L’apprentissage machine et l’intelligence artificielle pour améliorer la cybersécurité

5 juin 2020

Nouveaux enjeux

L’arrivée de la COVID-19 a bousculé le fonctionnement de plusieurs entreprises. Certaines se sont tournées vers le télétravail. D’autres ont été forcées de développer rapidement une offre de service en ligne. Cette évolution accélérée a propulsé la cybersécurité au premier plan, notamment quant aux renseignements personnels et aux secrets commerciaux qui peuvent ainsi faire l’objet de divulgations involontaires.

Les risques de cybersécurité proviennent des pirates informatiques, mais aussi souvent d’erreurs de configuration des outils déployés par une entreprise et d’usagers négligents. Afin de gérer les risques de cybersécurité, une des meilleures stratégies est souvent de tenter de trouver les failles d’un système avant une attaque, par exemple en effectuant des tests d’intrusions. Ce genre de tests a évolué grandement au cours des dernières années, passant d’essais-erreurs ciblés à des approches plus larges et systématiques.

Ce que l’apprentissage machine apporte à l'entreprise

L’apprentissage machine, et l’intelligence artificielle au sens plus large, permet entre autres de mieux reproduire le comportement humain, et donc celui d’un hypothétique usager négligent ou d’un pirate informatique. Les tests d’intrusion peuvent donc être plus efficaces lorsqu’ils sont infusés d’intelligence artificielle.

Arachni est un exemple d’apprentissage machine relativement simple. Il s’agit d’un logiciel libre (open source) visant à évaluer la sécurité d’applications Web, faisant notamment partie de la distribution Kali Linux très connue pour les tests d’intrusion en informatique. Arachni utilise une variété de techniques avancées, mais il est de plus possible d’entraîner ce logiciel afin qu’il découvre plus efficacement les vecteurs d’attaques auxquels les applications sont le plus exposées¹. Plusieurs autres logiciels de cybersécurité comportent maintenant de telles capacités d’apprentissage.

L’intelligence artificielle peut aller encore beaucoup plus loin. Les usages possibles de l’intelligence artificielle dans le cadre de la cybersécurité incluent notamment² :

la réduction du temps de réaction en cas d’attaques par des logiciels malveillants;
la détection plus efficace des tentatives d’hameçonnage (phishing);
une compréhension contextualisée des anomalies de comportement des usagers.

IBM a récemment produit un document expliquant comment sa suite QRadar, qui incorpore de l’intelligence artificielle, peut réduire le fardeau des gestionnaires en matière de cybersécurité.

À retenir :

L’être humain demeure central dans les enjeux de cybersécurité. Non seulement les gestionnaires doivent comprendre les enjeux de cybersécurité, y compris ceux qui sont créés par l’intelligence artificielle, mais ils doivent aussi instaurer des directives claires pour les usagers et s’assurer du respect de celles-ci.

À cet égard, il est important de sensibiliser ces gestionnaires informatiques aux enjeux juridiques liés aux mesures qui sont imposées aux usagers :

Il faut se garder d’une surveillance trop intrusive ou constante des employés d’une entreprise. Il peut être opportun de consulter un avocat en droit du travail pour s’assurer que les mesures envisagées sont compatibles avec le droit applicable.
Il faut comprendre les enjeux juridiques liés à une fuite de données ou à une brèche de sécurité. Certains renseignements personnels (par ex., les données médicales) sont plus sensibles et les conséquences d’une brèche de sécurité sont plus grandes. Il peut être utile d’établir un dialogue entre les responsables de la sécurité informatique et un avocat agissant en matière de renseignements personnels.
Enfin, les secrets commerciaux d’une entreprise nécessitent parfois des mesures de protection plus strictes que d’autres renseignements d’entreprise. Il peut être important que la stratégie de propriété intellectuelle de l’entreprise intègre les mesures de sécurité informatique.

https://resources.infosecinstitute.com/web-application-testing-with-arachni/#gref
https://www.zdnet.com/article/ai-is-changing-everything-about-cybersecurity-for-better-and-for-worse-heres-what-you-need-to-know/; https://towardsdatascience.com/cyber-security-ai-defined-explained-and-explored-79fd25c10bfa
Beyond the Hype, AI in your SOC, publié par IBM; voir aussi : https://www.ibm.com/ca-en/marketplace/cognitive-security-analytics/resources

Retour à la liste des publications

Écrit par

Eric Lavallée
Associé, Agent de marques de commerce et Avocat

Restez à l'affût des nouvelles juridiques de l'heure. Abonnez-vous à notre infolettre.

