Éthique et IA : un préambule pour un autre droit

Une nouvelle mythologie. Le concept d’intelligence artificielle s’est imposé dans tous les esprits et tous les espaces. Trait d’union de l'« homo sapiens » vers l'« homo deus » [1] , l’intelligence artificielle est si bien connue que deux lettres suffisent à présent pour la nommer sans ambiguïté : IA. L’homme, dont l’intelligence était, croyait-on, la marque distinctive et de noblesse, a concédé cette qualité à une interface numérique, une machine. L’IA nous pose des défis majeurs et renouvelle la sociologie du numérique [2] ; elle nous apparaîtrait presque comme l’incarnation de Fukuyama dans les sciences, annonçant tout à la fois « la fin de l’histoire et le dernier homme » [3] . Avec elle se dessine aussi une nouvelle mythologie [4] assise sur le pouvoir statistique devenu substitut des sciences [5] , le Big Data [6] , et les données qui oscillent de l’infiniment grand vers l’infiniment petit avec les nouveaux systèmes d’information [7] .

(Re)trouver la confiance. Les experts internationaux se sont lancés dans une épopée qui sera probablement décisive pour le siècle à venir : remporter la bataille d’une intelligence artificielle digne de confiance. En effet, nombreux sont les rapports et autres déclarations qui contribuent à élever la réflexion et à armer les opinions publiques pour faire en sorte que notre humanité ne devienne pas ce monde dystopique dans lequel les « androïdes rêveraient de moutons électriques » [8] . Nul ne remet plus en cause aujourd’hui les effets majeurs, prédits [9] ou dénoncés, induits par l’IA sur nos sociétés en tous les domaines, notamment bancaire et financier [10] .

Un langage commun. La compréhension des enjeux suppose d’abord d’élaborer un langage commun, afin de définir les objets et concepts qui sont ici concernés. Calque de l’anglo-américain, l’IA désigne la partie de l’informatique qui vise la simulation des facultés cognitives humaines. Emprunt ancien au latin classique « intellegentia », l’intelligence est l’action de comprendre et, par extension, l’entendement, la bonne entente, le commun accord. Sa racine étymologique renvoie à l’idée du choix, à ce qui permet de cueillir et de choisir [11] . Quant à l’adjectif « artificiel », deux sens lui reviennent : il signifie d’abord « produit par les conventions, un code, agissant par des processus automatiques ». Il est doté d’une seconde valeur, à la subjectivité péjorative, qui correspond à « factice », sans naturel ni simplicité, voire arbitraire. L’adjectif renvoie donc à ce qui échappe à la nature et au hasard, avec le risque de l’arbitraire. Tout est dit ! Le paradoxe est que le terme « IA » frappe les esprits par l’évocation de l’intelligence alors que c’est bien davantage l’adjectif artificiel qui devrait guider notre compréhension du concept. Dès lors, l’intelligence dont il résulte est de moins en moins cette capacité à exercer un choix, à « cueillir et choisir ».

Une définition à deux dimensions. Nous prenons pour point de départ la définition suivante de l’IA, telle que proposée dans la communication de la Commission européenne sur le sujet [12] : « L'IA désigne les systèmes qui font preuve d’un comportement intelligent en analysant leur environnement et en prenant des mesures – avec un certain degré d’autonomie – pour atteindre des objectifs spécifiques. Les systèmes dotés d’IA peuvent être purement logiciels, agissant dans le monde virtuel (assistants vocaux, logiciels d’analyse d’images, moteurs de recherche ou systèmes de reconnaissance vocale et faciale, par exemple) mais l’IA peut aussi être intégrée dans des dispositifs matériels (robots évolués, voitures autonomes, drones ou applications de l’internet des objets, par exemple). » Cette définition a été élargie [13] , pour clarifier certains aspects de l’IA qui est à la fois une discipline scientifique et une technologie dotée de rationalité [14] .

L’éthique, condition de la confiance. La Commission européenne considère une IA digne de confiance à la condition de présenter trois caractéristiques permanentes : la licéité, la robustesse (tant technique que sociale) et l’éthique [15] . Le respect de principes et valeurs éthiques est donc un élément essentiel de l’admission et du développement de l’IA, qui est présenté comme une condition distincte du respect des règles de droit. L’éthique est donc pensée comme un instrument de régulation à côté, ou en dehors du droit (I.). Nous y voyons aussi les prémices des futurs droits du numérique (II.).

