Les nouvelles obligations de transparence encadreront les usages légitimes de l’intelligence artificielle. Elles ne contraindront cependant pas les fraudeurs à signaler les voix clonées, les fausses vidéos ou les contenus manipulés qu’ils diffusent.
L’AI Act impose progressivement de nouvelles responsabilités aux entreprises qui développent ou utilisent des systèmes d’intelligence artificielle. Selon le niveau de risque, elles devront renforcer la documentation, la gouvernance, la supervision humaine ou l’identification de certains contenus générés artificiellement. Cette évolution doit permettre aux utilisateurs de mieux comprendre quand ils interagissent avec une IA et d’identifier plus facilement les contenus produits par ces technologies. Elle crée néanmoins une asymétrie. Les entreprises respectant le cadre européen devront documenter leurs pratiques, tandis que les acteurs à l’origine des contenus les plus dangereux resteront volontairement en dehors de ces règles.
La conformité ne garantit pas la sécurité
Pour Tiberiu Cobzaru, Product Manager chez Bitdefender, cette limite empêche de considérer la transparence comme une protection suffisante. « Dans le même temps, ces nouvelles règles mettent en évidence une limite importante : elles s’appliquent principalement à ceux qui sont déjà disposés à les respecter. Les contenus générés par l’IA qui causent les préjudices les plus graves – notamment les deepfakes utilisés dans des escroqueries, des fraudes ou des usurpations d’identité – sont créés par des cybercriminels qui n’ont évidemment aucune intention de signaler qu’ils utilisent l’IA. Par conséquent, nombre des images, vidéos et enregistrements audio générés par l’IA les plus dangereux continueront de circuler sans aucune indication sur leur origine. »
Protéger aussi contre les contenus non déclarés
Pour les entreprises, respecter l’AI Act ne suffira donc pas à protéger les collaborateurs et les clients contre les contenus frauduleux. Une voix clonée ou une fausse vidéo pourra continuer de circuler sans label précisément parce que son efficacité repose sur la dissimulation de son origine.
La conformité et la cybersécurité répondent ainsi à deux besoins complémentaires. La première encadre les acteurs légitimes. La seconde doit permettre de détecter ceux qui ignorent volontairement les règles. L’entrée en application de nouvelles obligations ne met donc pas fin au risque. Elle rend plus visible la différence entre les contenus déclarés et ceux qui cherchent à ne pas l’être.