M'abonner aux publications

Publications qui pourraient vous intéresser

15 avril 2024

L’intelligence artificielle peut-elle être désignée comme inventeur dans une demande de brevet?

De plus en plus développée, l’intelligence artificielle (l’« IA ») créée par l’humain serait maintenant à son tour capable de création autonome, ouvrant la porte à une reconceptualisation de la notion d’inventeur en droit des brevets. Dans un arrêt récent, la Cour suprême du Royaume-Uni a toutefois conclu qu’un système d’intelligence artificielle ne peut pas être l’auteur d’une invention au sens de la réglementation applicable en matière d’octroi de brevets. Cette prise de position rejoint celle de plusieurs autres tribunaux à travers le monde s’étant déjà prononcés sur la question. Qu’en est-il au Canada, où les tribunaux ne se sont pas encore penchés sur l’enjeu? Dans ce bulletin, nous revenons sur la décision de la Cour suprême du Royaume-Uni et sur les décisions équivalentes rendues dans d’autres pays pour ensuite explorer la perspective canadienne. “an inventor must be a person” : La Cour suprême du Royaume-Uni se prononce dans Thaler (Appellant) v Comptroller-General of Patents, Designs and Trade Mark 1 Résumé de la décision En 2018, Dr Stephen Thaler dépose des demandes de brevet pour deux inventions décrites comme ayant été générées par un système d’IA autonome. La machine en question, DABUS, est donc désignée dans les demandes comme l’inventeur. Le Dr Thaler prétend qu’en tant que propriétaire de DABUS, il est en droit de déposer une demande de brevet pour les inventions générées par sa machine. Dans de telles circonstances, il ne serait pas tenu de nommer une personne physique comme inventeur. Tant la Haute Cour de justice que la Cour d’appel rejettent son appel de la décision de l’Office de la propriété intellectuelle du Royaume-Uni. Ce dernier avait décidé de ne pas donner suite aux demandes de brevet, notamment en raison de la désignation inadéquate de l’inventeur au sens du Patents Act 1977. La Cour suprême du Royaume-Uni, la dernière instance d’appel du pays, rejette également son recours. Dans une décision unanime, elle conclut que la loi est claire : « an inventor within the meaning of the 1977 Act must be a natural person, and DABUS is not a person at all, let alone a natural person: it is a machine ».2 Il n’est pourtant pas remis en question que DABUS a bel et bien créé les inventions en l’espèce. Cela n’implique pas pour autant que la notion d’inventeur au sens de la loi puisse être élargie par les tribunaux pour inclure les machines. Une tendance qui se maintient La Cour suprême du Royaume-Uni n’est pas la première à ne pas se laisser convaincre par les arguments du Dr Thaler. Tant les États-Unis3 que l’Union européenne4 et l’Australie5 ont adopté des positions similaires et concluent que seul un être humain peut se qualifier d’inventeur au sens de la législation applicable dans leur juridiction respective. La décision anglaise s’inscrit en effet dans une tentative à l’échelle mondiale entreprise par le Artificial Inventor Project de faire reconnaître l’inventivité de la machine DABUS, et par le fait même de l’IA de manière générale, comme capable de générer des droits de brevet au bénéfice des propriétaires de systèmes d’IA. À ce jour, seule l’Afrique du Sud a émis un brevet au Dr Thaler mentionnant DABUS comme inventeur.6 Ce pays se présente ainsi comme l’exception qui confirme la règle. Cependant, le Bureau de l’enregistrement pour des sociétés et de la propriété intellectuelle de l’Afrique du Sud n’examine pas les demandes sur le fond. Aucun motif n’a donc été fourni qui indiquerait que la question de l’IA comme inventeur ait été considérée. Plus récemment, en février dernier, le Bureau américain des brevets et des marques de commerce a publié une directive sur les inventions créées avec l’assistance de l’IA. Celle-ci confirme la position judiciaire et indique notamment que "a natural person must have significantly contributed to each claim in a patent application or patent".7 Qu’en est-il au Canada? En 2020, le Dr Thaler a également déposé une demande de brevet canadien pour les inventions générées par DABUS.8 L’Office de la propriété intellectuelle du Canada (l’« OPIC ») a émis un avis de non-conformité en 2021, établissant ainsi sa position à première vue : Because for this application the inventor is a machine and it does not appear possible for a machine to have rights under Canadian law or to transfer those rights to a human, it does not appear this application is compliant with the Patent Act and Rules.9 Cependant, l’OPIC précise être ouvert à recevoir les arguments du demandeur sur la question : Responsive to the compliance notice, the applicant may attempt to comply by submitting a statement on behalf of the Artificial Intelligence (AI) machine and identify, in said statement, himself as the legal representative of the machine.10 À ce jour, aucun avis d’abandon de la demande n’a été émis par l’OPIC et celle-ci demeure active. Son statut au Canada est donc incertain. Il sera intéressant de voir si, après avoir subi de nombreux échecs dans les autres pays du monde et s’être tout juste fait confirmer l’invalidité de sa demande par la Cour suprême du Royaume-Uni, le Dr Thaler tentera maintenant de convaincre les tribunaux canadiens. A priori, la Loi sur les brevets11 (la « Loi ») ne représente pas un frein à une reconnaissance d’un système d’IA comme inventeur d’une invention brevetable. En