Mapping General-Purpose AI Governance in Twenty AI Middle-Power Jurisdictions
Ce document cartographie les cadres de gouvernance de l'IA générative de vingt juridictions de puissances moyennes, révélant que, bien qu'elles convergent largement sur les formes réglementaires dans les domaines clés de la responsabilité, elles divergent considérablement en matière de pouvoir d'exécution, la plupart s'appuyant sur des mesures non contraignantes, des mandats préexistants au niveau de la couche applicative et des capacités d'observation plutôt que d'imposer des obligations contraignantes aux développeurs de modèles.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Imaginez un monde où les systèmes d'intelligence artificielle les plus puissants sont construits en seulement deux endroits, pourtant leurs effets se répercutent dans toutes les nations de la Terre. Ces systèmes, connus sous le nom d'IA à usage général, ne sont pas de simples outils conçus pour une tâche unique comme trier le courrier ou reconnaître des visages. Au contraire, ce sont de vastes moteurs flexibles capables d'apprendre presque tout, de l'écriture de code à la simulation de processus biologiques. Parce qu'ils sont si adaptables, ils comportent des risques uniques : ils pourraient être utilisés pour créer des armes dangereuses, lancer des cyberattaques ou se comporter de manières que les humains ne peuvent pas arrêter. Bien que les entreprises qui construisent ces systèmes soient concentrées dans quelques pays, le reste du monde doit tout de même apprendre à vivre avec eux. C'est le défi auquel font face ce que les chercheurs appellent les « puissances moyennes de l'IA » : des nations qui ne construisent pas elles-mêmes ces modèles de pointe, mais qui doivent néanmoins réguler la manière dont ils sont utilisés, vendus et surveillés sur leurs territoires.
Une équipe de chercheurs s'est donné pour mission de cartographier la façon dont vingt de ces nations gèrent ce problème. Ils n'ont pas examiné de larges déclarations politiques ou de promesses vagues. Au lieu de cela, ils ont creusé dans les lois, les réglementations et les documents d'orientation officiels pour voir exactement quelles règles ont été écrites. Ils se sont concentrés sur quatre domaines spécifiques où la sécurité doit être assurée : la vérification des risques globaux avant la sortie d'un système, le test et la vérification de ce que le système peut réellement faire, l'interdiction d'usages ou de capacités dangereux, et le signalement des accidents graves lorsqu'ils surviennent. En lisant les petits caractères de centaines de documents, ils ont dressé un portrait détaillé du paysage mondial de la gouvernance de l'IA.
Ce qu'ils ont trouvé est l'histoire d'une forme sans force. À travers les vingt nations étudiées, il existe un accord clair sur la forme des règles. Presque tous les pays tentent d'aborder les mêmes quatre domaines de sécurité. Ils parlent tous d'évaluation des risques, de tests, d'interdictions et de signalement. Cependant, ils échouent à rendre ces règles contraignantes. Les chercheurs ont découvert que si de nombreux pays ont consigné ces exigences par écrit, très peu les ont transformées en lois contraignantes pouvant être réellement appliquées. En fait, seulement environ 22 % des règles trouvées sont inscrites dans le droit dur (hard law). Le reste se compose de directives souples, de stratégies ou de codes volontaires que les entreprises peuvent choisir d'ignorer. Plus frappant encore, lorsque des pays adoptent des lois contraignantes, ils ne définissent souvent pas ce qu'est réellement une « IA à usage général ». Ils créent des règles pour une catégorie de technologie sans dire clairement ce que cette catégorie inclut. Cela laisse une faille où une entreprise pourrait argumenter que son nouveau modèle puissant ne correspond pas à la définition et, par conséquent, n'a pas besoin de suivre les règles.
