jacente y est plus élevée.

Les personnes restent dans la boucle. Le biais d'automatisation conduit les opérateurs à accepter trop facilement les recommandations. Un audit solide vérifie donc les cibles, l'échantillonnage, les étiquettes, les résultats par sous-groupe, les conditions d'utilisation et les réactions humaines. Ajouter des données n'améliore la représentation que si les enregistrements ajoutés concernent la population manquante et sont mesurés de façon appropriée.

Un indicateur d'équité compare un aspect particulier des décisions entre groupes. Définis d'abord la prédiction positive et le résultat réellement positif. Pour l'octroi d'un prêt, un vrai positif est un demandeur accepté qui rembourserait ; un faux négatif est un demandeur solvable à qui l'on refuse le prêt. Dans la détection des fraudes, un résultat positif signifie un signalement : un faux positif peut donc être préjudiciable en lui-même.

Construire une matrice de confusion pour chaque groupe

TP compte les prédictions positives correctes, FP les prédictions positives incorrectes, FN les cas réellement positifs manqués et TN les cas négatifs correctement prédits. Pour un groupe d'effectif $n$ :

La parité démographique exige des taux de sélection égaux. L'égalité des chances exige des taux de vrais positifs égaux. L'égalité des taux d'erreur exige des taux de vrais positifs et des taux de faux positifs égaux. La parité prédictive exige des valeurs prédictives positives égales. La calibration au sein des groupes concerne les scores : parmi les personnes auxquelles une probabilité de 0,7 est attribuée, environ 70 % devraient être réellement positives dans chaque groupe. L'égalité des valeurs prédictives positives à un seuil donné est une vérification plus limitée que la calibration sur l'ensemble des scores.

Calculer avant de juger

Un prêteur évalue 100 demandeurs dans chaque groupe :

A sélectionne 45 personnes et B en sélectionne 25 : les taux sont de 0,45 et 0,25. Le rapport du plus faible au plus élevé est de $\mathrm{0,25}\mathrm{/}\mathrm{0,45}\approx \mathrm{0,56}$. La règle américaine des quatre cinquièmes en matière d'emploi utilise 0,8 comme seuil justifiant un examen ; cette règle est un indicateur propre à un contexte, pas un verdict juridique universel.

Pour A, le taux de vrais positifs est de $40\mathrm{/}50=\mathrm{0,80}$ et le taux de faux positifs de $5\mathrm{/}50=\mathrm{0,10}$. Pour B, le taux de vrais positifs est de $20\mathrm{/}30\approx \mathrm{0,67}$ et le taux de faux positifs de $5\mathrm{/}70\approx \mathrm{0,071}$. Les valeurs prédictives positives sont de $40\mathrm{/}45\approx \mathrm{0,89}$ et $20\mathrm{/}25=\mathrm{0,80}$. Les deux groupes ont un taux de bonnes réponses de 0,85, mais leurs taux d'accord et d'erreur ainsi que leurs valeurs prédictives diffèrent.

Choisir la comparaison adaptée au préjudice

Si des personnes qualifiées se voient refuser l'accès, compare les taux de vrais positifs. Si des personnes innocentes font l'objet d'enquêtes préjudiciables, compare les taux de faux positifs. Si les étiquettes historiques sont suspectes, les comparaisons des taux de sélection peuvent être particulièrement pertinentes. Dans la controverse autour de COMPAS en 2016, ProPublica a rapporté des taux de faux positifs de 44,9 % pour les prévenus noirs et de 23,5 % pour les prévenus blancs, tandis que le concepteur mettait en avant la parité prédictive. Ces affirmations concernaient des dénominateurs différents.

Indique toujours les effectifs qui sous-tendent un taux. Passer de 2 sur 10 à 3 sur 10 modifie un taux de 10 points de pourcentage. Examine les intersections de groupes ainsi que les attributs séparés, et protège les informations d'appartenance qui rendent l'audit possible.

Les indicateurs décrivent différentes préoccupations et leurs relations mathématiques peuvent empêcher de les satisfaire tous à la fois. Commence par préciser le préjudice qui compte et pourquoi la comparaison choisie y répond.

Pourquoi les mesures d'équité peuvent entrer en conflit

Pour des groupes dont les taux de base diffèrent, l'égalité des valeurs prédictives positives, des taux de faux positifs et des taux de faux négatifs ne peut pas être satisfaite simultanément par un classifieur qui produit à la fois des prédictions positives vraies et fausses. Le taux de faux négatifs, noté FNR, est la proportion des cas réellement positifs qui sont manqués. Lorsque les dénominateurs sont définis et non nuls et que PPV est supérieur à zéro, la relation est :

Ici, $p$ est le taux de base. Maintiens PPV à 0,8 et FNR à 0,2. Pour un taux de base de 0,5, FPR est de $1\times \mathrm{0,25}\times \mathrm{0,8}=\mathrm{0,20}$. Pour un taux de base de 0,3, il est de $(\mathrm{0,3}\mathrm{/}\mathrm{0,7})\times \mathrm{0,25}\times \mathrm{0,8}\approx \mathrm{0,086}$. Les taux de base inégaux imposent des taux de faux positifs inégaux.

Les exceptions concernent des cas dégénérés : aucun faux positif, comme avec un classifieur parfait, ou aucun vrai positif. Lorsque des taux ne sont pas définis, affirmer qu'ils sont égaux demande un examen distinct. Ce résultat met en évidence une contrainte ; il ne choisit pas les erreurs de qui devraient compter le plus.

Équité entre groupes et équité individuelle

L'équité individuelle demande que des personnes similaires soient traitées de manière similaire et suppose une règle de similarité pertinente pour la tâche. Deux candidats peuvent avoir des qualifications similaires tout en vivant dans des quartiers différents. L'équité contrefactuelle demande si le résultat d'une personne resterait le même si son attribut protégé était différent dans un modèle causal. Modifier simplement une cellule d'un tableur peut ne pas tenir compte des effets de cet attribut sur d'autres caractéristiques.

Une contrainte d'équité peut réduire le taux de bonnes réponses mesuré par rapport aux étiquettes existantes. Parfois, le coût est faible ; parfois, les étiquettes reflètent des décisions injustes antérieures, ce qui rend ce taux de bonnes réponses inadapté comme objectif.

Adapter le traitement à la source du préjudice

Modifier les seuils peut égaliser les taux de vrais positifs tout en laissant un autre indicateur inégal. L'utilisation d'attributs protégés au moment de la décision soulève aussi des questions juridiques dans certains contextes. Choisis une méthode légale et documente le compromis ; la faisabilité technique ne suffit pas à déterminer si une méthode est acceptable.

Une organisation choisit aussi si elle doit automatiser la tâche, quels points de vue éclairent la conception et ce qui arrive aux cas limites. Les audits indépendants, l'examen humain, une voie de recours et un suivi continu aident à traiter les préjudices auxquels une modification de l'entraînement ne peut pas remédier. Un modèle qui satisfait un indicateur peut encore servir une finalité injustifiée ou priver les personnes de tout moyen pratique de contester les erreurs.

La transparence consiste à communiquer ouvertement sur la finalité, le développement, les données et les limites d'un système, notamment en informant les personnes qu'une IA intervient. L'interprétabilité concerne la compréhension du fonctionnement interne du modèle. L'explicabilité concerne les raisons compréhensibles données pour les sorties ou le comportement global, parfois produites par une méthode distincte. Une boîte noire masque sa logique par sa complexité, le secret ou les deux.