effet, la Loi ne définit pas le terme « inventeur ». Qui plus est, il n’y a aucune référence à l’exigence d’une « personne » dans la définition d’un demandeur ni indication en ce sens dans les dispositions régissant la délivrance de brevets. Les Règles sur les brevets12 n’offrent pas non plus de précision. L’exigence qui serait sous-entendue par un emploi clair du terme « personne » par le législateur dans le libellé des articles de la loi est importante : il s’agissait d’une considération clé de l’analyse de la Cour suprême du Royaume-Uni dans Thaler. La jurisprudence demeure également équivoque. Selon la Cour suprême du Canada, il faut se demander « [q]ui est l’auteur de l’idée originale » puisque l’inventeur est celui qui a participé à la conception de l’invention.13 Par comparaison, nous notons toutefois qu’il a été conclu qu’une personne morale ne pouvait être envisagée comme inventeur par opposition à une personne physique.14 Force est de constater que les tribunaux canadiens n’ont jamais eu à trancher la question spécifique de l’IA comme inventeur et qu’en attendant une telle décision judiciaire ou prise de position par le législateur, la question demeurera ouverte. Conclusion Au vu de l’incertitude en droit canadien à savoir si l’IA peut être reconnue comme inventeur, il serait opportun pour les autorités canadiennes de clarifier la question. Comme suggéré par la Cour suprême du Royaume-Uni, la place de l’IA en droit des brevets est un enjeu de société actuel, et il reviendra ultimement au législateur de se prononcer.15 En ce sens, un amendement à la Loi ou l’émission d’une directive par l’OPIC se font toujours attendre. Plus encore, outre la qualification juridique de l’IA comme inventeur, il faudra déterminer si une personne peut autrement se voir accorder des droits sur une invention créée dans les faits par l’IA. En effet, la possibilité pour le propriétaire de l’IA d’être titulaire d’un brevet sur l’invention générée par sa machine était aussi une question soulevée dans Thaler. Encore une fois, contrairement à la loi anglaise,16 notre Loi sur les brevets ne ferme pas la porte à cette éventualité. Notamment, la législation canadienne n’établit pas une liste exhaustive des catégories de personnes pouvant obtenir un brevet. S’il fallait vraiment revoir le système, il serait peut-être plus à propos de permettre la titularité des droits de brevet par le propriétaire de l’IA plutôt que de reconnaître l’IA comme inventeur. En effet, le système de propriété intellectuelle trouve sa justification première dans le fait de favoriser l’innovation et la créativité. Une négociation implicite sous-tend l’octroi de droits de brevet : une forte protection est accordée en échange d’une divulgation suffisante pour permettre à une personne versée dans l’art de reproduire l’invention. On s’assure ainsi d’une contribution à la société tout en récompensant l’inventeur. Il est évidemment plus difficile de soutenir qu’une machine nécessite un tel incitatif. Désigner l’IA comme inventeur et lui octroyer des droits en ce sens s’accorde donc mal avec la raison d’être d’une protection par brevet. En revanche, son propriétaire pourrait être justifié de réclamer une telle protection pour les inventions créées par sa machine, ayant investi temps et énergie dans la conception de l’IA. Dans l’état actuel du droit, une intervention du législateur serait vraisemblablement nécessaire. Est-ce qu’une telle proposition permettrait de favoriser l’innovation dans le domaine de l’IA générative? Cela dit, nous investissons collectivement énormément de ressources « humaines » pour le développement de solutions d’IA de plus en plus performantes. Arrivera-t-il un moment où nous ne pourrons plus considérer que des ressources humaines ont été investies pour les technologies créées par l’IA? Dans un tel cas, favoriser les propriétaires de solutions d’IA pourrait devenir contre-productif. Quoi qu’il en soit, une position prudente consiste pour le moment à insister sur l’apport humain à l’invention créée avec l’aide de l’IA, de façon à mettre de l’avant une personne comme inventeur plutôt que l’IA. Quant aux inventions conçues entièrement par un système d’IA, une protection par les secrets d’affaires serait davantage à envisager. Les professionnels de notre équipe de propriété intellectuelle sont à votre disposition pour vous accompagner dans vos démarches d’enregistrement de brevets et démystifier ces enjeux avec vous. [2023] UKSC 49 [Thaler]. Ibid au para 56. Voir la décision de la Cour d’appel des États-Unis pour le circuit fédéral dans Thaler v Vidal, 43 F. 4th 1207 (2022) (requête pour appel à la Cour suprême des États-Unis rejetée). Voir la décision de la Chambre de recours juridique de l’Office européen des brevets dans J 0008/20 (Designation of inventor/DABUS) (2021) (demande de renvoi des questions à la Grande Chambre de recours rejetée). Voir la décision de la Full Court de la Cour fédérale d’Australie dans Commissioner of Patents v Thaler, [2022] FCAFC 62 (requête pour appel à la Haute Cour d’Australie rejetée). ZA 2021/03242. Federal Register: Inventorship Guidance for AI-Assisted Inventions. CA 3,137,161. Lettre du bureau datée du 11 février 2022 dans le cadre de la demande de brevet canadien 3137161. ibid. LRC 1985, c P-4. DORS/2019-251. Apotex Inc. c. Wellcome Foundation Ltd., 2002 CSC 77 aux paras 96-97. Sarnoff Corp. c. Canada (Procureur général), 2008 CF 712 au para 9. Thaler, aux paras 48-49, 79. Ibid au para 79.