I. L’éthique en dehors du droit

L’IA mobilise des données et des algorithmes. Cette interaction soulève de multiples interrogations : un algorithme n’est, finalement, qu’une « opinion intégrée à des programmes » [16] et, comme tout langage, il comporte ses biais et induit des risques bien établis en termes de discriminations et d’équité [17] . La régulation de l’IA implique donc d’identifier au préalable les principales difficultés ainsi posées (1.), afin d’évaluer la pertinence des dispositifs éthiques qui leur sont proposés en réponse (2.).

1. L’éthique native, pour transformer le Big Data en Smart Data

Biais et données : du Big Data au Smart Data. La communauté de l’IA travaille depuis peu à des méthodes visant à détecter et à atténuer les biais dans les ensembles de données d’entraînement des systèmes d’apprentissage automatique supervisé. En effet, il a été démontré que le traitement informatique et automatisé du Big Data soulevait des risques de biais [18] et de discriminations de toutes sortes [19] (raciales, genrées, professionnelles, etc.). La qualité de la donnée est donc un sujet essentiel : celle-ci doit être juste, « inclusive » c’est-à-dire représentative de diverses tendances, et fiable dans la durée. Il s’agit donc de passer du Big Data au Smart Data.

L’éthique et la sécurité natives (by design). La communauté internationale et, tout particulièrement, l’Union européenne font la promotion d’une éthique intégrée ab initio dans les dispositifs technologiques et algorithmiques [20] . L’Europe promeut ainsi un principe fondamental de « conception respectueuse de l’éthique » (ethic by design), dans le cadre de laquelle les principes éthiques et juridiques, sur la base du règlement général sur la protection des données, du respect du droit de la concurrence, de l’absence de biais dans les données, sont mis en application dès le début du processus de conception. Un autre principe fondamental résidera dans la « sécurité dès la conception », dans le cadre duquel la cybersécurité, la protection des victimes et la facilitation des activités répressives devraient être prises en considération dès le début du processus de conception.

Les limites de l’éthique by design. Comment penser ainsi l’éthique native d’une IA et jusqu’à quel degré peut-on raisonnablement anticiper ses risques ? Nous sommes aux limites de cette éthique by design : le propre de l’éthique est de poser des dilemmes, auxquels il n’y a pas, par définition, de meilleures issues a priori dans un conflit de valeurs. Il faut donc hiérarchiser des principes ou des valeurs en fonction d’un contexte, d’intérêts particuliers ou collectifs pour prendre la décision la mieux adaptée : comment un système de calcul reposant sur le respect de règles implémentées by design pourrait-il intégrer toute la complexité de ces données et leur herméneutique [21] ?

2. L’éthique normalisée dans les textes

A la recherche d’un consensus international. Les initiatives internationales pour l’éthique de l’IA ne se comptent plus : si l’Europe entend occuper un rôle moteur [22] , on peut citer de nombreuses initiatives en provenance des grandes entreprises [23] , de l’UNESCO, de l’OCDE, de la CNIL [24] , et du monde académique [25] . Pour éviter une fragmentation des instruments, la recherche d’un consensus international s’impose. Parmi toutes ces initiatives qui finissent par se recouper, nous retiendrons principalement celles proposées par la Commission européenne [26] qui opère un distinguo entre les droits fondamentaux et les principes éthiques.

Des droits fondamentaux aux principes éthiques. De nombreux droits fondamentaux trouveraient à s’appliquer aux systèmes d’IA. Consacrés par le droit international en matière de droits de l’homme, les traités de l’Union et la charte de l’Union, ils sont opposables, dans la plupart des cas, au sein de l’UE [27] . Ces droits fondamentaux se distinguent donc de l’éthique, et renvoient au respect de la dignité humaine, à la liberté des individus, au respect de la démocratie, de la justice et de l’état de droit, à l’égalité, la non-discrimination et la solidarité, et aux droits des citoyens. Ces droits s’articulent avec les principes éthiques, dont ils se distinguent néanmoins.