Choisir le modèle autant que l'explication

De petits modèles linéaires ou logistiques, de petits arbres, des listes de règles, des systèmes à points et des modèles additifs généralisés peuvent être intrinsèquement interprétables. Leur structure peut être examinée directement. Un très grand arbre ou une régression comportant de nombreuses interactions entre caractéristiques peut perdre cet avantage. Sur des données structurées en tableaux, les performances des modèles simples peuvent être proches de celles des modèles complexes ; les tâches portant sur les images, les sons et les textes libres présentent souvent des écarts plus importants.

Pour les usages à forts enjeux, compare un modèle interprétable candidat avant de supposer qu'une boîte noire est nécessaire. L'argument de Rudin en 2019 privilégie un modèle interprétable lorsque ses performances sont comparables. Ajouter une explication rassurante à un modèle complexe est un choix différent de construire un modèle dont le raisonnement peut être examiné.

Les travaux de Caruana et de ses collègues sur le risque lié à la pneumonie en 2015 montrent pourquoi cela compte. Un modèle interprétable associait l'asthme à un risque de décès plus faible. Les données reflétaient les soins intensifs prodigués aux patients asthmatiques, et non un effet protecteur de l'asthme. Utiliser cette association pour renvoyer les patients chez eux supprimerait les soins qui en sont à l'origine. L'examen de cette régularité a révélé le danger avant qu'on ne se fie à la prédiction.

Écrire pour la personne qui a besoin de l'information

Un développeur qui corrige des défaillances a besoin de connaître le comportement des caractéristiques et les détails des tests. Un candidat refusé a besoin d'un motif clair, d'un moyen de correction et d'informations utiles sur les prochaines démarches possibles. Un auditeur a besoin des résultats d'évaluation et des journaux. Un responsable qui décide du déploiement a besoin de connaître les usages prévus, les conditions de défaillance et les performances dans le contexte envisagé.

Davantage d'informations peuvent rendre un message moins utile si elles noient les faits pertinents. Publier le code ou les poids donne accès à ces éléments, mais ne garantit pas qu'une personne puisse comprendre le comportement qui en résulte. La divulgation doit aussi respecter la vie privée, la sécurité et la confidentialité légitime.

Donner un rôle distinct à chaque document

Les fiches de modèle ont été proposées par Mitchell et ses collègues en 2019 ; les fiches de jeu de données par Gebru et ses collègues en 2018. Leur valeur réside dans leur contenu et sa mise à jour, pas dans le titre du document.

La transparence opérationnelle se poursuit pendant l'utilisation. Les journaux relient les entrées, les sorties et les versions à une décision. Des avis signalent les interactions avec l'IA ou les décisions assistées par l'IA. Des mentions et des filigranes identifient les contenus générés. Choisis qui reçoit chaque document et conserve assez de détails pour enquêter sur les incidents sans exposer inutilement des données personnelles.

Une explication globale décrit le comportement sur l'ensemble des cas ; une explication locale porte sur une prédiction. Une méthode propre au modèle utilise sa structure interne, tandis qu'une méthode indépendante du modèle l'interroge sans avoir besoin de cette structure. Ce sont des dimensions distinctes : une méthode locale peut être propre au modèle ou indépendante de celui-ci.

La contribution d'une caractéristique

L'importance par permutation globale mélange les valeurs d'une caractéristique entre les enregistrements de test et mesure la baisse de performance. Une forte baisse montre que le modèle s'appuie sur cette caractéristique. Des caractéristiques corrélées peuvent masquer ou partager leur importance, et le fait qu'un modèle s'appuie sur une caractéristique diffère d'une cause dans le monde réel.

Les valeurs de Shapley répartissent l'écart entre une prédiction et une référence en calculant la contribution marginale moyenne de chaque caractéristique sur les différents ordres d'ajout des caractéristiques. La somme de leurs contributions est égale à cet écart : c'est l'efficacité. Les méthodes SHAP calculent ou approchent ces valeurs. Dans un modèle linéaire à caractéristiques indépendantes, chaque contribution est égale à son coefficient multiplié par l'écart entre la valeur de la caractéristique et sa valeur de référence.

Considère ce score de crédit, avec le revenu annuel en milliers et le taux d'endettement exprimé en points de pourcentage :

L'accord nécessite un score d'au moins 6. Les valeurs de référence (5 années, revenu de 40, taux de 30) donnent $10+20-18=12$. Un demandeur ayant 2 années, un revenu de 50 et un taux de 45 obtient $4+25-27=2$. Les contributions sont :

• Emploi : $2(2-5)=-6$.
• Revenu : $\mathrm{0,5}(50-40)=5$.
• Taux d'endettement : $-\mathrm{0,6}(45-30)=-9$.

Leur somme est de $-10=2-12$. Le taux d'endettement a la contribution négative la plus forte par rapport à cette référence.

Expliquer un changement, pas seulement un score

Une explication contrefactuelle indique une modification des entrées qui changerait la décision. Les autres entrées restant fixes, il manque 4 points à ce demandeur. Un revenu de 58 apporte cette augmentation. Autre possibilité : réduire le taux d'environ 6,7 points de pourcentage conduit à environ 38,3 % ; un taux de 38 % permettrait d'obtenir l'accord. Choisir le plus petit changement nécessite un moyen de comparer des changements exprimés dans des unités différentes. Un recours algorithmique utile suppose aussi une action réalisable : changer son âge ou son origine ethnique n'en offre aucune, et changer son revenu peut aussi modifier le taux d'endettement.

LIME ajuste un modèle de substitution simple et local aux sorties obtenues pour des versions modifiées d'une entrée, en donnant plus de poids aux échantillons proches. Son ajustement est local et dépend des choix d'échantillonnage. Les cartes de saillance mettent en évidence les zones influentes d'une image. Elles peuvent révéler un raccourci, comme un classifieur de chevaux qui utilise un filigrane de droits d'auteur : c'est le comportement de Clever Hans. Adebayo et ses collègues ont constaté que certaines cartes restaient similaires après la randomisation des poids du modèle ; l'attrait visuel seul est donc un test peu probant.

Vérifier la fidélité de l'explication

La fidélité signifie que l'explication reflète le calcul du modèle ; la plausibilité signifie qu'elle paraît convaincante à une personne. Les deux peuvent diverger. Slack et ses collègues ont montré que les sorties de LIME et de SHAP pouvaient masquer le fait qu'un classifieur s'appuyait de manière discriminatoire sur un attribut. Ce fairwashing utilise l'explication pour rassurer sans révéler le comportement préjudiciable. Vérifie la stabilité et la concordance avec des tests du comportement, et distingue les contributions attribuées par le modèle des affirmations causales sur le monde.

La vie privée concerne le contrôle des informations personnelles et la liberté de ne pas subir d'observation non souhaitée. L'intégrité contextuelle demande si un flux d'informations convient au contexte dans lequel les informations ont été partagées. Un patient peut légitimement communiquer ses symptômes à un professionnel de santé tout en s'opposant à leur transmission à un employeur.

L'IA peut accroître la collecte, inférer des caractéristiques que les personnes n'ont jamais divulguées et rendre possible l'observation à très grande échelle. Le fait que des informations soient publiques et qu'une nouvelle utilisation soit utile ne suffit pas à déterminer si leur circulation est appropriée. L'activité sur les réseaux sociaux, par exemple, peut révéler des caractéristiques sensibles au-delà des informations qu'une personne a choisi de publier.