Lire la suite
27 novembre 2023

Les grandes oubliées de l’intelligence artificielle: réflexion sur des lois applicables aux technologies de l’information

Alors que les législateurs, au Canada1 et ailleurs2, tentent de mieux encadrer le développement et l’usage de technologies d’intelligence artificielle, il est important de se rappeler que ces technologies se qualifient aussi dans la famille plus large des technologies de l’information. Depuis 2001, le Québec s’est doté d’une loi visant à encadrer les technologies de l’information. Trop souvent oubliée, cette loi trouve application directement dans l’utilisation de certaines technologies d’intelligence artificielle. La notion très large de documents technologiques D’une part, les documents technologiques visés par cette loi sont définis pour inclure toute forme d’information délimitée, structurée et intelligible3. La loi donne quelques exemples de documents technologiques visés par divers textes législatifs, y incluant des formulaires en ligne, des rapports, des photographies, des diagrammes et même des électrocardiogrammes! On peut donc comprendre que cette notion s’applique sans difficulté à divers formulaires des interfaces d’utilisation de diverses plateformes technologiques4. Qui plus est, ces documents technologiques ne sont pas limités à des renseignements personnels. Cela peut aussi viser des renseignements relatifs à des entreprises ou à divers organismes, qui sont hébergés sur une plateforme technologique. À titre d’exemple, la Cour supérieure a récemment appliqué cette loi pour reconnaître la valeur probante de lignes directrices de pratique et de normes techniques en matière d’imagerie médicale qui étaient accessibles sur un site web5. Une décision plus ancienne a aussi reconnu l’admissibilité en preuve du contenu d’agendas électroniques6. À cause de leur lourdeur algorithmique, plusieurs technologies d’intelligence artificielle sont offertes sous forme de logiciel en tant que service ou de plateforme en tant que service. Dans la plupart des cas, l’information saisie par une entreprise utilisatrice est transmise sur des serveurs contrôlés par le fournisseur, où elle est traitée par des algorithmes d’intelligence artificielle. C’est souvent le cas des systèmes avancés de gestion de la relation client (souvent désignés sous l’acronyme anglais CRM) et d’analyse de dossiers électroniques. C’est aussi le cas également d’une panoplie d’applications visant la reconnaissance vocale, la traduction de documents et l’aide à la décision pour des employés de l’utilisatrice. Dans le contexte de l’intelligence artificielle, les documents technologiques s’étendent donc vraisemblablement à ce qui est ainsi transmis, hébergé et traité sur des serveurs à distance. Des obligations réciproques La loi prévoit des obligations spécifiques lorsque des prestataires de services, notamment des fournisseurs de plateforme informatique, doivent garder de l’information. Citons l’article 26 de la loi : «26. Quiconque confie un document technologique à un prestataire de services pour qu’il en assure la garde est, au préalable, tenu d’informer le prestataire quant à la protection que requiert le document en ce qui a trait à la confidentialité de l’information et quant aux personnes qui sont habilitées à en prendre connaissance. Le prestataire de services est tenu, durant la période où il a la garde du document, de voir à ce que les moyens technologiques convenus soient mis en place pour en assurer la sécurité, en préserver l’intégrité et, le cas échéant, en protéger la confidentialité et en interdire l’accès à toute personne qui n’est pas habilitée à en prendre connaissance. Il doit de même assurer le respect de toute autre obligation prévue par la loi relativement à la conservation du document.» (note : nos soulignements) Cet article impose donc un dialogue entre l’entreprise qui désire utiliser une plateforme technologique et le fournisseur de cette plateforme. D’une part, l’entreprise utilisatrice de la plateforme doit informer le fournisseur de la protection requise pour les renseignements qu’elle déposera sur la plateforme technologique. D’autre part, ce fournisseur a l’obligation de mettre en place des moyens technologiques de nature à en assurer la sécurité, l’intégrité et la confidentialité, correspondant à la protection requise qui lui est communiquée par l’utilisatrice. La loi ne spécifie pas quels moyens technologiques doivent être mis en place. Ces mesures doivent toutefois être raisonnables eu égard à la sensibilité des documents technologiques impliqués, du point de vue d’une personne possédant une expertise dans le domaine. Ainsi, un fournisseur qui offrirait une plateforme technologique comportant des modules désuets ou comportant des failles de sécurité connues se déchargerait-il de ses obligations en vertu de la loi? Cette question doit s’analyser dans le contexte de l’information que l’utilisatrice de la plateforme lui a transmise quant à la protection requise pour les documents technologiques. Un fournisseur ne doit toutefois pas cacher les risques liés à la sécurité de sa plateforme informatique à l’utilisatrice, ce qui irait à l’encontre des obligations d’information et de bonne foi des parties. Des individus sont impliqués? À ces obligations, il faut ajouter aussi la Charte des droits et libertés de la personne, qui s’applique également aux entreprises privées. Les entreprises qui traitent l’information pour le compte d’autrui doivent le faire dans le respect des principes de la Charte lorsqu’il s’agit de traiter des renseignements concernant divers individus. À titre d’exemple, si un fournisseur d’une plateforme informatique de gestion de la relation client offre des fonctionnalités permettant de classifier les clients ou d’aider les entreprises à répondre à leurs demandes, ce traitement d’information doit demeurer exempt de biais fondés sur la race, la couleur, le sexe, l’identité ou l’expression de genre, la grossesse, l’orientation sexuelle, l’état civil, l’âge (sauf dans la mesure prévue par la loi), la religion, les convictions politiques, la langue, l’origine ethnique ou nationale, la condition sociale, le handicap ou l’utilisation d’un moyen pour pallier ce handicap7. Un algorithme d’intelligence artificielle ne devrait en aucun cas suggérer à un commerçant de refuser de conclure des contrats avec un individu sur une telle base discriminatoire8. De plus, une personne qui recueille des renseignements personnels à l’aide de technologies permettant le profilage d’individus doit en aviser ces personnes au préalable9. Bref, loin du Far West décrié par certains, l’usage de l’intelligence artificielle doit se faire dans le respect des lois déjà en place, auxquelles s’ajouteront vraisemblablement de nouvelles lois plus spécifiques à l’intelligence artificielle. Si vous avez des questions relativement à l’application de ces lois à vos systèmes d’intelligence artificielle, n’hésitez pas à contacter un de nos professionnels. Projet de loi C-27, Loi de 2022 sur la mise en œuvre de la Charte du numérique. Notamment, aux États-Unis, Executive Order on the Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence du 30 octobre 2023. Loi concernant le cadre juridique des technologies de l'information, RLRQ c C-1.1, art. 3. Idem, art. 71. Tessier c. Charland, 2023 QCCS 3355. Lefebvre Frères ltée c. Giraldeau, 2009 QCCS 404. Charte des droits et libertés de la personne, art. 10. Idem, art. 12. Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c P-39.1, art. 8.1.

