FAQ – Pôle Droit - CNAI - Réseau de compétences en intelligence artificielle

Descriptif et délimitation des tâches du Pôle Droit

Le Pôle droit est un pôle de compétences pour les questions juridiques en lien avec l’intelligence artificielle (IA). Il a été mis en place au sein du Réseau de compétences en intelligence artificielle (CNAI). La Direction du droit international public (DDIP) et l’Office fédéral de la justice (OFJ) gèrent le Pôle Droit. L’objectif du Pôle Droit est de servir d’appui aux services de l’administration fédérale lorsqu’ils doivent résoudre des questions juridiques en lien avec l’IA. Il peut notamment procéder à la relecture d’une analyse effectuée par un service de l’administration fédérale ou répondre à des questions concrètes et spécifiques. Compte tenu de ressources limitées, le Pôle Droit ne peut en revanche pas fournir les prestations d’un « service juridique classique », en effectuant par exemple une analyse approfondie des enjeux juridiques qui se posent en lien avec l’utilisation d’un système d’IA, ou en accompagnant un projet dans son ensemble.

Dans le but de soutenir les services qui souhaitent recourir à des systèmes d’IA dans le cadre de leurs fonctions, le Pôle Droit a rassemblé des questions fréquentes afin de fournir des exemples concrets.

Il n’en demeure pas moins que chaque cas d’espèce doit être examiné individuellement et il ne saurait être déduit de ces réponses générales des indications valables dans tous les cas. Une analyse juridique approfondie devra être effectuée en toute hypothèse.

Nous relevons par ailleurs que, s’agissant des projets législatifs qui touchent à la numérisation, il est possible de s’adresser à l’unité Législation pour les questions de numérisation (RDI) de l’OFJ, laquelle se tient à disposition des services de l’administration pour fournir des conseils dès les premières phases de l’élaboration des bases légales.

Mise en place d’un Chatbot : enjeux de protection des données

Un service s’adresse au Pôle Droit dans le but de clarifier les questions juridiques relatives à un projet de Chatbot, notamment en ce qui concerne la protection des données et la conformité du projet avec le droit suisse. Ce service demande au Pôle Droit une analyse des bases juridiques relatives au projet ainsi que les éventuels coûts d’une telle analyse.

Réponse:
L’analyse juridique du projet doit être effectuée par le service juridique de l’office concerné et le Pôle Droit se tient à disposition en cas de questions concrètes.
S’agissant de la question relative à la protection des données, le nouveau droit prévoit une série d’exigences particulières pour les organes fédéraux. Sur le site Internet de l’OFJ, divers documents sont mis à la disposition des organes fédéraux, qui fournissent des indications générales ou spécifiques utiles, notamment lorsqu’il s’agit de préparer des bases légales pour un traitement de données (cf. FAQ « Où peut-on trouver des informations pertinentes en matière d’IA sur le site de l’OFJ »). Ces documents peuvent également être utiles dans le cadre de projets impliquant l’utilisation de systèmes d’IA, lorsque des données à caractère personnel sont traitées.
En particulier la note intitulée « Révision totale de la loi fédérale sur la protection des données (LPD) — Aperçu des principales modifications en vue de l’élaboration des bases légales concernant le traitement de données par les organes fédéraux » figurant sur le site de l’OFJ contient des développements spécifiques en rapport avec la thématique de l’IA dans l’administration fédérale (p. 18 s.).
Il peut être utile de procéder à une analyse d’impact en matière de protection des données à caractère personnel. De plus amples informations à ce sujet figurent aussi sur le site web de l’OFJ.
Le Pôle Droit se tient à disposition pour relire le résultat de l’analyse effectuée. Il n’y a pas de frais pour cela.

Mise en place d’un Chatbot : principe de la bonne foi

Un service s’adresse au Pôle Droit dans le but de clarifier les questions juridiques relatives à un projet de Chatbot, notamment en ce qui concerne la possibilité d’ajouter un « disclaimer » sur le manque de fiabilité des réponses données par celui-ci.