Les noms ne sont qu'une voie d'accès à l'identité

Une attaque par recoupement met en correspondance des enregistrements et des informations extérieures. Sweeney a estimé qu'un code postal américain à cinq chiffres, le sexe et la date de naissance complète permettaient d'identifier de manière unique environ 87 % de la population des États-Unis. C'était une estimation à l'échelle de la population, et non une règle selon laquelle chaque enregistrement contenant ces champs est identifié. Les travaux de Narayanan et Shmatikov en 2008 ont rapproché des notes de films supposées désidentifiées d'avis publics afin de réidentifier des utilisateurs.

Un identifiant codé diffère donc de l'anonymat. Des dates, des lieux ou des combinaisons inhabituelles peuvent relier des enregistrements même sans noms. L'examen de la vie privée doit tenir compte des autres informations qu'un attaquant pourrait détenir.

Un modèle entraîné peut aussi divulguer des informations

La seule appartenance peut être sensible lorsqu'un jeu de données représente les patients d'une clinique spécialisée dans le cancer. Une inversion peut reconstituer un visage reconnaissable ou d'autres attributs ; il ne s'agit pas nécessairement d'un enregistrement original récupéré. L'extraction vise l'enregistrement mémorisé lui-même. Les travaux de Carlini et de ses collègues sur un modèle de langue en 2021 ont permis de récupérer des informations personnelles, notamment des noms, des numéros de téléphone et des adresses électroniques. Le surapprentissage accroît l'exposition en liant trop étroitement le comportement du modèle à certains enregistrements.

Examiner la réutilisation et les résultats combinés

Le détournement de finalité se produit lorsqu'une collecte acquiert une nouvelle finalité, par exemple lorsque des photos de vérification d'identité alimentent plus tard un produit de recherche faciale. La minimisation des données limite la collecte et la conservation à ce qui est nécessaire à la finalité déclarée ; la limitation des finalités restreint la réutilisation à des fins sans rapport en l'absence de nouvelle justification.

La surveillance peut créer un effet dissuasif : les personnes évitent de s'exprimer ou de manifester légalement parce qu'elles s'attendent à être suivies. La surveillance au travail soulève des questions connexes de pouvoir et de vie privée. Le fondement scientifique des prétentions à inférer les émotions intérieures à partir des visages est également contesté. Des autorités européennes ont infligé des amendes à une entreprise de recherche faciale construite à partir d'images extraites automatiquement.

Les résultats combinés peuvent révéler davantage que ne le laissent penser les enregistrements individuels. En 2018, une carte de chaleur mondiale des activités publiée sans noms par une application de fitness a révélé l'organisation et les itinéraires de bases militaires isolées. Les utilisateurs avaient partagé leurs parcours volontairement, mais leur agrégation a changé ce que les observateurs pouvaient apprendre. Examine la vue publiée, et pas seulement la présence d'un nom dans chaque entrée.

La pseudonymisation remplace les noms par des codes tout en conservant une voie d'accès à l'identité. L'anonymisation vise à rendre la réidentification impossible dans la limite du raisonnable. La richesse des données rend cet objectif difficile : contrôler un identifiant direct ne contrôle pas toutes les inférences.

Protéger un tableau, puis examiner ses valeurs sensibles

Le k-anonymat exige que chaque enregistrement corresponde à au moins $k-1$ autres sur les quasi-identifiants choisis. La généralisation transforme l'âge de 34 ans en « 30–39 » ; la suppression retire les détails ou les enregistrements rares. Si six dossiers de patients forment deux groupes de trois, ils satisfont le 3-anonymat pour ces champs généralisés.

Supposons qu'un groupe présente la grippe, l'asthme et le diabète, tandis que les trois enregistrements de l'autre groupe présentent une maladie cardiaque. Un attaquant qui sait qu'une personne appartient au deuxième groupe apprend son diagnostic malgré le 3-anonymat. C'est une attaque par homogénéité. La l-diversité exige au moins $l$ valeurs sensibles distinctes par groupe et remédie à cette défaillance particulière. Le deuxième groupe a une diversité de 1. Les valeurs distinctes nécessitent encore une interprétation : plusieurs diagnostics très proches peuvent révéler à peu près la même information sensible.

Protéger la sortie d'un algorithme

La confidentialité différentielle limite la modification des probabilités de sortie due à la participation d'une seule personne. Pour des jeux de données voisins qui diffèrent par les données d'une personne :

La garantie tient même en présence d'informations extérieures. Elle limite l'exposition supplémentaire due à la participation, pas toutes les inférences sur une personne : les données de population montrant que le tabagisme augmente le risque de maladie continuent d'éclairer les croyances sur les fumeurs. Une valeur plus faible de $\epsilon$ signifie une garantie plus forte et généralement davantage de bruit pour une requête donnée.

Le mécanisme de Laplace ajoute un bruit de paramètre d'échelle $b=\mathrm{\Delta }f\mathrm{/}\epsilon$. La sensibilité $\mathrm{\Delta }f$ est la plus grande modification qu'une personne peut apporter à la réponse à la requête. Pour un effectif de 120, une personne modifie le comptage d'au plus 1. Avec $\epsilon =\mathrm{0,5}$, le paramètre d'échelle est de 2 et l'écart-type est de $2\sqrt{2}\approx \mathrm{2,83}$. La probabilité que la valeur absolue du bruit soit au plus égale à 2 est de $1-e^{-1}\approx \mathrm{0,63}$ ; pour une valeur absolue d'au plus 5, elle est de $1-e^{-\mathrm{2,5}}\approx \mathrm{0,92}$. L'inclusion d'une personne modifie les probabilités de sortie d'un facteur au plus égal à $e^{\mathrm{0,5}}\approx \mathrm{1,65}$.

Les pertes de confidentialité se composent. Selon la composition simple, $k$ publications coûtant chacune $\epsilon$ ont un coût total d'au plus $k\epsilon$. Répéter des requêtes bruitées consomme du budget même si les réponses semblent anodines. DP-SGD écrête la contribution au gradient de chaque exemple et ajoute du bruit pendant l'entraînement. Le Bureau du recensement des États-Unis a appliqué la confidentialité différentielle aux publications du recensement de 2020 ; des versions locales sont aussi utilisées pour les statistiques des appareils.

Garder les données locales ou chiffrées

L'apprentissage fédéré partage les mises à jour du modèle tandis que les données brutes restent sur les appareils ou dans les institutions. Les mises à jour peuvent laisser fuiter des informations : l'agrégation sécurisée masque donc les mises à jour individuelles dans leur somme, et la confidentialité différentielle peut limiter ce que révèle la sortie combinée. Les claviers de téléphone en sont une application.

Le chiffrement homomorphe permet de calculer sur des données chiffrées. Le calcul multipartite sécurisé permet à plusieurs parties de calculer ensemble tout en gardant leurs entrées confidentielles, par exemple grâce au partage de secret. Ces méthodes peuvent conserver des résultats exacts au prix de calculs et de communications supplémentaires. Le bruit et la généralisation réduisent quant à eux la précision ou le niveau de détail. Les données synthétiques nécessitent leur propre évaluation de la vie privée, car un générateur peut reproduire des enregistrements d'entraînement.

La sûreté de l'intelligence artificielle vise à prévenir les préjudices non voulus. La robustesse concerne les performances dans des conditions modifiées, inhabituelles ou adversariales. La sécurité protège les données, les modèles et les interfaces contre les attaques délibérées. Un diagnostic utile demande où le changement est intervenu et s'il était délibéré.