Lire la suite
19 octobre 2023

La responsabilité des biens intelligents : enjeux et défis

Introduction En 2023, qu’en est-il des questions de responsabilité en matière de biens intelligents? Le régime de responsabilité du fait des biens prévu au Code civil du Québec a été instauré au début du 20e siècle en réponse à la révolution industrielle et au nombre croissant d’accidents du travail attribuables à la défaillance d’outils1. Le législateur de l’époque ne pouvait évidemment pas anticiper que les outils auxquels cette réglementation s’appliquerait seraient, un siècle plus tard, dotés de capacités d’autoapprentissage leur permettant d’accomplir des tâches précises de façon autonome! Ces « biens intelligents », qu’ils soient immatériels ou intégrés dans des biens matériels, ne semblent pouvoir échapper pour le moment aux impératifs du droit commun. Aux fins de notre examen, l’expression « biens intelligents » désigne les biens qui présentent les capacités suivantes : effectuer des tâches précises sans être sous le contrôle immédiat d’un être humain (autoapprentissage); et capter et analyser les données de leur environnement (interconnectivité); adapter leur comportement afin d’effectuer une tâche qui lui est confiée de manière plus efficiente (autonomie) (critère facultatif)2. Ces capacités sont propres à ce que l’on appelle communément l’intelligence artificielle (ci-après « IA »). Application du régime de responsabilité du droit commun aux biens intelligents Bien que le Canada se targue d’être un « chef de file mondial dans le domaine de l’IA »3, la première loi canadienne régissant l’IA se fait toujours attendre. Au Québec, la réglementation des biens intelligents en est à ses premiers balbutiements. À ce jour, outre l’encadrement applicable aux véhicules autonomes, aucune loi en vigueur ne prévoit un régime de responsabilité civile comportant des règles distinctes régissant les litiges relatifs à la commercialisation et l’utilisation de biens intelligents. Deux éléments ont une incidence importante en matière de responsabilité applicable aux biens intelligents: l’opacité et la répartition de la responsabilité. Ceux-ci devraient nécessairement être pris en compte dans l’élaboration d’un cadre réglementaire applicable à l’IA4. Mais encore, qu’en est-il de l’imputabilité de l’humain? L’opacité de l’IA et la responsabilité du fabricant Lorsqu’un bien autonome exécute une tâche, il n’est pas toujours possible – ni pour le consommateur ni pour le fabricant – de savoir comment l’algorithme a traité l’information à l’origine de son action. C’est ce que les chercheurs qualifient « d’opacité » ou encore de phénomène de la « boîte noire » lié à l’IA5. Le cadre législatif entourant la responsabilité du fabricant est prévu au Code civil du Québec6 ainsi qu’à la Loi sur la protection du consommateur7. Il se dégage de ces dispositions une obligation pour le distributeur, pour le vendeur professionnel et pour le fabricant de garantir que le bien vendu est exempt de vices cachés. En vertu du régime de responsabilité du produit, un renversement de la preuve s’opère puisqu’il existe une présomption de connaissance du vice de la part du fabricant8. Deux moyens d’exonération s’offrent à lui9 : D’une part, le fabricant peut faire valoir que la faute du consommateur, d’un tiers ou la force majeure est la cause du défaut; D’autre part, il peut soutenir qu’au moment de la mise en marché du bien, le défaut n’était pas susceptible d’être découvert compte tenu de l’état des connaissances scientifiques. Ce dernier moyen vise précisément les risques inhérents à l’innovation technologique10. Ceci étant dit, bien que certains risques se révèlent uniquement lors de la commercialisation d’un produit, l’obligation d’information du fabricant est continue et son application est