Quatre principes éthiques. Ancrés dans les droits fondamentaux, quatre principes éthiques sont présentés comme des impératifs pour assurer le déploiement d’une IA digne de confiance. L’adhésion à ces principes dépasse le respect formel de règles juridiques existantes et implique un « supplément d’âme ». Il s’agit des principes suivants : le respect de l’autonomie humaine, la prévention de toute atteinte, l’équité et l’explicabilité [28] . Ces principes doivent s’appliquer concrètement aux différentes parties prenantes participant au cycle de vie des systèmes d’IA : les développeurs, les prestataires et utilisateurs finaux, ainsi que la société au sens large.

Le respect de l’autonomie humaine. Les êtres humains qui interagissent avec des systèmes d’IA doivent être en mesure de conserver leur autodétermination totale et effective et de prendre part au processus démocratique. En l’absence de justification, les systèmes d’IA ne devraient pas subordonner, contraindre, tromper, manipuler, conditionner ni régenter des êtres humains.

Le principe de la prévention de toute atteinte. Les systèmes d’IA ne devraient ni porter atteinte, ni aggraver toute atteinte portée, ni nuire aux êtres humains d’une quelconque autre manière. Cela englobe la protection de la dignité humaine ainsi que de l’intégrité mentale et physique. Les systèmes d’IA et les environnements dans lesquels ils évoluent doivent être sûrs et sécurisés. La prévention de toute atteinte implique également la prise en compte de l’environnement naturel et de tous les êtres vivants.

Le principe de l’équité. L’équité se caractérise à la fois par un volet matériel et un volet procédural. Le volet matériel suppose l’engagement de veiller à une répartition égale et juste des bénéfices et des coûts, et de veiller à ce que les individus et les groupes ne fassent pas l’objet de biais injustes, de discrimination et de stigmatisation. L’équité implique, en outre, que les professionnels de l’IA respectent le principe de proportionnalité entre la fin et les moyens. Le volet procédural de l’équité suppose la capacité de contester les décisions prises par des systèmes d’IA et par les êtres humains qui les utilisent, ainsi que celle d’introduire un recours efficace à l’encontre de ces décisions. L’entité responsable de la décision doit pouvoir être identifiée, et le processus de prise de décisions devrait pouvoir être expliqué.

Le principe de l’explicabilité. Ce principe implique que les processus doivent être transparents, que les capacités et la finalité des systèmes d’IA soient communiquées ouvertement, et que les décisions doivent pouvoir être expliquées aux personnes directement et indirectement concernées. Ces informations sont indispensables pour pouvoir contester une décision. Dans le cas des algorithmes à effet « boîte noire », d’autres mesures d’explicabilité pourraient trouver à s’appliquer : par exemple la traçabilité, l’auditabilité et la communication transparente concernant les capacités du système.

À côté des principes éthiques, l’affirmation de valeurs. Pour parvenir à une IA digne de confiance, la Commission européenne affirme un certain nombre de valeurs qui complètent ces quatre principes éthiques [29] . Nous pouvons citer l’exigence d’une action humaine et le contrôle humain, la robustesse technique et la sécurité, le respect de la vie privée et la gouvernance des données, la transparence, la diversité, la non-discrimination et l’équité, le bien-être sociétal et environnemental, et la responsabilité.

II. Le choix de l’éthique comme un préambule aux droits fondamentaux du numérique

Les technologies de l’IA modifient en profondeur le rôle du droit qui se trouve remis en question dans sa dimension spatiale, ses acteurs et ses concepts : les branches traditionnelles du droit s’effritent, certaines s’effondrent [30] . Si le droit veut conserver son rôle de gardien de la démocratie et du vivre ensemble, il importe que les régulateurs et les juges choisissent les bons concepts juridiques qui permettront de guider les décideurs de l’IA dans le choix des solutions qu’offre la technologie [31] . Il ne s’agit pas de savoir comment rendre l’IA bienveillante mais de faire en sorte qu’elle ne se substitue pas à l’homme en tant qu’agent moral [32] . Dans cette perspective, le recours à l’éthique est un choix politique, dont on peut questionner le bien-fondé en tant que méthode de régulation et pointer les limites en termes d’effectivité (1.). Toutefois, la référence à l’éthique n’est pas dépourvue d’intérêt : dénominateur commun permettant un consensus international sur la nécessité de réguler l’IA, l’éthique est la première étape d’une marche vers le droit. À cet égard, nous pensons qu’elle préfigure l’avènement de futurs droits fondamentaux du numérique qu’il reste encore à découvrir et à écrire (2.).