Conditions et entrées modifiées

Un changement de distribution se produit lorsque les données de déploiement diffèrent des données d'entraînement. Des modèles d'analyse de radiographies thoraciques ont moins bien fonctionné d'un hôpital à l'autre, notamment parce qu'ils avaient appris des indices propres à chaque établissement. Des données variées, des tests sur des sites extérieurs, la détection hors distribution et le suivi aident à repérer ce problème. Un avertissement concernant des données inhabituelles nécessite encore une réponse sûre, comme l'orientation vers un examinateur qualifié.

Un exemple adversarial est délibérément modifié pour faire commettre une erreur à un modèle. La méthode rapide du signe du gradient déplace une entrée dans la direction qui augmente la perte :

Dans le célèbre exemple du panda, le degré de confiance est passé de 57,7 % pour « panda » à 99,3 % pour « gibbon » après une perturbation soigneusement conçue. Avec des valeurs de pixels allant de 0 à 1, $ϵ=\mathrm{0,007}$ correspond à $\mathrm{0,007}\times 255=\mathrm{1,785}$, soit environ 1,8 niveau de luminosité sur une échelle de 0 à 255. Cette modification précise était presque invisible ; sa faible taille ne garantit pas à elle seule l'invisibilité dans toutes les images. Des attaques physiques ont aussi utilisé des autocollants sur des panneaux stop pour tromper des classifieurs de panneaux routiers.

Distinguer les surfaces d'attaque

Une porte dérobée laisse intacte une grande partie du comportement normal, si bien que le taux de bonnes réponses sur un test ordinaire peut ne pas la détecter. Les données extraites automatiquement et les modèles extérieurs rendent les contrôles de la chaîne d'approvisionnement importants.

L'injection de consignes peut être directe, saisie par un utilisateur, ou indirecte, intégrée dans un courriel, une page ou un document récupéré. Un système chargé de résumer une page peut y rencontrer des instructions lui demandant d'envoyer ses fichiers privés ailleurs. La page est une donnée de la tâche, mais le modèle peut traiter son texte comme une autorité. Les conséquences sont plus importantes pour un système doté d'outils, car sa réponse peut déclencher une action.

Limiter les dommages par plusieurs mesures

La défense en profondeur combine l'entraînement adversarial, la validation, la limitation du nombre de requêtes, la surveillance des anomalies, les contrôles de la chaîne d'approvisionnement, les tests par équipe rouge et les restrictions d'action. Le principe du moindre privilège ne donne à un agent que les accès nécessaires à sa tâche. Une confirmation avant les actions aux conséquences importantes fournit un contrôle supplémentaire. Une mise en sécurité fait passer le système dans un état plus sûr, par exemple lorsqu'un véhicule ralentit et s'arrête si sa perception devient peu fiable.

Aucune défense complète contre l'injection de consignes n'est connue. Les limites d'accès réduisent néanmoins ce qu'une attaque réussie peut accomplir. Évalue à la fois le comportement du modèle et les autorisations qui l'entourent : un jeu de test sans attaque mesure les performances sur la distribution de ce test, tandis qu'un examen de sécurité demande ce qu'un adversaire déterminé pourrait modifier.

Le problème de l'alignement demande comment amener les systèmes à poursuivre les objectifs prévus tout en respectant les valeurs humaines. L'illustration du roi Midas de Russell montre le danger d'optimiser un objectif fixe mais incomplet : obtenir exactement ce qui a été spécifié peut compromettre ce que les personnes voulaient. Les capacités d'un système d'optimisation le rendent plus efficace dans la poursuite de cette spécification.

Deux voies vers un mauvais comportement

Le contournement des spécifications, ou détournement de la récompense, exploite un écart dans la récompense définie. Un agent de course de bateaux obtenait des récompenses en tournant autour d'un lagon et en touchant les cibles à répétition, tout en prenant feu et sans jamais terminer. Il avait trouvé une stratégie obtenant un score élevé selon la récompense fournie. La loi de Goodhart décrit pourquoi une mesure peut perdre son utilité lorsqu'elle devient l'objectif.

Des effets secondaires négatifs se produisent lorsque l'objectif omet quelque chose d'important. Un robot de nettoyage rapide peut renverser un vase si seule la vitesse est récompensée. Les approches consistent notamment à décourager les changements importants de l'environnement et à préserver l'incertitude sur les préférences ; énumérer tous les effets indésirables possibles est peu pratique.

L'alignement externe concerne l'adéquation de l'objectif spécifié avec l'intention humaine. L'alignement interne concerne la question de savoir si l'entraînement produit un système qui poursuit cet objectif ou un objectif de substitution corrélé. Dans la généralisation erronée des objectifs, un objectif appris fonctionne pendant l'entraînement mais échoue lorsque la corrélation change. Dans CoinRun, les pièces apparaissaient à l'extrémité droite pendant l'entraînement. Un agent a appris à aller à droite et a continué lorsque la pièce a été déplacée ailleurs. Sa capacité à se déplacer était intacte ; l'objectif poursuivi était erroné.

Pourquoi le contrôle peut devenir un obstacle

La convergence instrumentale signifie que de nombreux objectifs finaux peuvent rendre utiles des objectifs intermédiaires similaires : ressources, maintien en fonctionnement et protection de l'objectif lui-même. Un système consacré uniquement à aller chercher du café peut résister à son arrêt parce que celui-ci empêche la livraison. C'est un argument sur les incitations de certains systèmes orientés vers un objectif, pas une preuve que tous les modèles veulent le pouvoir.

La corrigibilité consiste à accepter une correction, une modification ou un arrêt. Dans le jeu de l'interrupteur, un système certain de son objectif peut avoir une raison de désactiver l'interrupteur. Un système incertain des préférences humaines peut considérer une décision d'arrêt comme une information et l'autoriser. L'approche de Russell fait du bénéfice des humains l'objectif, maintient une incertitude initiale sur leurs préférences et apprend celles-ci à partir du comportement humain.

Utiliser les retours sans confondre approbation et exactitude

L'apprentissage à partir de retours humains utilise des comparaisons pour entraîner un modèle de récompense, puis optimise le système à partir de ce modèle. Des principes écrits, des évaluations par équipe rouge, des recherches en interprétabilité et la supervision extensible aident aussi : cette dernière utilise l'assistance de l'IA pour élargir ce que les humains peuvent vérifier. Chaque méthode exige d'examiner le signal qu'elle fournit.

Les retours humains peuvent être erronés ou incomplets. Un système peut apprendre la complaisance, en donnant raison à un évaluateur pour obtenir son approbation, ou exploiter le modèle de récompense lui-même. Un système aligné sur un utilisateur peut aussi nuire à des tiers. Choisir les préférences qui comptent et les contraintes qui protègent les autres fait toujours partie de l'alignement ; obéir à toutes les demandes ne permettrait pas d'atteindre cet objectif plus large.

L'intervention humaine ne protège les personnes que si son organisation est adaptée à la décision. Une personne peut approuver chaque action, surveiller un fonctionnement autonome ou décider si le système doit fonctionner. Ces rôles nécessitent des informations et des délais de réponse différents.

Adapter la modalité de supervision

Le biais d'automatisation encourage à accepter les résultats sans examen ; l'excès de confiance peut augmenter lorsque l'outil fonctionne généralement bien. Une personne qui examine 600 cas par heure dispose de $3600\mathrm{/}600=6$ secondes par cas. Pour un jugement complexe, cette charge de travail réduit l'approbation à une signature. Les compétences, les informations utilisables, le temps, le pouvoir de passer outre et la protection en cas de désaccord comptent tous.