Réponse:
Il faut se demander dans quelle mesure l’ajout d’un « disclaimer » sur le manque de fiabilité des réponses suffit au regard de l’art. 9 Cst. (interdiction de l’arbitraire et respect de la bonne foi). La doctrine et la jurisprudence retiennent que cette garantie donne de manière générale le droit de ne subir aucun désavantage (ou préjudice) à raison d’un comportement d’un organe de l’Etat contraire aux règles de la bonne foi. Le Commentaire romand cite l’exemple d’une indication inexacte des voies de droit : un recours mal adressé ou tardif doit alors être déclaré recevable, si le recourant s’est fié à l’indication et s’il ne s’est pas aperçu – et ne devait pas s’apercevoir – de l’erreur en y prêtant l’attention commandée par les circonstances. Si l’inexactitude des renseignements fournis par le chatbot est grossière, cela ne devrait pas porter à conséquence. Toutefois, on peut imaginer que des indications d’apparence plausibles incitent un administré à un certain comportement (par ex. indication erronée sur des délais) et que dans ce cas l’autorité devrait en tenir compte afin que l’administré n’en subisse pas un désavantage. En tout état de cause, l’avertissement donné aux utilisateurs concernant la non fiabilité des renseignements donnés par le chatbot devrait être particulièrement visible et même sauter aux yeux, afin que l’administré sache que s’il veut un renseignement fiable, il doit passer par un autre canal.

Robot comme User informatique

Un service a pris contact avec le Pôle Droit pour savoir si et dans quelles conditions un « robot » pouvait avoir des droits d’accès à un système et effectuer des transactions en tant qu’utilisateur.
Plus précisément, ce service a posé les questions suivantes :

Cadre juridique général : Existe-t-il un cadre juridique concernant le recours à des robots en tant qu’utilisateurs de systèmes informatiques dans l’administration publique ?

Responsabilités et conformité : Quels sont les aspects de conformité et de responsabilité que nous devons prendre en compte pour l’utilisation de robots dans ce contexte ?

Protection des données : Quels sont les impacts potentiels sur la protection des données et comment devons-nous les gérer ?

Recommandations pratiques : Existe-t-il des recommandations ou des bonnes pratiques à suivre pour assurer que l’intégration des robots se fasse dans le respect des normes légales et éthiques ?

Réponse:
Cadre juridique général :
Nous n’avons pas connaissance d’un cadre juridique existant spécifique au recours à des robots en tant qu’utilisateurs de systèmes informatiques. Les principes juridiques pertinents de l’ordre juridique suisse sont toutefois applicables à une telle situation, conformément à l’approche technologiquement neutre suivie par le législateur suisse. En particulier, les disposions de la Constitution, de la LPD, de la loi fédérale sur la procédure administrative (PA), du Code des obligations (CO), du Code civil (CC), du Code pénal (CP), de la loi fédérale sur la responsabilité de la Confédération, des membres de ses autorités et de ses fonctionnaires (LRCF) ou de la loi fédérale sur la sécurité de produits doivent être respectées.

Responsabilité et conformité :
Les bases légales citées ci-avant sont notamment pertinentes aussi en matière de responsabilité et conformité.

Protection des données :
Si le robot utilisé constitue un système d’IA et implique le traitement de données personnelles, il devra être soumis à une analyse d’impact selon la LPD s’il est susceptible d’entraîner des risques élevés pour les droits fondamentaux des personnes concernées. Par ailleurs, si l’utilisation du système d’IA conduit à une décision individuelle automatisée, les droits et obligations des art. 21 et 25 al. 2 let. f LPD devront être respectés. Enfin, les exigences de base légales prévues par l’art. 34 LPD s’appliquent. D’une manière générale, pour ce qui concerne la protection des données et les systèmes d’IA, il est renvoyé aux différents documents qui sont mis à disposition sur le site de l’OFJ : https://www.bj.admin.ch/bj/fr/home/staat/datenschutz/info-bundesbehoerden.html

Recommandations pratiques :
Les décisions automatisées (purement mécaniques) doivent être vérifiées par un humain. Le personnel qui utilise ces systèmes reçoit une formation appropriée afin de comprendre comment le système fonctionne dans les grandes lignes, ce qui lui permettra de questionner les résultats proposés par la machine.
Si le système est habilité à prendre des décisions, l’interaction avec un système d’IA ainsi que les décisions qu’ils prend doivent être clairement identifiables comme telles.
Dans le but de favoriser la transparence, le projet d’IA peut être annoncé au CNAI (Réseau de compétences en intelligence artificielle) de l’OFS, pour qu’il figure dans la banque de données des projets d’IA de la Confédération.
D’une manière générale, les lignes directrices de la Confédération en matière d’IA sont observées.

