Le Conseil f\u00e9d\u00e9ral est charg\u00e9 d\u2019obliger l\u2019administration f\u00e9d\u00e9rale \u00e0 r\u00e9aliser une \u00e9tude d\u2019impact relative aux risques pour les droits fondamentaux et la soci\u00e9t\u00e9 lors de l\u2019utilisation de syst\u00e8mes fond\u00e9s sur l\u2019IA et sur des algorithmes. Cette obligation s\u2019appliquera \u00e0 tous les syst\u00e8mes que l\u2019administration f\u00e9d\u00e9rale utilise pour des proc\u00e9dures de d\u00e9cision ou d\u2019aide \u00e0 la prise de d\u00e9cision.
","ReasonText":"Les syst\u00e8mes fond\u00e9s sur l\u2019intelligence artificielle (IA) ou sur des algorithmes peuvent \u00e9tablir des pr\u00e9visions, faire de recommandation, prendre des d\u00e9cisions et g\u00e9n\u00e9rer du contenu. En Suisse, les administrations publiques testent ou utilisent de plus en plus ce type de syst\u00e8me. M\u00eame si ces syst\u00e8mes repr\u00e9sentent un moyen d\u2019am\u00e9liorer leur efficience, ils constituent aussi un risque en ce qui concerne les droits fondamentaux et les proc\u00e9dures d\u00e9mocratiques de l\u2019\u00c9tat de droit.
Ils peuvent notamment entra\u00eener la discrimination de certains groupes de populations. Aux Pays-Bas, des milliers de familles se sont retrouv\u00e9es en situation pr\u00e9caire lorsqu\u2019un algorithme discriminatoire leur a par erreur demand\u00e9 de rembourser des allocations \u00e9tatiques pour la garde d\u2019enfants. En Autriche, un algorithme charg\u00e9 de calculer la probabilit\u00e9 de r\u00e9insertion sur le march\u00e9 du travail a p\u00e9nalis\u00e9 des ch\u00f4meurs qui avaient des obligations d\u2019assistance, mais uniquement s\u2019il s\u2019agissait de femmes.
Les risques d\u00e9pendent du contexte, de la finalit\u00e9 et du type d\u2019application. C\u2019est pourquoi les autorit\u00e9s doivent syst\u00e9matiquement les analyser.
Un premier niveau de l\u2019analyse des risques permet d\u2019effectuer rapidement et sans trop d\u2019efforts un premier tri entre les applications risqu\u00e9es et moins risqu\u00e9es. Si ce premier tri r\u00e9v\u00e8le des risques, il faut alors proc\u00e9der \u00e0 une analyse d\u2019impact plus compl\u00e8te. Les r\u00e9sultats doivent \u00eatre transparents et donc publi\u00e9s dans un r\u00e9pertoire pr\u00e9vu \u00e0 cet effet.
La Convention du Conseil de l\u2019Europe sur l\u2019IA retient d\u00e9j\u00e0 la n\u00e9cessit\u00e9 d\u2019une telle analyse d\u2019impact. La Suisse devra donc mettre en place un m\u00e9canisme de ce type avant de pouvoir ratifier la convention. Le r\u00e8glement relatif \u00e0 la l\u00e9gislation sur l\u2019IA de l\u2019Union europ\u00e9enne pr\u00e9voit lui aussi une analyse de l\u2019impact sur les droits fondamentaux lors de l\u2019utilisation de syst\u00e8mes d\u2019IA \u00e0 risque \u00e9lev\u00e9 dans l\u2019administration publique et l\u2019assortit d\u2019une obligation de transparence.