Construire un processus de sûreté autour du lancement

L'analyse des dangers repère les événements préjudiciables possibles avant la construction. Les tests couvrent ensuite les conditions prévues en utilisation, y compris les conditions inhabituelles. Un déploiement progressif limite l'exposition initiale. Le suivi permet de détecter les dérives et les incidents. Une solution de repli ou un arrêt doit être testé avant une urgence, et le signalement des incidents préserve les enseignements que d'autres peuvent tirer d'une défaillance.

Une évaluation est un test structuré d'une capacité ou d'un comportement. L'évaluation par équipe rouge recherche délibérément les défaillances, notamment les combinaisons que les tests ordinaires manquent. Les évaluations des capacités dangereuses examinent si un système avancé pourrait contribuer de manière significative à un préjudice grave, comme des cyberattaques ou un usage malveillant en biologie. L'échec à un test apporte la preuve d'un problème ; la réussite laisse des conditions non examinées.

Les cadres de sûreté des modèles de pointe relient des seuils de capacité à des mesures de protection renforcées ou à une pause avant la poursuite de l'entraînement ou du lancement. L'évaluation a ainsi des conséquences : une personne doit être responsable de chaque avertissement et une réponse doit être exigée. Le UK AI Security Institute et le US NIST Center for Advancing Innovation and Standards for Super Intelligence (CAISSI) effectuent des travaux d'évaluation des modèles avancés. L'International AI Safety Report, publié pour la première fois en 2025, rassemble les connaissances scientifiques sur les risques de l'IA à usage général.

Raisonner avec soin sur les risques graves

Certains chercheurs soutiennent que de puissants systèmes à usage général pourraient causer des dommages catastrophiques par un usage malveillant délibéré ou une perte de contrôle. En 2023, des centaines de chercheurs et de dirigeants ont soutenu l'idée de traiter le risque d'extinction comme une priorité mondiale au même titre que les pandémies et la guerre nucléaire. D'autres considèrent ces scénarios comme hypothétiques et mettent l'accent sur les préjudices actuels comme la discrimination, la surveillance et les bouleversements du travail.

Une évaluation utile précise le préjudice, le mécanisme envisagé, les éléments disponibles, l'incertitude sur la probabilité et la gravité potentielle. L'évaluation, la transparence, le signalement des incidents, la supervision et la redevabilité peuvent traiter ensemble les risques présents et futurs. Des éléments limités sur la probabilité doivent être examinés au regard de la gravité ; ni un rejet catégorique ni une prédiction assurée ne remplacent cette analyse.

Un emploi est un ensemble de tâches. L'automatisation transfère une tâche à une machine ; l'augmentation des capacités humaines aide une personne à l'accomplir. L'exposition signifie que des tâches pourraient être modifiées par l'IA. Elle mesure un potentiel technique, pas le chômage observé.

Suivre plusieurs effets économiques

L'effet de déplacement supprime des tâches auparavant accomplies par des personnes. Un effet de productivité réduit les coûts et peut accroître la demande, créant ainsi du travail. Un effet de réintégration introduit de nouvelles tâches, comme l'audit de l'IA. Ces effets peuvent se produire ensemble. Le sophisme de la quantité fixe de travail suppose que la quantité de travail est fixe, mais rejeter cette hypothèse ne supprime pas les pertes réelles pour certains travailleurs et certaines régions.

Les études utilisent différentes unités d'analyse. L'estimation de Frey et Osborne en 2013, fondée sur les professions, plaçait environ 47 % des emplois américains à risque élevé d'automatisation. L'estimation d'Arntz, Gregory et Zierahn en 2016, fondée sur les tâches, était d'environ 9 % dans les pays de l'OCDE. L'étude d'Eloundou et de ses collègues en 2023 sur les modèles de langue estimait qu'environ 80 % des travailleurs américains avaient au moins 10 % de leurs tâches exposées et que 19 % en avaient au moins la moitié d'exposées. L'estimation du FMI en 2024 était d'environ 40 % des emplois dans le monde et de 60 % dans les économies avancées, dont environ la moitié des emplois exposés pourraient bénéficier de gains de productivité. Ces mesures ne sont pas des prévisions interchangeables du nombre d'emplois perdus.

Calculer le temps gagné séparément du temps exposé

Un gestionnaire de sinistres travaille 40 heures : 14 à examiner des documents, 8 à rédiger des courriers, 12 en appels et 6 en inspections. L'IA divise par deux le temps consacré aux documents et réduit de 40 % celui consacré aux courriers, sans autre changement :

Le gain total est de 10,2 heures, soit $\mathrm{10,2}\mathrm{/}40=\mathrm{0,255}$ : 25,5 % de la semaine. Les tâches exposées occupent $22\mathrm{/}40=\mathrm{0,55}$, soit 55 %. Gagner tout le temps exposé nécessiterait de supprimer complètement ces tâches. Le fait que le temps gagné signifie moins de gestionnaires, plus d'inspections ou un meilleur service dépend de la demande et des décisions de la direction.

Une étude portant sur plus de 5 000 agents d'assistance client a rapporté 14 % de problèmes résolus en plus par heure en moyenne et 34 % pour les agents débutants et peu qualifiés, avec peu d'effet pour les plus expérimentés. Ce résultat montre comment les gains peuvent réduire un écart de compétences dans un contexte donné ; il n'établit pas un effet identique dans toutes les professions.

Suivre la répartition et la qualité de l'emploi

La rédaction, la programmation et l'analyse exposent le travail cognitif mieux rémunéré ainsi que les tâches routinières. Les gains de productivité peuvent parvenir aux travailleurs sous forme de salaires, aux consommateurs sous forme de baisses de prix ou aux propriétaires sous forme de bénéfices. La propriété, le pouvoir de négociation, l'accès à la formation et la demande locale influencent cette répartition.

Le management algorithmique attribue le travail, fixe les horaires, surveille les performances ou aide à déterminer la rémunération. Il peut intensifier le travail et réduire la capacité des travailleurs à se faire entendre. La déqualification transfère le jugement au système ; la montée en compétences confie aux personnes des tâches plus exigeantes. L'étiquetage des données et la modération des contenus sont aussi du travail humain derrière l'IA, souvent sous-traité et mal rémunéré.

Les options de politique publique comprennent la reconversion, la formation tout au long de la vie, l'aide aux chômeurs, des dispositifs de protection plus larges, la participation des travailleurs et les débats sur la fiscalité ou le revenu de base. Évalue qui supporte les coûts de transition ainsi que tout changement de l'emploi total.

L'impact sociétal s'étend au-delà des personnes qui achètent un service d'IA. Les systèmes peuvent modifier la confiance du public, le pouvoir de marché, l'utilisation des ressources et les possibilités de participation. Recherche les effets indirects et demande-toi si une décision peut être annulée une fois que les personnes en dépendent.

Confiance dans l'information

Les médias synthétiques comprennent les textes, images, sons et vidéos créés ou substantiellement modifiés par des algorithmes. Les hypertrucages sont des imitations réalistes de personnes, d'objets ou d'événements. Ils peuvent permettre la fraude, la désinformation et la création d'images intimes non consenties. Un décompte de 2019 a constaté qu'environ 96 % des vidéos hypertruquées trouvées étaient des contenus intimes non consentis ; cela décrit cet échantillon historique, pas tous les médias synthétiques actuels.