1. L’éthique, un choix politique

Questionner la méthode. Choisir l’éthique, c’est exclure tout autre instrument de droit dur, qu’il s’agisse de responsabilité ou même de déontologie.

Ni responsabilité… En effet, la régulation de l’IA aurait pu passer par le canon traditionnel de la régulation de toute interaction sociale, via le concept de la responsabilité, qui se décline sous toutes ses formes (délictuelle, contractuelle, pénale, pour risque, etc.) [33] . Or, la référence à la responsabilité se trouve reléguée au rang de principe téléologique (ainsi la Déclaration de Montréal [34] , pour un « développement responsable de l’intelligence artificielle ») tout en étant exclue en tant que concept opératoire du droit. Récemment, le rapport du groupe de travail sur la réforme du droit français de la responsabilité civile et les relations économiques est venu écarter explicitement l’hypothèse d’une régulation de l’IA dans le cadre de la réforme de la responsabilité civile [35] : « deux courants se dessinent clairement : le recours à l’un des fondements existants de la responsabilité civile objective suffirait à régler la grande majorité des cas, (mais) seule, la reconnaissance de la personnalité juridique aux robots permettrait de répondre aux enjeux de l’intelligence artificielle, sans qu’à ce stade aucun n’emporte totalement la conviction ». Le rapport du Sénat, rendu peu auparavant, est tout aussi réticent à l’égard du mécanisme de responsabilité à l’égard de l’IA [36] .

…ni déontologie. Puisque la responsabilité est, pour l’heure, mise à l’écart, une autre notion aurait pu être invoquée : la déontologie. En effet, la déontologie regroupe pour les personnes exerçant certaines activités publiques ou privées, les règles juridiques et morales qu’elles ont le devoir de respecter [37] . Les manquements aux règles de la déontologie, qui sont variables d’une fonction ou d’une profession à une autre, sont de nature à provoquer des poursuites disciplinaires. Néanmoins, bien que le contenu des règles de déontologie ne soit pas sans lien avec les enjeux portés par l’IA [38] , le recours à la déontologie a été expressément écarté par les experts européens au profit de la référence à l’éthique [39] . Cela exclut la possibilité de poursuites dans le cadre de sanctions disciplinaires et manifeste la volonté des régulateurs de maintenir le droit à bonne distance de l’encadrement de l’IA.

2. L’éthique, prélude à l’émergence des futurs droits fondamentaux du numérique

Dépasser l’éthique. L’éthique est une bannière consensuelle sous laquelle se rangent les décideurs et experts de la question. Elle constitue certainement un dénominateur commun, relativement peu engageant, à partir duquel la régulation par le droit pourra prendre forme à l’avenir pour densifier l’encadrement de l’IA. Mais elle est tout aussi certainement source d’ambiguïtés, de par son contenu et l’interprétation qui en résultera. De notre point de vue, l’éthique doit être dépassée pour penser autrement la régulation de l’IA : il s’agit d’identifier les concepts fondamentaux puis de construire leur encadrement, en partant des dispositifs technologiques et des réalités, plurielles, qui s’observent en pratique. Nous pensons qu’une approche résolument pragmatique permettra de s’affranchir de l’idée que les juristes se font de l’IA : c’est par l’analyse des réalités technologiques que le droit pourra faire son aggiornamento en se libérant de certaines idées préconçues. Parmi celles-là, figurent la transparence des algorithmes et la protection des données personnelles : deux dogmes qu’il convient de démystifier.

