Wortlaut

Les intelligences artificielles (IA), et surtout l'IA générative, se développent à la vitesse grand V. Dès lors, il faut se poser la question de savoir comment lutter contre les dommages potentiels, notamment sur le plan législatif.

Dans ce contexte, il faut distinguer le processus législatif et l'application du droit. Si la législation définit déjà des biens juridiques clairs, il n'est pas forcément nécessaire d'édicter une réglementation spécifique en ce qui concerne leur violation par des technologies IA, il suffit peut-être de modifier cette législation afin de faciliter l'application effective du droit. Dans sa réponse au postulat 23.3201, le Conseil fédéral a malheureusement refusé d'établir un état des lieux visant à identifier les lacunes qui font que notre système juridique n'est pas à la hauteur des évolutions dans le domaine des IA, et d'expliquer ce qu'il entend faire pour y remédier.

Pour chacun des domaines ci-après, je prie le Conseil fédéral de préciser s'il identifie un besoin d'intervenir, et si oui lequel, d'une part sur le plan législatif et, d'autre part, sur le plan de l'application du droit.

1. Les corpus destinés à entraîner les IA génératives ont besoin de quantités énormes de matériel tel que des images, des photos, des vidéos, des enregistrements vocaux, des textes, etc. - Leur utilisation relève-t-elle du droit d'auteur ? - Quelles exigences en dommages et intérêts les auteurs des oeuvres peuvent-ils faire valoir le cas échéant ? Des sociétés collectives de gestion des créations artistiques sont-elles impliquées ? Dans quelle mesure des données personnelles sont-elles utilisées illégalement dans ce contexte ?

2. Les IA prennent de plus en plus de décisions automatiques ou proposent des décisions que les personnes chargées du traitement n'ont plus qu'à valider - Les dispositions de la nouvelle LPD s'appliquent-elles ?

3. Utilisation d'images, de vidéos, de documents audios falsifiés pour imiter une vraie personne en violation du droit de la personnalité, en portant atteinte à la réputation, etc. - l'expérience montre qu'en cas de diffusion sur les réseaux sociaux, le droit s'applique difficilement et qu'à partir d'un seuil relativement élevé.

Stellungnahme des Bundesrates

1. La question de savoir si l'utilisation de contenus pour l'entraînement de l'IA générative constitue une utilisation relevant du droit d'auteur fait l'objet d'intenses discussions. Afin de déterminer dans quelle mesure l'IA générative doit être réglementée, des questions spécifiques sur l'utilisation de l'IA seront également soumises aux destinataires de la consultation sur une protection juridique des publications journalistiques (droit voisin des éditeurs), en même temps que l'avant-projet.

En ce qui concerne les données personnelles, il convient de retenir que les personnes privées traitant des données ne doivent pas porter une atteinte illicite à la personnalité des personnes concernées (art. 30, al. 1, de la loi révisée sur la protection des données [nLPD]; RO 2022 491). Il y a notamment atteinte à la personnalité lorsque des données personnelles sont traitées en violation des principes de la protection des données (art. 30, al. 2, let. a, nLPD). Une atteinte à la personnalité est illicite lorsqu'elle n'est pas justifiée par le consentement de la personne concernée, par un intérêt prépondérant privé ou public ou par la loi (art. 31, al. 1, LPD). Il n'y a généralement pas d'atteinte à la personnalité lorsque la personne a rendu ses données accessibles à tout un chacun et ne s'est pas opposée expressément à leur traitement (art. 30, al. 3, nLPD).

2. La nLPD prévoit des dispositions spécifiques en matière de décisions individuelles automatisées (notamment des obligations particulières en matière d'information et de renseignement ainsi que le droit de faire valoir son point de vue sur demande et d'exiger que la décision soit revue par une personne physique ; art. 21 et art. 25, al. 2, let. f, nLPD). Ces dispositions s'appliquent lorsque la décision repose exclusivement sur un traitement automatisé de données, sans intervention d'une personne physique. Seule une décision présentant un certain degré de complexité correspond à la définition. Il faut au surplus que la décision ait des effets juridiques pour la personne concernée ou l'affecter de manière significative.

Si l'IA est utilisée comme outil de préparation à la décision, alors il ne s'agit pas d'une décision individuelle automatisée au sens de la nLPD. Dans ce cas, les dispositions de la nLPD qui tiennent compte de l'utilisation de nouvelles technologies s'appliquent. En plus du principe de proportionnalité ou de finalité déjà en vigueur (art. 6, al. 2 à 4, nLPD), il convient désormais de mentionner le principe de la protection des données dès la conception (art. 7 nLPD) ou l'analyse d'impact relative à la protection des données (art. 22 s. nLPD).

Les dispositions de la nLPD concernant les décisions individuelles automatisées remplissent les exigences de la Convention 108+ du Conseil de l'Europe, ainsi que de la directive (UE) 2016/680 relative à la protection des données dans le domaine pénal. En outre, la législation suisse sur la protection des données se rapproche ainsi du règlement général de l'UE 2016/679 sur la protection des données. Il convient d'attendre que la nLPD entre en vigueur avant d'évaluer d'éventuels besoins d'adaptation.

3. Les dispositions de droit civil relatives aux atteintes à la personnalité (en particulier le droit à l'image et à la voix, le droit au respect de la vie privée et de l'intimité, le droit à l'honneur ; art. 28 ss. CC) et les voies de recours correspondantes (notamment la suppression ou la cessation) sont conçues de manière technologiquement neutre et donc aussi applicables à l'IA. Cependant, l'application du droit est incontestablement complexe en cas d'infractions en ligne en raison de l'anonymat possible et du caractère international d'internet. Le 5 avril 2023, le Conseil fédéral a chargé le DETEC d'élaborer, d'ici fin mars 2024, un projet de consultation sur la réglementation des grandes plateformes de communication, afin de contraindre celles-ci à mettre en place des mesures accessibles. Ce projet devrait suivre, lorsque c'est pertinent, les règles prévues par le règlement (UE) 2022/2065 du 19 octobre 2022 relatif à un marché unique des services numériques et modifiant la directive 2000/31/CE (règlement sur les services numériques).

Réponse du Conseil fédéral.