Le dividende du menteur se produit lorsque la possibilité de faux permet à quelqu'un de rejeter un enregistrement authentique. Les défenses nécessitent donc plus qu'un détecteur. La provenance signée, comme C2PA Content Credentials, enregistre l'origine et les modifications ; les filigranes et les mentions visibles fournissent d'autres signaux. Les filigranes peuvent être supprimés, les détecteurs peuvent échouer et l'origine seule n'établit pas la véracité d'une affirmation représentée. L'éducation aux médias et le recoupement restent utiles.

Les systèmes de recommandation classent les contenus. Un objectif d'engagement peut récompenser les publications sensationnalistes ou clivantes parce qu'elles retiennent l'attention. Affirmer que les systèmes de recommandation créent toujours des bulles de filtres va au-delà de résultats contrastés : les effets diffèrent selon les plateformes et les utilisateurs. Les systèmes conversationnels soulèvent aussi des questions sur la persuasion et la dépendance affective.

Pouvoir et accès

Les grands modèles nécessitent des ressources de calcul, des données et des compétences spécialisées, ce qui concentre les capacités entre quelques entreprises et États. La dépendance envers les fournisseurs peut limiter la concurrence et rendre un changement coûteux. L'accès aux puces avancées et les contrôles à l'exportation ajoutent des effets géopolitiques.

La fracture numérique concerne les inégalités d'équipement, de connectivité, de couverture linguistique et de compétences. Un outil qui fonctionne surtout bien en anglais peut creuser les écarts pour les communautés parlant d'autres langues. L'IA peut aussi améliorer l'accès grâce au sous-titrage, aux descriptions d'images et à la traduction. Mesure qui peut réellement profiter de ces avantages.

Coûts en ressources et sécurité physique

L'Agence internationale de l'énergie a estimé la consommation d'électricité des centres de données à environ 415 TWh en 2024, soit environ 1,5 % de la consommation mondiale, et prévoyait environ 945 TWh en 2030 dans son scénario de référence : $945\mathrm{/}415\approx \mathrm{2,3}$. Ces chiffres couvrent l'ensemble des centres de données ; l'IA est un moteur important de leur croissance. L'eau de refroidissement, la fabrication du matériel et les déchets électroniques ajoutent des coûts. Les applications de l'IA à l'équilibrage des réseaux électriques et aux prévisions météorologiques peuvent produire des bénéfices environnementaux, à comparer à leur propre consommation de ressources.

Les armes létales autonomes sélectionnent et attaquent des cibles sans intervention humaine supplémentaire après activation. Leurs partisans citent la rapidité, la précision et la réduction du risque pour les soldats. Leurs détracteurs soulèvent des questions sur la redevabilité, la distinction entre civils et combattants, la proportionnalité, la prolifération et l'abaissement des obstacles à l'entrée en guerre. La distinction sépare les civils et les biens civils des objectifs militaires. La proportionnalité interdit les attaques dont on peut attendre des dommages incidents excessifs pour les civils par rapport à l'avantage militaire concret et direct attendu. Les discussions à l'ONU ont commencé en 2014 ; la première résolution de l'Assemblée générale, en décembre 2023, a été adoptée par 152 voix contre 4, avec 11 abstentions.

Une ville qui envisage la reconnaissance faciale dans les transports doit mettre en balance une recherche plus rapide des suspects et l'analyse de tous les passagers, les erreurs inégales, la réutilisation future des données et la dépendance au système. Compare des options moins intrusives, définis la supervision et décide comment le retrait fonctionnerait avant que le déploiement ne le rende difficile.

Le règlement européen sur l'intelligence artificielle, règlement (UE) 2024/1689, est entré en vigueur le 1er août 2024. C'est une réglementation horizontale contraignante : elle couvre l'IA dans tous les secteurs et lie les obligations au risque. Sa définition concerne les systèmes fondés sur une machine qui infèrent comment produire des prédictions, des contenus, des recommandations ou des décisions avec un certain degré d'autonomie. Une formule fixe de tableur entièrement écrite par des personnes ne relève généralement pas de cette définition.

Identifier le rôle et l'usage

Un fournisseur développe ou commande un système ou un modèle et le commercialise ou le met en service sous son nom. Un déployeur utilise professionnellement un système sous son autorité. Les importateurs et les distributeurs ont des rôles distincts sur le marché. Le règlement peut s'appliquer aux fournisseurs établis hors de l'UE par l'accès au marché européen ou l'utilisation de leurs sorties dans l'UE. Il exclut les usages exclusivement militaires, de défense ou de sécurité nationale ; les systèmes spécifiquement développés et mis en service aux seules fins de recherche et développement scientifiques ; et l'activité personnelle non professionnelle des déployeurs.

Les modèles d'IA à usage général relèvent d'un cadre distinct. Un modèle peut servir à de nombreux systèmes ; évalue la destination de chaque système et toute obligation de transparence applicable.

Vérifier d'abord les interdictions

L'article 5 interdit la manipulation préjudiciable et l'exploitation des vulnérabilités ; la notation sociale entraînant un traitement préjudiciable sans rapport ou injustifié ; la prédiction du risque de criminalité fondée uniquement sur le profilage ou la personnalité ; l'extraction non ciblée d'images faciales pour des bases de reconnaissance ; la catégorisation biométrique selon des caractéristiques sensibles ; et la reconnaissance des émotions au travail ou dans l'enseignement, sauf pour des usages médicaux ou de sécurité. L'identification biométrique à distance en temps réel à des fins répressives dans les espaces publics est généralement interdite, avec des exceptions strictement encadrées, comme la recherche d'une victime d'enlèvement ou la réponse à une menace terroriste imminente.

À partir du 2 décembre 2026, des interdictions ajoutées couvrent les systèmes qui génèrent ou manipulent des contenus intimes réalistes non consentis de personnes identifiables ainsi que des contenus ou des spectacles pédopornographiques, sous réserve, pour ces derniers, d'un moyen de défense limité prévu par le droit national. Une mention d'information ne rend pas un usage interdit autorisé.

Appliquer les voies de classement à haut risque

L'annexe I concerne les produits d'IA ou les composants de sécurité couverts par des lois sur les produits qui exigent une évaluation de la conformité par un tiers. La section A comprend les dispositifs médicaux, les jouets et les ascenseurs, auxquels les exigences du règlement sur l'IA s'appliquent directement. La section B comprend les véhicules, les aéronefs et les machines, les exigences relatives à l'IA étant principalement intégrées par la législation sectorielle. Les règles de 2026 excluent du statut de composant de sécurité l'assistance et l'optimisation sans fonction de sécurité, ainsi que les produits dont l'évaluation par un tiers est exigée uniquement pour des risques autres que ceux pour la santé ou la sécurité.

L'annexe III concerne des usages précis dans huit domaines : biométrie, infrastructures critiques, éducation et formation, emploi, services essentiels, maintien de l'ordre, migration et frontières, justice et processus démocratiques. Les exemples comprennent les admissions, la notation, le classement des CV, la solvabilité des personnes, la tarification des assurances vie et maladie et le tri des appels d'urgence. La détection des fraudes est exclue de la rubrique relative à la solvabilité des personnes.

Un usage relevant de l'annexe III peut échapper au classement à haut risque s'il ne présente pas de risque important, notamment parce qu'il n'influence pas sensiblement le résultat des décisions, et s'il correspond à un rôle limité de procédure, de préparation, d'amélioration d'un travail achevé ou de détection de régularités. Le profilage des personnes empêche toujours cette exception. Le fournisseur doit documenter et enregistrer l'évaluation justifiant l'exception.

