Summit 2024 · Vers une souveraineté numérique européenne ? · 28 mai 2024 · Flagey, Bruxelles
Un avocat et le responsable produit d’une plateforme de conformité ont parcouru à Flagey, en mai 2024, les lois numériques européennes, de la cybersécurité à l’intelligence artificielle. Leur constat : le droit de la protection des données structure la plupart de ces textes, et sa logique vaut aussi pour l’IA.
L’essentiel
- Pour Jérôme Deroulez, les textes européens sur la souveraineté tournent en général autour de quatre idées
- Selon Alessandro Fiorentino, les systèmes d’IA à haut risque ajoutent des obligations, pas une autre méthode
- D’après l’un des intervenants, l’AI Act rend encore plus nécessaire une carte claire des données et des applications
À l’arrivée du règlement général sur la protection des données (RGPD), les délégués à la protection des données devaient parfois supplier les responsables de la sécurité de les aider. Le souvenir est celui d’Alessandro Fiorentino, responsable produit d’Adequacy, une plateforme de conformité au RGPD. Selon lui, la directive européenne NIS 2, sur la cybersécurité, pourrait inverser les rôles. Les responsables de la sécurité pourraient alors avoir besoin de leur délégué pour répondre aux nouvelles obligations documentaires.
Quatre idées pour une souveraineté
Jérôme Deroulez, avocat aux barreaux de Paris et de Bruxelles, a proposé une grille de lecture : « Quand on parle de souveraineté, en général, quand on regarde la documentation européenne, on tourne autour de quatre idées principales. »
La première idée est la sécurité, y compris le risque cyber et des questions industrielles comme la défense. La deuxième est la puissance normative, qui réaffirme les valeurs de l’Union européenne et sa Charte des droits fondamentaux. La troisième est l’innovation. La quatrième est l’ouverture : pour l’avocat, les règles européennes devraient avoir un réel effet d’entraînement au-delà de l’Union, comme le RGPD, devenu une référence mondiale pour la protection des données.
Le RGPD pour matrice
L’agenda législatif qu’il a décrit était très chargé. Il a cité le Digital Services Act et le Digital Markets Act, ainsi que le règlement sur l’espace européen des données de santé. Le volet cyber comprend la directive NIS 2, le règlement DORA pour le secteur financier et le Cyber Resilience Act. L’AI Act complète la liste. Au-delà des textes, il a pointé une « zone grise » : le rôle croissant des régulateurs, les transpositions nationales, les lignes directrices des autorités et les annexes. S’y ajoutent des rôles, comme producteur ou distributeur, que chaque texte définit différemment.
Jérôme Deroulez en a tiré plusieurs leçons. Le risque cyber est devenu un sujet urgent au niveau européen. Les obligations augmentent pour tous, et le principe de responsabilité, déjà présent dans le RGPD, est renforcé. Les entreprises doivent déterminer leur propre rôle et identifier les responsabilités de chacun dans la chaîne, sous-traitants et distributeurs compris. Les régulateurs gagnent en pouvoir, et de nouveaux régimes de sanctions apparaissent. Le champ des textes couvre tous ceux qui sont présents sur le marché européen, pas seulement les Européens.
À ses yeux, le droit de la protection des données structure la plupart de ces instruments. Dans l’AI Act, la gradation des systèmes selon le risque, des systèmes interdits aux systèmes à haut risque, et les analyses d’impact s’inspirent du RGPD.
Six vérifications avant l’IA
Alessandro Fiorentino a retenu deux textes, NIS 2 et l’AI Act. Pour lui, « la directive NIS 2 […] va faire rentrer la sécurité dans le monde du droit ». Derrière toute IA, il y aura des données, très probablement des données personnelles. La même logique s’applique donc.
Il a proposé six vérifications. Les trois premières portent sur le cadre juridique applicable, la finalité et la base légale. Suivent la compatibilité de tout traitement ultérieur avec la finalité initiale, l’analyse de risque et la protection des données dès la conception. Le conseil d’Alessandro Fiorentino : « Peu importe le projet d’IA que vous allez déployer, il faudra vraiment vérifier ces six points avant d’industrialiser […]. » Les systèmes à haut risque porteront plus d’obligations, mais la méthode reste la même.
Une référence au-delà de l’Europe ?
L’un des intervenants a observé que la cartographie des données et des applications devient encore plus importante avec l’AI Act. L’IA pourrait générer de nouveaux flux entre applications. Les organisations sans carte claire de leurs applications auraient alors plus de mal à se mettre en conformité.
Jérôme Deroulez a imaginé que l’AI Act devienne une référence non seulement en Europe, mais aussi à l’international, par exemple par sa façon de classer les systèmes d’IA. Il a laissé une question ouverte : l’Europe réussira-t-elle à bâtir un véritable corps de règles et une vraie souveraineté numérique ?
La troisième édition du French Tech Sovereignty Summit Brussels a lieu le 28 janvier 2027 chez BNP Paribas Fortis, à Bruxelles.