Transcription de procès-verbaux par un robot

Existe-t-il des dispositions légales prévoyant qu’un procès-verbal doit obligatoirement être rédigé par un être humain ou serait-il également conforme à la loi si, à l’avenir, la transcription était entièrement réalisée par un programme d’intelligence artificielle ?

Réponse:
L’enregistrement complet d’une audition sous forme numérique ne constitue pas un substitut adéquat au procès-verbal. Afin de respecter le droit d’être entendu de la personne concernée (art. 29, al. 2, Cst.), le procès-verbal doit relater par écrit les faits qui sont essentiels pour la suite de la procédure. En revanche, il n’existe pas d’obligation constitutionnelle de verser au dossier une copie complète de l’audition. Un procès-verbal limité au contenu essentiel de l’audition est suffisant.

Il existe quelques solutions logicielles qui transcrivent automatiquement les fichiers audios à l’aide d’un système d’IA. L’administration peut en principe utiliser un tel logiciel de transcription — comme mentionné — en tant qu’outil. L’administration qui utilise ce logiciel a toutefois l’obligation de vérifier la qualité de la transcription. Cela vaut également pour une transcription complète et littérale. Il convient notamment d’examiner si les mots utilisés ont été transcrits correctement et si la communication non verbale a été prise en compte. Il est donc nécessaire qu’une personne ayant participé à l’audition vérifie la transcription. L’autorité porte la responsabilité — même si elle utilise un logiciel de transcription comme aide — de veiller à ce que (au moins) les faits essentiels pour la suite de la procédure soient consignés. Conformément au droit de procédure, il incombe également à l’autorité de constater les faits (art. 12 PA). Si le logiciel de transcription est utilisé dans ce sens, l’action de l’Etat est conforme à l’ordre juridique, c’est pourquoi il n’y a rien à objecter d’un point de vue juridique.

En conclusion, la rédaction du procès-verbal ne peut certes pas être « entièrement » confiée à un système d’IA. Il est toutefois possible pour l’administration d’utiliser une solution logicielle comme outil, à condition qu’une personne ayant participé à l’audition vérifie la qualité de la transcription. Les autres conditions de procédure administrative demeurent réservées, notamment le droit d’être entendu de la personne concernée.

Où peut-on trouver des informations pertinentes en matière d’IA sur le site de l’OFJ

www.bj.admin.ch > Etat & Citoyen > Protection des données > Questions et réponses concernant la protection des données
- FAQ Droit de la protection des données : Décision individuelle automatisée, ch. 6.2 / Profilage, ch. 2.3 / Analyse d’impact relative à la protection des données, ch. 6.3
www.bj.admin.ch > Etat & Citoyen > Protection des données > Informations destinées aux organes fédéraux
- Révision totale de la loi fédérale sur la protection des données (LPD) – Aperçu des principales modifications en vue de l’élaboration des bases légales concernant le traitement de données par les organes fédéraux : Décisions individuelles automatisées, ch. 2.2.1 let. c (avec des développements spécifiques sur l’IA) / Profilage, ch. 2.2.1 let. b / Analyse d’impact relative à la protection des données, ch. 4.3
- Guide de législation en matière de protection des données : Décision individuelle automatisée : ch. 2.3.4 et 3.2.3 / Soutien automatisé à la prise de décision individuelle grâce à des systèmes d’algorithmes, ch. 2.3.5 et 3.2.3 / Profilage, ch. 2.3.3 et 3.2.2
- Instrument d’examen préalable des risques (Tabelle excel)
- Guide AIPD, p. 3 et 17