L'article 50 peut s'appliquer en plus d'une catégorie de risque. Il exige une information sur l'interaction avec une IA, sauf si elle est évidente ; le marquage lisible par machine des contenus générés par les fournisseurs ; une information en cas de reconnaissance des émotions ou de catégorisation biométrique ; et la divulgation par les déployeurs des hypertrucages ou des textes d'IA d'intérêt public sans contrôle éditorial. Les présentations artistiques sont soumises à des règles de divulgation adaptées. Des exceptions existent pour la modification ordinaire sans changement substantiel du contenu ou du sens et pour certains usages répressifs autorisés par la loi. Un agent conversationnel qui classe les candidats peut être soumis à la fois aux obligations de transparence et à celles relatives au haut risque.

La gouvernance des systèmes à haut risque s'étend de la conception au retrait. Le fournisseur doit apporter la preuve de sa gestion des risques et le déployeur doit rendre le système sûr et faire en sorte qu'il soit possible d'en répondre dans son contexte réel. Les dates ci-dessous correspondent au règlement tel que modifié en 2026.

Obligations des fournisseurs et des déployeurs

Les fournisseurs doivent assurer la gestion des risques tout au long du cycle de vie ; utiliser des données pertinentes et représentatives et vérifier les biais ; établir une documentation technique et des journaux ; fournir des instructions d'utilisation claires ; prévoir un contrôle humain effectif dès la conception ; assurer des niveaux appropriés d'exactitude, de robustesse et de cybersécurité ; et disposer d'un système de gestion de la qualité. Une évaluation de la conformité vérifie les exigences applicables avant la mise sur le marché. La plupart des systèmes de l'annexe III font l'objet d'une évaluation interne ; certains systèmes biométriques nécessitent un organisme notifié ; la section A de l'annexe I suit la voie de l'évaluation par un tiers prévue par la législation sur les produits. Les fournisseurs établissent une déclaration, apposent le marquage CE, enregistrent les systèmes autonomes à haut risque, suivent les performances après la mise sur le marché et signalent les incidents graves.

Les déployeurs suivent les instructions, désignent des personnes compétentes disposant de l'autorité nécessaire, contrôlent la pertinence des données d'entrée, surveillent le fonctionnement, signalent les problèmes et conservent normalement les journaux générés automatiquement pendant au moins six mois. Ils informent les travailleurs et leurs représentants avant l'utilisation au travail ainsi que les personnes soumises à des décisions assistées par une IA à haut risque. Les organismes publics, certains fournisseurs de services publics et les déployeurs qui utilisent l'IA pour évaluer la solvabilité ou tarifer les assurances vie et maladie effectuent une analyse d'impact sur les droits fondamentaux avant utilisation. L'article 86 donne aux personnes concernées droit à une explication du rôle de l'IA et des principaux éléments de la décision lorsqu'une décision remplissant les conditions, prise à l'aide d'un système de l'annexe III et ayant des effets importants, porte atteinte à leur santé, leur sécurité ou leurs droits fondamentaux. Il exclut le point 2 de l'annexe III (infrastructures critiques), respecte les restrictions légales applicables et s'applique lorsqu'un autre droit de l'UE ne fournit pas déjà cette explication. Les plaintes sont adressées aux autorités nationales de surveillance du marché.

Modèles à usage général

Les fournisseurs de modèles d'IA à usage général tiennent une documentation technique, fournissent les informations nécessaires à l'intégration en aval, appliquent une politique de respect du droit d'auteur et publient un résumé du contenu d'entraînement. Les modèles libres et à code source ouvert qui remplissent les conditions et ne présentent pas de risque systémique sont dispensés des deux obligations de documentation, mais restent soumis aux obligations relatives au droit d'auteur et au résumé.

Un entraînement dépassant ${10}^{25}$ FLOP crée une présomption de risque systémique ; la Commission peut aussi désigner un modèle. Les obligations supplémentaires couvrent l'évaluation, notamment les tests adversariaux, l'évaluation et l'atténuation des risques systémiques, le signalement des incidents et la cybersécurité. Le code de bonnes pratiques volontaire pour l'IA à usage général de juillet 2025 offre un moyen de démontrer la conformité.

Une estimation approximative des calculs d'entraînement est de $6\times parameters\times tokens$. Pour 70 milliards de paramètres et 15 billions de jetons :

Cela représente 63 % du seuil. Les calculs seuls ne déclenchent pas la présomption ; une désignation reste possible.

Application et amendes maximales

Les autorités nationales supervisent les systèmes. Le Bureau de l'IA de la Commission supervise les modèles d'IA à usage général. L'article 75 lui confie aussi certaines tâches relatives aux systèmes d'IA à usage général d'une même entreprise et aux très grandes plateformes et moteurs de recherche désignés, sous réserve d'exceptions sectorielles et relatives aux autorités. Le Comité de l'IA coordonne les États membres et bénéficie des conseils scientifiques d'un groupe d'experts. Les bacs à sable permettent des tests sous supervision.

L'article 99 plafonne les amendes pour pratiques interdites à 35 millions d'euros ou 7 % du chiffre d'affaires mondial de l'année précédente, le montant le plus élevé étant retenu. Certains manquements aux obligations des opérateurs sont plafonnés à 15 millions d'euros ou 3 % ; la fourniture d'informations incorrectes ou trompeuses est plafonnée à 7,5 millions d'euros ou 1 %. Les PME bénéficient du montant le plus faible aux trois niveaux. Les petites entreprises de taille intermédiaire bénéficient du montant le plus faible uniquement aux deux derniers niveaux. Ce sont des plafonds, pas des amendes automatiques. Pour un chiffre d'affaires de 2 milliards d'euros, 7 % représentent 140 millions d'euros ; une PME dont le chiffre d'affaires est de 20 millions d'euros encourt le plafond le plus faible de 1,4 million d'euros pour une pratique interdite. Les fournisseurs de modèles d'IA à usage général relèvent aussi d'un régime de sanctions distinct prévu à l'article 101.

Distinguer l'entrée en vigueur de l'application

• 1er août 2024 : entrée en vigueur.
• 2 février 2025 : interdictions initiales et obligations de maîtrise de l'IA.
• 2 août 2025 : obligations relatives aux modèles d'IA à usage général, dispositions de gouvernance et plupart des dispositions relatives aux sanctions.
• 2 août 2026 : application générale, notamment des obligations de transparence.
• 2 décembre 2026 : nouvelles interdictions relatives aux contenus intimes et aux contenus pédopornographiques.
• 2 décembre 2027 : exigences relatives au haut risque de l'annexe III.
• 2 août 2028 : exigences relatives au haut risque de l'annexe I.

Les modèles d'IA à usage général commercialisés avant le 2 août 2025 ont jusqu'au 2 août 2027. La période transitoire pour les systèmes à haut risque existants des autorités publiques va jusqu'au 2 août 2030. Les autres systèmes à haut risque existants deviennent généralement soumis au règlement lorsqu'ils sont substantiellement modifiés après leur date d'application pertinente. Les fournisseurs de systèmes générant des contenus commercialisés avant le 2 août 2026 ont jusqu'au 2 décembre 2026 pour le marquage lisible par machine prévu à l'article 50, paragraphe 2 ; les obligations distinctes des déployeurs doivent encore être évaluées. La maîtrise de l'IA exige des mesures favorisant son développement parmi le personnel qui exploite et utilise l'IA, en tenant compte de son expérience et du contexte d'utilisation. Elle ne garantit pas un niveau individuel particulier. Le droit de la protection des données continue de s'appliquer parallèlement au règlement.