En finir avec le dogme de la transparence des algorithmes. Ouvrir la « boîte noire » d’un programme en publiant son code source ne permettra pas d’en comprendre le fonctionnement [40] . Le législateur français s’est pourtant focalisé sur la transparence de la décision algorithmique : la loi Lemaire introduit ainsi la possibilité pour les administrations de communiquer aux citoyens « les règles » et « principales caractéristiques » de mise en œuvre des traitements algorithmiques servant à prendre des décisions individuelles les concernant [41] . Or, c’est moins la transparence de l’algorithme qui importe que celle des bases de données qui ont été utilisées pour l’entraîner, qui, bien souvent, ne sont pas soumises au régime général de l’Open Data.

De nouvelles références : l’explicabilité et l’interprétabilité. Nous suggérons de remplacer la référence à la transparence des dispositifs algorithmiques de l’IA par deux concepts issus des sciences informatiques : l’explicabilité et l’interprétabilité [42] . Leurs promoteurs y voient de véritables principes fondamentaux car ils sont une porte d’entrée vers la vérifiabilité des résultats, la progression des connaissances, la conformité au droit et, enfin, la confiance [43] . Certes, les notions d’interprétabilité et d’explicabilité laissent de nombreuses questions en suspens : par exemple, que signifie réellement expliquer et que faut-il interpréter ? Quel type d’explicabilité faut-il fournir et pour quels services ? L’explicabilité parfaite existe-t-elle ? Elles nous paraissent néanmoins plus pertinentes que l’invocation de la transparence. Des auteurs ont notamment montré leur intérêt en matière de credit scoring [44] .

Pour un droit d’accès élargi. En nous libérant de la référence à la transparence de l’IA, nous proposons un principe plus englobant de droit d’accès élargi, applicable au code source et aux bases de données [45] . Cela permettra de mettre en lumière les liens qu’entretient un algorithme avec d’autres systèmes – technologiques ou humains – qui peuvent être tout aussi opaques (par ex. de quel accord commercial secret dépend un algorithme ?) Le véritable défi consiste donc à déchiffrer les chaînes de décisions logiques qui construisent les algorithmes afin de déterminer les institutions et les personnes qui en sont responsables, par un droit d’accès élargi [46] .

Encoder la gouvernance : « inclusive code ». Parce que l’algorithme restera toujours structurellement opaque, il est inutile de le penser en termes de transparence ; il faut en revanche déplacer la réflexion en amont, sur les conditions de création des algorithmes, de manière à encoder des principes de bonne gouvernance (telles que l’égalité [47] , la possibilité de contester le choix de tel programme, et peut-être même l’aléa en redonnant toute sa place au hasard [48] ).

Garantir la « contestabilité » de l’algorithme : de l’audit aux études d’impact. Il nous semble essentiel de garantir des procédures de contestation de l’algorithme. Cela peut prendre plusieurs formes : la CNIL propose notamment de mettre en place une plateforme nationale d’audit permettant de tester le code ; le recours aux outils statistiques doit aussi être mobilisé pour permettre une évaluation contrefactuelle. Enfin, nous pourrions aussi proposer la mise en place d’études impact avant toute mise en circulation de procédé algorithmique.

Les stress-tests algorithmiques. La CNIL envisage la régulation de l’IA par deux « principes fondateurs » : la loyauté et la vigilance [49] . Le premier vise à s’assurer que l’algorithme effectue bien ce qu’il est censé faire, mais aussi qu’il n’entre pas frontalement en opposition avec d’autres grands intérêts collectifs. Le second est censé répondre au fait que les outils de machine learning peuvent évoluer en permanence en fonction des données qui les alimentent. Développer l’audit des algorithmes est une manière d’assurer le respect de ces deux principes fondateurs. Cela suppose néanmoins de développer la capacité de la puissance publique à effectuer des « stress-tests sur des algorithmes », par le biais d’une plateforme nationale d’audit. Ici, l’audit n’a pas pour objectif « d’ouvrir les codes sources » ; il prend la forme de contrôles ex post des résultats produits par les algorithmes, de tests aux moyens de profils fictifs, en mobilisant des techniques d’audit reposant sur la rétro-ingénierie.

