Où les règles relatives à l'IA voient-elles réellement le jour ?

À la question de savoir qui réglemente l'intelligence artificielle, la plupart des gens répondent « le gouvernement » et citent des lois telles que l'AI Act de l'UE ou des stratégies nationales en matière d'IA, comme celles du Royaume-Uni, de la France ou de Singapour. En revanche, rares sont ceux qui pensent aux normes techniques. Les lois définissent les objectifs à atteindre : par exemple, la sécurité, la transparence ou le contrôle humain. Les normes techniques concrétisent ces exigences et décrivent comment celles-ci peuvent être mises en œuvre dans la pratique. Entre les deux se trouve le monde discret et hautement organisé des organismes de normalisation (Standards Development Organisations, SDO), que la plupart des gens ne voient jamais. Comprendre qui sont ces organisations, comment elles interagissent entre elles et où l’IA s’inscrit actuellement dans cette structure est indispensable pour les entreprises, les autorités de régulation et les chercheurs s’ils veulent avoir leur mot à dire sur la définition concrète d’une « IA digne de confiance ».

Trois niveaux, un seul système

La normalisation s’effectue à trois niveaux étroitement liés : national, régional et international.

Au niveau national, la participation à la normalisation est organisée par les organismes nationaux de normalisation (National Standards Bodies, NSB) et les comités nationaux (National Committees, NC). Ces organisations représentent leurs pays respectifs au sein de l’Organisation internationale de normalisation (ISO) et de la Commission électrotechnique internationale (CEI). Les NSB et les NC sont chargés de convoquer des comités miroirs nationaux sur des thèmes pertinents, au sein desquels se réunissent des experts issus de l’industrie, du monde scientifique, des pouvoirs publics et de la société civile. Ces comités élaborent des positions nationales et contribuent à l’élaboration de normes internationales et régionales.

Au niveau régional, l’Europe dispose du Comité européen de normalisation (CEN) et du Comité européen de normalisation électrotechnique (CENELEC), tous deux basés à Bruxelles. Leurs membres sont les NSB et les NC de plus de 30 pays européens, qui élaborent des positions communes par le biais de comités miroirs nationaux et délèguent des experts au sein des comités techniques et des groupes de travail européens. Les normes qui en résultent s’appliquent dans l’ensemble de l’Espace économique européen et peuvent, ce qui est déterminant, être élaborées en tant que «normes harmonisées». Celles-ci soutiennent la mise en œuvre de la législation de l’UE et peuvent, après la publication de leurs références au Journal officiel de l’Union européenne, fonder une présomption de conformité pour les produits et services au regard des exigences légales qu’elles couvrent.

Au niveau international, l’ISO et la CEI sont actives : ensemble, elles couvrent pour l’essentiel tous les domaines de la technique. L’ISO est une organisation internationale non gouvernementale comptant 177 membres nationaux. Elle regroupe plus de 50 000 experts et dispose d’un recueil de plus de 26 000 normes publiées. L’ISO est coordonnée par son secrétariat central à Genève. La CEI est également une organisation internationale non gouvernementale dont le siège est à Genève ; elle rassemble environ 30 000 experts issus de plus de 150 pays afin d’élaborer des normes internationales pour les technologies électriques, électroniques et connexes. Aucune de ces deux organisations ne rédige elle-même de normes ; elles désignent plutôt, par l’intermédiaire de leurs membres, des experts chargés de les élaborer. Toutes deux fonctionnent selon le principe strict « un pays, une voix », de sorte qu’une norme reflète un véritable consensus international et non les intérêts d’un marché particulier.

D'un point de vue formel, l’ISO et la CEI définissent une norme comme « un document élaboré par consensus et approuvé par un organisme reconnu, qui fournit des règles, des lignes directrices ou des caractéristiques pour des activités ou leurs résultats, dans le but d’atteindre un niveau optimal d’ordre dans un contexte donné ». Le consensus signifie «un accord général, caractérisé par l’absence d’opposition persistante sur des points essentiels», et non l’unanimité. Cette distinction est importante : les normes consensuelles peuvent être mises en œuvre plus rapidement que le droit des contrats tout en bénéficiant d’une large légitimité.