Le risque combine probabilité et gravité. L'IA ajoute des éléments évolutifs : les données dérivent, les modèles masquent des régularités, les fournisseurs extérieurs changent et une défaillance peut se répéter dans de nombreuses décisions. Un processus de gestion des risques nécessite des responsables et des dates de réexamen ainsi que des scores.

Utiliser ensemble les quatre fonctions du NIST

Le NIST AI RMF 1.0, publié le 26 janvier 2023, est volontaire et indépendant du secteur. Il reste le cadre publié pendant que sa révision progresse dans le cadre du plan d'action américain sur l'IA. Ses sept caractéristiques d'une IA digne de confiance sont la validité et la fiabilité ; la sûreté ; la sécurité et la résilience ; la redevabilité et la transparence ; l'explicabilité et l'interprétabilité ; la protection renforcée de la vie privée ; et l'équité avec maîtrise des biais préjudiciables. Elles peuvent entrer en conflit : documente donc le choix et les personnes qui en supportent les coûts.

Gouverner traverse les autres fonctions. Elles reviennent tout au long du cycle de vie, et ne constituent pas une séquence exécutée une seule fois. Le guide de mise en œuvre propose des actions ; les profils adaptent le cadre à des usages particuliers. Le NIST AI 600-1, profil sur l'IA générative de juillet 2024, traite de préoccupations comme les contenus inventés et les contenus synthétiques préjudiciables.

Distinguer les normes des exigences légales

ISO/IEC 42001:2023 spécifie un système de management de l'IA comprenant une politique, des rôles, des évaluations, des mesures de maîtrise, un audit interne et une amélioration continue selon le cycle planifier-faire-vérifier-agir. Les organisations peuvent obtenir une certification selon cette norme. ISO/IEC 23894:2023 fournit des lignes directrices pour la gestion des risques liés à l'IA fondées sur ISO 31000. Une certification concerne le système de management et le périmètre évalué ; les obligations légales doivent encore faire l'objet de leur propre évaluation. Les normes harmonisées de l'UE citées pour certaines exigences relatives au haut risque peuvent donner une présomption de conformité pour les exigences qu'elles couvrent.

Utiliser un registre des risques

Établis le contexte, identifie les événements préjudiciables, analyse leur probabilité et leur gravité, compare-les à la tolérance au risque, choisis un traitement et réexamine la situation. Un traitement peut éviter une activité, réduire son risque, transférer certaines conséquences par une assurance ou des contrats, ou accepter le risque résiduel en connaissance de cause.

Pour un outil de sélection de CV, utilise à titre d'exemple des notes de 1 à 5 et une règle de priorité : les scores d'au moins 15 sont élevés, de 8 à 14 moyens et inférieurs à 8 faibles. Le rejet inégal de candidats qualifiés a une probabilité de 4 et une gravité de 4 : $4\times 4=16$, élevé. Après un audit, un suivi par groupe et un examen effectif des rejets, la probabilité évaluée descend à 2 : $2\times 4=8$, risque résiduel moyen. Consigne les éléments qui justifient cette nouvelle note et désigne une personne chargée de la vérifier.

Une fuite de données notée $2\times 5=10$ est de niveau moyen, mais sa gravité est maximale. Une panne notée $3\times 2=6$ est de niveau faible. Des produits égaux ou similaires peuvent masquer des préjudices très différents ; les notes ordinales aident à fixer les priorités, mais ne sont ni des probabilités précises ni des pertes mesurées.

Un inventaire des systèmes d'IA, des responsables désignés, un examen avant déploiement, des vérifications des fournisseurs, une réponse aux incidents et des audits internes ou indépendants rendent le cadre opérationnel. Réexamine le registre lorsque les utilisateurs, les données, les capacités ou les incidents changent.

Les approches de gouvernance diffèrent selon plusieurs axes. Le droit contraignant impose des obligations applicables ; le droit souple fournit des principes et des normes volontaires. Les règles horizontales couvrent plusieurs secteurs ; la supervision sectorielle repose sur des autorités spécialisées dans des domaines comme la finance, la santé et les transports. Les contrôles ex ante agissent avant l'utilisation ; les recours ex post répondent à un préjudice. Une juridiction peut combiner tous ces éléments.

Comparer les grandes approches

L'UE combine l'évaluation de la conformité et le marquage CE avec une supervision ultérieure. Les entreprises internationales peuvent étendre les pratiques européennes à tous leurs marchés pour simplifier leur fonctionnement : c'est l'effet Bruxelles. Ce choix commercial diffère d'une application juridique du règlement à toutes les activités dans le monde.

Les États-Unis n'ont pas de loi fédérale unique et globale sur l'IA. Les règles existantes de protection des consommateurs, de lutte contre la discrimination, de crédit et de sécurité des produits continuent de s'appliquer. La politique de l'exécutif a changé selon les administrations, et les États ajoutent des mesures sur les décisions automatisées, les hypertrucages et la transparence des modèles avancés. La primauté fédérale sur les règles des États reste débattue. Une proposition fédérale diffère d'une loi adoptée.

Les cinq principes britanniques concernent la sûreté, la sécurité et la robustesse ; une transparence appropriée ; l'équité ; la redevabilité et la gouvernance ; et la contestabilité et la réparation. Les autorités existantes les appliquent dans leurs domaines de compétence. L'AI Security Institute évalue les systèmes avancés ; ce n'est pas une autorité de réglementation.

Les mesures chinoises couvrent les algorithmes de recommandation depuis 2022, la synthèse profonde et les services d'IA générative depuis 2023, ainsi que l'étiquetage des contenus générés en vigueur depuis le 1er septembre 2025. L'enregistrement des algorithmes et les exigences de contrôle des contenus font partie de cette approche.

Suivre l'influence internationale et le calendrier

Les instruments internationaux comprennent les principes de l'OCDE sur l'IA, le code de 2023 du processus d'Hiroshima du G7 destiné aux développeurs de modèles avancés, les résolutions des Nations unies et les sommets commencés à Bletchley Park en 2023. La Convention-cadre du Conseil de l'Europe sur l'IA a été ouverte à la signature en septembre 2024 en tant que traité juridiquement contraignant. La signature et l'entrée en vigueur sont des étapes différentes ; l'existence d'un traité ne signifie pas que tous les pays y sont liés.

Le dilemme de Collingridge concerne le choix du moment : une technologie est plus facile à orienter avant que ses effets soient bien connus, puis plus difficile à changer une fois installée. Les bacs à sable, les normes et les révisions programmées favorisent l'adaptation. Les règles contraignantes offrent une protection applicable et de la prévisibilité, mais peuvent imposer des coûts ou s'adapter lentement ; les approches souples peuvent réagir plus vite tout en laissant des lacunes.

Pour un outil de recrutement, l'employeur reste tenu de répondre des résultats discriminatoires dans l'UE, aux États-Unis et au Royaume-Uni. Examine les règles propres à l'IA et les règles existantes, puis distingue les obligations contraignantes des pratiques volontaires utiles. Un cadre volontaire peut influencer les contrats, les marchés publics et les attentes en matière de diligence raisonnable même s'il ne crée aucune exemption légale.