fonction de l’avancement des connaissances des risques liés au produit11. De ce fait, l’opacité de l’IA peut nuire à la détermination de la responsabilité. Difficulté au niveau du partage de responsabilité et imputabilité de l’humain Il arrive que la composante « intelligente » soit intégrée à un bien par un sous-traitant du fabricant. Dans la décision Venmar Ventilation12, la Cour d’appel a déterminé que le fabricant d’un échangeur d’air ne pouvait pas être disculpé de sa responsabilité même si le défaut de son produit était directement lié à celui du moteur fabriqué par un sous-traitant. Dans cette perspective, nous pouvons anticiper que la composante intelligente du bien serait susceptible d’engendrer une multiplication des appels en garantie et, en conséquence, des dossiers litigieux de type pyramidaux. Cela pourrait aussi compliquer l’analyse du partage de responsabilité. Également, si la détermination de l’identité de la personne qui a la garde physique du bien intelligent semble évidente, déterminer l’identité de celle qui exerce un contrôle réel sur ce bien peut se révéler beaucoup plus ardu puisque la garde et le contrôle ne sont pas nécessairement l’apanage d’une seule et même « personne ». Deux types de gardiens du bien intelligent peuvent se distinguer : Celui qui détient le pouvoir de contrôle, de direction et de surveillance sur le bien au moment de son utilisation (garde frontale) ; Celui qui déteint ces pouvoirs sur l’algorithme qui confère au bien son autonomie (garde en amont) 3. L’un ou l’autre de ces gardiens pourraient engager sa responsabilité s’il participe au préjudice par sa faute. Il pourrait donc être difficile de partager la responsabilité entre l’utilisateur humain et les gardiens de l’algorithme d’IA. Par exemple dans le cas d’un agent conversationnel, il pourrait être complexe de déterminer qui entre l’utilisateur humain et l’algorithme IA est responsable de propos diffamatoires ou discriminatoires. C-27: Projet de loi canadien en matière d'intelligence artificielle Le 16 juin 2022, le premier projet de loi canadien en matière d’IA (« Projet de loi C-27 ») a été introduit à la Chambre des Communes14. Au moment d’écrire ces lignes, le Projet de loi C-27 est toujours à l’examen par le Comité permanent de l’industrie et de la technologie. La troisième partie du Projet de loi C-27 édicte la Loi sur l’intelligence artificielle et les données. Si elle était adoptée dans sa forme actuelle, cette loi s’appliquerait au commerce international et interprovincial des « systèmes d’IA à incidence élevée » (« Systèmes »)15. Bien que le législateur n’ait pas encore clairement défini les caractéristiques qui distinguent l’IA à incidence élevée des autres formes d’IA, pour le moment, le gouvernement du Canada mentionne notamment des Systèmes pouvant potentiellement « influencer le comportement humain sur une grande échelle » et des Systèmes critiques pour la santé et la sécurité16. Il nous est permis de croire qu’il pourrait s’agir de l’IA qui présente un risque élevé pour les droits fondamentaux des utilisateurs. Le Projet de loi C-27 permettrait notamment de sanctionner le comportement de celui qui « rend disponible » un Système dont l’utilisation cause un « préjudice sérieux » ou un « dommage considérable »17. Même si le Projet de loi n’encadre pas précisément la responsabilité civile, les grands principes qui y sont énoncés reflètent les pratiques exemplaires applicables à ces technologies. Ces pratiques exemplaires peuvent donc indiquer aux fabricants de technologie IA comment se comporterait en semblable matière un fabricant prudent et diligent placé dans les mêmes circonstances. Les six (6) grands principes au Projet de loi sont les suivants18 : Transparence : Fournir au public l’information concernant les mesures d’atténuation, l’utilisation