La manière dont ces nations appliquent leurs règles révèle une autre couche de complexité. La plupart du temps, les règles ne visent pas les entreprises qui construisent les modèles d'IA. Au lieu de cela, les lois ciblent les personnes qui utilisent les modèles, les plateformes qui les hébergent ou les agences gouvernementales qui les achètent. Cela se produit parce que les pays de l'étude n'hébergent pas les entreprises qui construisent les IA les plus avancées. Ils ne peuvent pas facilement forcer ces constructeurs étrangers à modifier leur code ou à se soumettre à des inspections. Ils tentent donc de contrôler la technologie en régulant la manière dont elle est déployée sur leurs propres marchés. Par exemple, un pays pourrait exiger qu'une banque teste un outil d'IA avant de l'utiliser, ou qu'un hôpital signale si une IA commet une erreur. Bien que cette approche soit pratique, cela signifie que le filet de sécurité est souvent tissé autour de l'application de la technologie plutôt qu'autour de la technologie elle-même.
Les chercheurs ont également examiné qui effectue les contrôles. Dans de nombreux cas, les organismes responsables des tests d'IA sont les mêmes qui ont été créés pour d'autres fins, comme la régulation de la finance ou la protection des données. Ces agences existantes sont sollicitées pour assurer la surveillance de l'IA sans toujours disposer de la puissance technique spécifique pour le faire. De plus, les nouveaux instituts de sécurité que certains pays ont construits pour évaluer l'IA manquent souvent de l'autorité nécessaire pour arrêter un système dangereux s'ils en trouvent un. Ils peuvent mesurer le risque et publier un rapport, mais ils ne peuvent pas forcer le développeur à corriger le problème. C'est comme si un service de pompiers pouvait mesurer la chaleur d'un bâtiment et rédiger un rapport sur le danger, mais n'avait aucun pouvoir pour ordonner au propriétaire d'installer des gicleurs ou de fermer le bâtiment.
La conclusion la plus significative concerne le signalement des accidents. Lorsqu'un dommage grave se produit, qui est censé en informer les autorités ? L'étude a révélé que la moitié des nations interrogées n'ont aucune règle imposant à qui que ce soit de signaler un incident grave d'IA. Dans les pays qui possèdent de telles règles, les instructions sont souvent incomplètes. Une règle peut dire « signalez un accident », mais omet de préciser à qui le signaler, avec quelle rapidité cela doit être fait, ou ce qui se passe si personne ne le signale. Sans ces quatre éléments — le destinataire, le déclencheur, l'échéance et la conséquence — une règle de signalement n'est qu'une suggestion. Les chercheurs ont noté que cela laisse un angle mort : si un système d'IA échoue d'une manière qui ne cause aucune violation immédiate de données ou perte financière, il pourrait ne jamais être signalé, même si les dommages à long terme sont sévères.
Le document a également remis en question l'idée que plus de lois signifie une meilleure sécurité. Certains pays ont produit des dizaines de documents et de directives, créant une épaisse couche de paperasse. Pourtant, lorsque les chercheurs ont examiné le pouvoir juridique derrière ces documents, ils ont constaté que beaucoup n'étaient pas contraignants. Inversement, quelques pays ayant moins de documents avaient adopté des lois strictes et exécutoires. L'étude a montré que le nombre de règles d'un pays est un mauvais indicateur de la sécurité réelle de son environnement d'IA. Ce qui importe, c'est que les règles soient écrites de manière à pouvoir être appliquées et qu'elles atteignent les bonnes personnes.
En fin de compte, la carte dessinée par cette recherche montre un monde qui tente de rattraper une technologie qui évolue plus vite que ses lois. Les vingt nations se sont mises d'accord sur le vocabulaire de la sécurité — elles savent toutes qu'elles doivent évaluer les risques, tester les systèmes, interdire les mauvais usages et signaler les accidents. Mais elles n'ont pas encore trouvé d'accord sur la force de ces mots. Les règles sont souvent vagues, les définitions sont manquantes et les mécanismes d'application sont faibles. Les chercheurs suggèrent qu'avant que le monde puisse s'accorder sur un ensemble unique de règles internationales, ces nations individuelles doivent combler les lacunes de leurs propres systèmes. Elles doivent décider précisément ce qu'elles régulent, donner à leurs agences de sécurité le pouvoir d'agir et s'assurer que lorsqu'un problème survient, quelqu'un soit réellement tenu responsable. D'ici là, le filet de sécurité mondial pour l'intelligence artificielle reste criblé de trous, tissé de bonnes intentions mais manquant de la force nécessaire pour supporter le poids de la technologie qu'il est censé protéger.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.