L’évaluation contrefactuelle. Des auteurs proposent une approche alternative pour mesurer les biais et l’équité dans l’apprentissage automatique : l’évaluation contrefactuelle [50] . Dans de nombreux contextes pratiques, l’alternative à un algorithme biaisé n’est pas un biais, mais une autre méthode de décision, telle qu’un autre algorithme ou même la discrétion humaine. Certaines techniques statistiques permettent d’effectuer des comparaisons contrefactuelles qui permettent aux chercheurs de quantifier les biais sans accéder à l’algorithme sous-jacent ou à ses données de formation.

Des études d’impact contre le risque algorithmique. Sur le modèle des études d’impact environnemental, nous pourrions proposer une évaluation préventive des risques liés à la mise en circulation d’un algorithme. Cette obligation serait mise à la charge, notamment, des institutions publiques, de façon à leur inculquer la culture de l’évaluation et de la prévention. Il pourrait ainsi leur être demandé de procéder à une auto-évaluation des systèmes de décision automatisés existants et proposés, en évaluant les impacts potentiels sur l’équité, la justice, les préjugés ou toute autre préoccupation en lien avec l’intérêt général [51] .

En finir avec le concept de « données personnelles ». L’expansion actuelle de l’IA est alimentée par la disponibilité de vastes ensembles de données associés à l’augmentation de la puissance de calcul et aux progrès de la connectivité. Le traitement des données concernant des personnes physiques tombe dans le champ d’application du RGPD qui fixe les règles applicables à leur collecte, leur utilisation et leur partage. Si ce dispositif est perçu comme une avancée majeure pour garantir les droits de la personne, il est largement insuffisant pour répondre aux questions que pose l’IA en matière d’utilisation des données. Nous pensons que l’appréhension actuelle de la donnée, telle qu’elle ressort de l’encadrement juridique issu du RGPD ou de textes nationaux [52] , est source d’ambiguïtés dans la mesure où il crée une corrélation entre la donnée et la personne. Il en résulte une approche subjective de la notion de donnée, tournée vers l’exercice des droits de la personne dont elle émane. L’effectivité de ces droits – tels que le consentement, le droit de communication, de rectification, d’oubli – nous paraît douteuse [53] . Il nous semble que l’enjeu est tout autre et que les promesses de l’IA nous exhortent à repenser les droits de la donnée.

Les droits de la donnée. La disponibilité des données est essentielle pour soutenir des applications d’IA puissantes. Pour ce faire, elles doivent répondre à des exigences nouvelles qui dépassent le cadre juridique actuel adossé à l’exercice des droits de la personne, sans pour autant l’effacer. La Commission européenne veut créer un espace européen commun des données afin de faciliter la circulation des flux de données transfrontières [54] , dans le respect de la vie privée et du RGPD. C’est le partage des données détenues par les secteurs public et privé qui est en jeu. Pour en accroître les effets, il conviendrait de maximiser l’interopérabilité des données d’un même espace, notamment en prévoyant comme objectif commun d’utiliser des formats de données qui soient ouverts, selon l’acronyme FAIR (faciles à trouver, accessibles, interopérables et réutilisables). Les formats devront être lisibles par une machine, normalisés et documentés, pour les interactions aussi bien entre les secteurs public et privé qu’au sein de chaque secteur et entre les secteurs. Il s’agit là de nouveaux droits de la donnée qui sont indispensables dans des secteurs comme la santé, l’environnement, la mobilité ou encore la sécurité mais dont la mise en œuvre suscitera des difficultés sérieuses liées à l’articulation d’intérêts divergents : ceux de la personne, tournée vers l’exclusivité et le secret et ceux des utilisateurs de données qui tendent au contraire au partage et à la circulation.

En conclusion. L’IA est la révolution de notre siècle. Elle exprime un processus profond dont le mathématicien et philosophe Alexandre Koyré avait pu ainsi annoncer les conséquences aux débuts des années 1960 : « l’homme a perdu sa place dans le monde ou, plus exactement peut-être, a perdu le monde même qui formait le cadre de son existence et l’objet de son savoir, et a dû transformer et remplacer non seulement ses conceptions fondamentales, mais jusqu’aux structures mêmes de sa pensée » [55] . Cette analyse, qui ne s’est pas démentie, continue de guider notre réflexion juridique [56] .