Le droit actuel pr\u00e9voit d\u00e9j\u00e0 des instruments pour pr\u00e9venir d\u2019\u00e9ventuelles violations des droits fondamentaux en lien avec des syst\u00e8mes d\u2019intelligence artificielle (IA). Par exemple, en vertu de l\u2019art. 22 de la loi f\u00e9d\u00e9rale sur la protection des donn\u00e9es (LPD ; RS 235.1), les organes f\u00e9d\u00e9raux ont l\u2019obligation de proc\u00e9der \u00e0 une analyse d\u2019impact relative \u00e0 la protection des donn\u00e9es lorsque le traitement envisag\u00e9 est susceptible d\u2019entra\u00eener un risque \u00e9lev\u00e9 pour la personnalit\u00e9 ou les droits fondamentaux de la personne concern\u00e9e. Le recours \u00e0 une nouvelle technologie comme l\u2019IA peut constituer un facteur de risque notoire (cf. l\u2019Aide-m\u00e9moire du Pr\u00e9pos\u00e9 f\u00e9d\u00e9ral \u00e0 la protection des donn\u00e9es et \u00e0 la transparence concernant l\u2019analyse d\u2019impact relative \u00e0 la protection des donn\u00e9es personnelles (AIPD) au sens des art. 22 et 23 LPD ; www.edoeb.admin.ch > Protection des donn\u00e9es > Bases l\u00e9gales protection des donn\u00e9es > Principales nouveaut\u00e9s > Analyse d\u2019impact relative \u00e0 la protection des donn\u00e9es personnelles, page 12). Le risque \u00e0 prendre en compte peut aussi \u00eatre un risque mat\u00e9riel, comme un traitement de donn\u00e9es erron\u00e9 pouvant mener \u00e0 un refus d\u2019embauche (cf. Commentaire romand de la Loi f\u00e9d\u00e9rale sur la protection des donn\u00e9es, ad art. 22 LPD, N 24).
Les Directives du Conseil f\u00e9d\u00e9ral concernant l\u2019examen pr\u00e9alable des risques et l\u2019analyse d\u2019impact relative \u00e0 la protection des donn\u00e9es personnelles en cas de traitement de donn\u00e9es personnelles par l\u2019administration f\u00e9d\u00e9rale (Directives AIPD ; FF 2023 1882) pr\u00e9voient en outre que le d\u00e9partement responsable du dossier et la Chancellerie f\u00e9d\u00e9rale informent des r\u00e9sultats de l\u2019AIPD et, le cas \u00e9ch\u00e9ant, de la prise de position du PFPDT, notamment dans le rapport explicatif, le message et la brochure des Explications du Conseil f\u00e9d\u00e9ral (cf. art. 4.2, al. 3, Directives AIPD).
En outre, dans le domaine de l\u2019informatique, les directives en mati\u00e8re de cybers\u00e9curit\u00e9 pr\u00e9voient notamment une analyse des besoins de protection (Schuban) qui documente les exigences en mati\u00e8re de s\u00fbret\u00e9 de l\u2019information et de protection des donn\u00e9es (www.ncsc.admin.ch > Documentation > Directives de s\u00e9curit\u00e9 informatique > Proc\u00e9dure de s\u00e9curit\u00e9 > Appr\u00e9ciation des besoins de protection).
Le 22 novembre 2023 le Conseil f\u00e9d\u00e9ral a charg\u00e9 le DETEC (OFCOM) et le DFAE (Division Europe) de livrer un \u00e9tat des lieux de la r\u00e8glementation en mati\u00e8re d\u2019intelligence artificielle en Suisse et des approches de r\u00e9gulation possibles d\u2019ici fin 2024. La question de l\u2019\u00e9ventuelle introduction d\u2019une obligation de proc\u00e9der \u00e0 une analyse d\u2019impact sur les droits fondamentaux des syst\u00e8mes d\u2019IA et \u00e0 la publication de ses r\u00e9sultats est examin\u00e9e dans ce cadre, en particulier en lien avec l\u2019examen de la convention du Conseil de l\u2019Europe sur l\u2019IA, les droits de l\u2019homme, la d\u00e9mocratie et l\u2019Etat de droit. Le Conseil f\u00e9d\u00e9ral estime donc plus judicieux d\u2019attendre le r\u00e9sultat de ces travaux avant de d\u00e9cider si des obligations plus \u00e9tendues pour l\u2019administration f\u00e9d\u00e9rale sont n\u00e9cessaires.