Quand un pont s'effondre, les avocats savent déjà comment identifier le responsable. Quand une pile IA échoue à travers modèle, cloud et intégrateur, l'enquête s'enlise. Des règles de responsabilité qui ne peuvent nommer de défendeur ne peuvent dissuader la défaillance suivante. C'est un problème de gouvernance, pas métaphysique.

Un traité qui ne peut pas attribuer de responsabilité pour une violation est un traité qui ne peut pas être appliqué, et ces questions sont véritablement difficiles pour une technologie comme l'IA.

Deux problèmes distincts

Ça aide de séparer deux choses souvent confondues. Responsabilité est la question juridique de savoir qui est responsable et doit supporter le coût en cas de dommage, une question d’allocation de la responsabilité tout au long de la chaîne développeur-déployeur-utilisateur. Attribution est la question factuelle et technique consistant à établir ce qui s'est réellement passé et qui en est responsable, en reliant une action nuisible à un système, un modèle ou un acteur précis. La gouvernance a besoin de réponses aux deux : des règles qui attribuent la responsabilité, et la capacité d'enquête permettant de déterminer les faits auxquels ces règles s'appliquent.

Pourquoi l'IA rend les deux difficiles

  • La chaîne causale est longue et diffuse. Un seul résultat néfaste peut impliquer un développeur de modèle de fondation, une entreprise qui a adapté le modèle, le déployeur et l'utilisateur final, chacun pouvant plausiblement désigner les autres.
  • Le comportement est émergent et opaque. Lorsqu'un système fait quelque chose qu'aucun de ses créateurs n'a spécifiquement prévu ou anticipé, les notions traditionnelles de faute et de négligence sont mises à l'épreuve.
  • L'attribution peut être techniquement insaisissable. Déterminer quel système a produit une sortie ou une action donnée (en particulier lorsque les modèles sont copiés, affinés ou exécutés en privé) peut être véritablement difficile sans mesures délibérées de traçabilité.
  • Les dommages peuvent franchir les frontières. Un système développé dans un pays, déployé dans un autre et causant des dommages dans un troisième soulève des questions juridictionnelles pour lesquelles le droit de la responsabilité ordinaire n'est pas conçu.

La dimension internationale

Au niveau des États, le droit international dispose déjà d'un cadre de responsabilité. Selon les règles établies de longue date en matière de responsabilité des États (codifiées dans les articles de la Commission du droit international), un État est responsable des actes internationalement illicites, y compris, dans des circonstances définies, du comportement d'acteurs privés qu'il dirige, contrôle ou ne parvient pas à réglementer. Un traité sur l'IA s'appuierait sur ce principe : les États seraient responsables de veiller à ce que les acteurs sur leur territoire se conforment et des conséquences d'un manquement. C'est ainsi qu'un traité qui lie les États se traduit par une responsabilité pour les entreprises privées qui construisent réellement l'IA de pointe.

Mais la responsabilité de l'État dépend de l'attribution, c'est-à-dire de la preuve qu'une violation a eu lieu et qu'elle est originaire de la juridiction d'un État donné. C'est là que la gouvernance rencontre la vérification : les mêmes outils de surveillance et de traçabilité qui détectent la non-conformité sont ceux qui rendent l'attribution, et donc la responsabilité, possibles. Les dispositions d'application d'un traité ne sont crédibles qu'en fonction de sa capacité à établir qui a fait quoi.

Ce dont un régime de gouvernance a besoin

1

Règles d'allocation claires

Le droit qui précise qui, tout au long de la chaîne de développement et de déploiement, porte la responsabilité de quels dommages, afin que la responsabilité ne se dissolve pas dans « la faute de personne ». Les cadres émergents, comme le travail du EU sur la responsabilité en matière d'IA, sont des tentatives précoces.

2

Traçabilité par conception

Des mesures techniques (journalisation, identification des modèles, enregistrements au niveau matériel) intégrées afin que les actions nuisibles puissent être retracées jusqu'à leur source, transformant l'attribution d'une supposition en preuve.

3

Une norme de soins

Obligations contraignantes imposées aux développeurs de systèmes de pointe, de sorte que leur non-respect établisse une faute et renverse la charge de la preuve sur ceux qui créent le risque.

4

Capacité d'attribution internationale

Vérification partagée et capacités médico-légales, afin que les violations puissent être établies au-delà des frontières et reliées aux États et acteurs responsables.

Une règle à laquelle personne ne peut être tenu n’est pas une règle. Avant de pouvoir faire respecter des limites sur l’IA dangereuse, nous devons pouvoir répondre à deux questions : qui est responsable, et comment le prouver. Ces réponses sont le fondement caché de tout traité crédible.

La fondation sous le traité

La responsabilité et l’attribution des faits sont rarement au cœur des appels à une gouvernance ASI, pourtant elles conditionnent tout. Un traité fixant des seuils et des interdictions sans mécanisme pour imputer une violation n’est qu’une déclaration d’intention, pas une règle contraignante. Construire les cadres juridiques qui répartissent la responsabilité tout au long de la chaîne d’approvisionnement de l’IA, ainsi que les capacités techniques permettant de remonter aux sources des dommages, fait donc partie des fondations du projet de traité, et non d’un volet séparé. Ce sont aussi des domaines où des progrès peuvent être réalisés dès maintenant, via le droit national de la responsabilité et des normes de traçabilité, avant et en appui de tout accord international. L’architecture visible de la gouvernance (lignes rouges, organe de surveillance) repose sur ce travail plus discret. Sans lui, l’application du traité reste une promesse impossible à tenir.