visée des Systèmes et le « contenu qu’il est censé générer »; Supervision : Fournir des Systèmes susceptibles de supervision humaine; Justice et équité : Mettre sur le marché des Systèmes pouvant limiter les potentiels résultats discriminatoires; Sécurité : Évaluer proactivement des Systèmes afin de prévenir les préjudices « raisonnablement prévisibles »; Responsabilité : Mettre en place des mesures de gouvernance afin d’assurer le respect des obligations légales applicables aux Systèmes; Robustesse : Assurer que les Systèmes fonctionnent comme prévu. Nous ajoutons le principe de mitigation des risques, considérant l’obligation de la loi « d’atténuer » les risques liés à l’utilisation des Systèmes19. Conclusion Le « Tortoise Global AI Index » classe chaque année les pays en fonction de leurs percées dans le domaine de l’IA20 . Cette année le Canada atteint le 5e rang, se classant devant bon nombre de pays de l’Union européenne. Force est de le constater que le droit en vigueur ne reflète pas encore l’importance croissante de ce secteur dans notre pays. Bien que le Projet de loi C-27 puisse offrir des éclaircissements quant aux pratiques exemplaires en matière de développement de biens intelligents, il sera intéressant de voir comment ils seront appliqués lorsque des questions visant la responsabilité civile seront soulevées. Jean-Louis BAUDOUIN, Patrice DESLAURIERS et Benoît MOORE, La responsabilité civile, Volume 1 – Principes généraux, 9e édition, 2020, 1-931. Tara Qian SUN, Rony MEDAGLIA, “Mapping the challenges of Artificial Intelligence in the public sector: Evidence from public healthcare”, Government Information Quarterly, 2019, 36(2), pp. 368-383, en ligne ; PARLEMENT EUROPÉEN, Règles de droit civil sur la robotique, Résolution du Parlement européen du 16 février 2017 contenant des recommandations à la Commission concernant des règles de droit civil sur la robotique (2015/2103(INL)) disponible en ligne sur TA (europa.eu). GOUVERNEMENT DU CANADA, La Loi sur l'intelligence artificielle et les données (LIAD) - document complémentaire, en ligne. COMMISION EUROPÉENNE, Livre blanc « Intelligence artificielle. Une approche européenne axée sur l’excellence et la Madalina BUSUIOC, “Accountable Artificial Intelligence: Holding Algorithms to Account”, Public Administration Review, 2020, en ligne. Code civil du Québec, RLRQ c. CCQ-1991, art. 1726 et ss. Loi sur la protection du consommateur, RLRQ, c. P-40.1, art. 38. General Motors Products of Canada c. Kravitz, 1979 CanLII 22 (CSC), p. 801. Voir également : Brousseau c. Laboratoires Abbott limitée, 2019 QCCA 801, par. 89. [Brousseau] Code civil du Québec, RLRQ c. CCQ-1991, art. 1473; ABB Inc. c. Domtar Inc., 2007 CSC 50, par. 72. Brousseau, par. 100. Brousseau, par. 102. Desjardins Assurances générales inc. c. Venmar Ventilation inc., 2016 QCCA 1911, par. 19 et ss. Céline MANGEMATIN, Droit de la responsabilité civile et l’intelligence artificielle, https://books.openedition.org/putc/15487?lang=fr#ftn24; Voir également Hélène CHRISTODOULOU, La responsabilité civile extracontractuelle à l’épreuve de l’intelligence artificielle, p. 4 . Projet de loi C-27, Loi édictant la Loi sur la protection de la vie privée des consommateurs, la Loi sur le Tribunal de la protection des renseignements personnels et des données et la Loi sur l’intelligence artificielle et les données et apportant des modifications corrélatives et connexes à d’autres lois, Ministre de l’innovation, des sciences et de l’industrie [PL C-27] PL C-27, sommaire et art. 5 (1). La Loi sur l’intelligence artificielle et les données (LIAD) – document complémentaire, Gouvernement du Canada, en ligne. PL C-27, art. 39 a). LIAD, document supplémentaire PL C-27, art. 8. TORTOISE MEDIA, The Global AI Index 2023 disponible sur tortoisemedia.com.

