Un SaaS utilisant l'IA doit-il informer ses utilisateurs ?

Introduction

L’intégration de fonctions d’intelligence artificielle dans un SaaS soulève trois questions distinctes : la transparence, les données d’entraînement et la qualification du système.

La qualification du système

Le règlement européen sur l’intelligence artificielle gradue les obligations selon le niveau de risque.

Certaines pratiques sont interdites.

Les systèmes classés à haut risque, notamment ceux utilisés en matière de recrutement, d’accès à l’éducation, aux services essentiels ou de gestion des personnes, sont soumis à des obligations substantielles : gestion des risques, gouvernance des données, documentation technique, journalisation, transparence, contrôle humain, exactitude et robustesse.

Les autres systèmes relèvent principalement d’obligations de transparence.

Le calendrier d’application du règlement se déploie par étapes et a fait l’objet d’aménagements.

La qualification doit être conduite système par système et documentée : elle détermine l’ensemble des obligations.

Le rôle de l’éditeur

Le règlement distingue le fournisseur, qui développe ou fait développer un système et le met sur le marché sous son nom, et le déployeur, qui l’utilise sous sa propre autorité.

Un éditeur intégrant un modèle tiers dans son produit et le proposant sous son nom peut être qualifié de fournisseur pour le système ainsi constitué.

Cette qualification emporte des obligations bien plus lourdes que celles du simple déployeur, et doit être examinée avec précision.

Les obligations de transparence

Les personnes interagissant avec un système d’intelligence artificielle doivent en être informées, lorsque cela n’est pas évident au regard des circonstances.

Les contenus générés ou manipulés par un système doivent être identifiés comme tels, selon des modalités adaptées.

Pour un SaaS, cela se traduit par une information dans l’interface, à l’endroit où la fonction est utilisée, et non seulement dans les conditions d’utilisation.

Les données d’entraînement

C’est le point le plus examiné par les clients professionnels.

Utiliser les données des clients pour entraîner ou améliorer des modèles constitue un traitement pour une finalité propre à l’éditeur.

Il excède l’instruction du responsable de traitement et fait sortir l’éditeur de son rôle de sous-traitant pour ce traitement.

Il suppose donc une base légale propre, une information des personnes et, selon le contexte, le consentement du client.

Une clause générale des conditions d’utilisation autorisant l’usage des données à des fins d’amélioration du service est insuffisante lorsque l’usage consiste à entraîner un modèle exploité au bénéfice de tous les clients.

La pratique attendue consiste à prévoir une option, désactivée par défaut pour les offres professionnelles, avec une information explicite.

Les modèles tiers appelés depuis l’application

Chaque appel à un service tiers transmet des données.

Le fournisseur du modèle est un sous-traitant ultérieur : il doit figurer dans la liste communiquée aux clients, avec sa localisation et l’encadrement des transferts.

Ses conditions doivent être vérifiées, notamment quant à la réutilisation des saisies pour l’entraînement, fréquemment prévue dans les offres grand public et exclue dans les offres professionnelles.

Un éditeur qui appelle un modèle réutilisant les saisies transmet à un tiers, pour ses propres finalités, les données de ses clients.

Les décisions automatisées

Lorsque le produit fonde une décision produisant des effets juridiques ou affectant de manière significative, l’interdiction de principe des décisions exclusivement automatisées s’applique.

L’intervention humaine doit être réelle : la personne qui décide doit disposer de l’information, de la compétence et du pouvoir effectif de modifier le résultat.

Une validation formelle ne fait pas sortir du champ.

Le produit doit donc offrir aux clients les moyens d’exercer un contrôle humain effectif, et le documenter.

Les engagements envers les clients

Les contrats comportent désormais des stipulations spécifiques.

Interdiction ou encadrement de l’usage des données pour l’entraînement.

Engagements sur la localisation des traitements.

Information sur les modèles utilisés et leurs fournisseurs.

Garanties sur les contenus générés, notamment l’absence d’atteinte aux droits de tiers.

Modalités de désactivation des fonctions concernées.

Anticiper ces demandes dans le contrat type accélère les cycles de vente.

La documentation

Une fiche par système : finalité, qualification au regard du règlement, fournisseur du modèle, données traitées, localisation, mesures de contrôle humain, information délivrée aux utilisateurs.

Cette documentation répond simultanément aux exigences réglementaires et aux questionnaires clients.

Qualifier avant de déployer

Un système déployé sans qualification est difficile à régulariser. Notre expertise en intelligence artificielle conduit ces analyses.

En résumé

• La qualification du système détermine l’ensemble des obligations et doit être documentée.
• Intégrer un modèle tiers sous son nom peut conférer la qualité de fournisseur, aux obligations lourdes.
• Informer dans l’interface, pas seulement dans les conditions d’utilisation.
• L’entraînement sur les données clients suppose une base légale propre et une option explicite.
• Le fournisseur du modèle est un sous-traitant ultérieur, à déclarer et à encadrer.