À quoi ressemblent ces trois niveaux d’un point de vue national ? En Suisse, la participation à la normalisation internationale et européenne s’effectue par l’intermédiaire de deux organisations : l’Association suisse de normalisation (SNV), membre de l’ISO et du CEN, ainsi qu’Electrosuisse, membre de la CEI et du CENELEC.

Maintenir l'équilibre entre l'Europe et le monde

Sans coordination, ces trois niveaux pourraient facilement évoluer dans des directions différentes. C'est précisément pour éviter cela qu'il existe deux accords. L'accord de Vienne, signé en 1991 par l'ISO et le CEN, a créé un cadre permettant de mener les travaux soit au niveau européen, soit au niveau international, l'autre organisation participant au processus et adoptant, le cas échéant, la norme qui en résulte. Le développement parallèle, les prises de position et la concertation visent à éviter les doublons et à garantir que les normes européennes et internationales restent harmonisées. Le principe directeur est le suivant : « Une norme, un essai, reconnue partout. » Trois décennies plus tard, plus de 5 500 documents ont été élaborés conjointement dans le cadre de cet accord, et environ une norme européenne sur trois est aujourd’hui identique à la norme ISO correspondante.

L’accord de Francfort, conclu en 2016 entre la CEI et le CENELEC et s’appuyant sur l’ancien accord de Dresde de 1996, remplit la même fonction dans le domaine de l’électrotechnique. Il offre un cadre pour la planification conjointe des travaux, le développement parallèle et la coordination parallèle, ce qui permet, dans la mesure du possible, à l’une des organisations de reprendre les normes élaborées par l’autre. En conséquence, environ 80 % des normes CENELEC sont désormais identiques aux normes CEI correspondantes ou s’appuient sur celles-ci.

Pour l’IA, ce dispositif n’est pas une simple note de bas de page historique : il influence activement, en ce moment même, la loi européenne sur l’IA (EU AI Act). Dans le cadre du mandat M/613, la Commission européenne a chargé le CEN et le CENELEC d’élaborer des normes harmonisées à l’appui de cette loi. Ce travail est mené par leur comité technique conjoint 21 « Intelligence artificielle » (Joint Technical Committee JTC 21). Créé en juin 2021, le JTC 21 rassemble plus de 300 expert·e·s issus de 20 pays. Plutôt que de partir de zéro, le JTC 21 adopte délibérément une double approche : chaque fois que cela s’avère judicieux, il reprend les travaux internationaux existants de son homologue international, l’ISO/IEC JTC 1/SC 42 « Intelligence artificielle », ou s’y adapte. Le JTC 21 n'élabore des documents de normalisation supplémentaires spécifiques à l'Europe que là où il existe de réelles lacunes – par exemple dans le domaine de la gestion des risques liés à l'IA et de la cybersécurité.

Bien que la Suisse ne fasse pas partie de l’Union européenne, la loi européenne sur l’IA (EU AI Act), en raison de sa portée extraterritoriale, concerne également les entreprises suisses qui commercialisent des systèmes d’IA sur le marché européen. Si la Suisse ne participe pas au processus législatif de l’UE, elle est toutefois pleinement intégrée au système européen de normalisation. Par l’intermédiaire de la SNV et d’Electrosuisse, les experts suisses contribuent directement aux normes élaborées dans le cadre du CEN et du CENELEC, y compris aux travaux du JTC 21 du CEN-CENELEC visant à soutenir la loi sur l’IA.

L'article 40 de l'AI Act (règlement (UE) 2024/1689) stipule que les systèmes d’IA conformes à des normes harmonisées, dont les références ont été publiées au Journal officiel de l’Union européenne (JOUE), bénéficient d’une présomption de conformité aux exigences correspondantes de la loi. En d’autres termes : dès lors que la référence d’une norme harmonisée a été publiée au JOUE, les entreprises peuvent s’en servir comme moyen reconnu et largement répandu pour démontrer leur conformité aux exigences légales correspondantes. C’est précisément pour cette raison qu’il est important de savoir qui participe à l’élaboration de ces normes.