Lire la suite
11 avril 2023

Intelligence artificielle en entreprise : gérer les risques tout en tirant profit des bénéfices?

À l’heure même où certains exigent une suspension temporaire de la recherche en intelligence artificielle et du développement de systèmes avancés et que d’autres souhaitent remettre le génie dans la bouteille, on peut se demander quel sera l’effet des technologies conversationnelles (ChatGPT, Bard et autres) au sein des entreprises et en milieu de travail. Certaines entreprises en encouragent l’usage, d’autres les interdisent, mais beaucoup n’ont toujours pas pris position. Nous croyons qu’il est impératif que toute entreprise adopte une position claire et guide ses employés en ce qui a trait à l’usage de ces technologies. Avant de décider quelle position adopter, une entreprise doit être consciente des différents enjeux juridiques liés à l’usage de ces formes d’intelligence artificielle. Si l’entreprise décide d’en permettre l’usage, elle doit alors être en mesure de bien encadrer cet usage et surtout les résultats et les applications qui en découleront. Force est de constater que de tels outils technologiques présentent à la fois des avantages non négligeables susceptibles de soulever les passions, pensons notamment à la rapidité avec laquelle ces technologies conversationnelles réussissent à fournir une information à la fois surprenante et intéressante, et des risques indéniables quant aux avancées qui peuvent en résulter. Nous résumons dans le présent texte quelques risques qui, à très court terme, guettent les entreprises, ainsi que leurs clients, employés et partenaires, dans le cadre de leur utilisation de ces outils. Risques d’erreurs et responsabilité Les médias ont abondamment relaté les errances et les inexactitudes des robots conversationnels qui génèrent du texte. Dans certains cas, on parle même « d’hallucinations », où le robot conversationnel invente une réalité qui n’existe pas. Cela n’est pas surprenant. D’une part, ces technologies s’abreuvent à l’Internet, qui est truffé de désinformation et d’inexactitudes, et d’autre part, on s’attend à ce que ces robots conversationnels « créent » de nouveaux textes. Ils n’ont pas, pour le moment du moins, de balises suffisantes pour utiliser cette « créativité » uniquement à bon escient. On peut facilement imaginer des situations où un employé utiliserait une telle technologie pour produire du contenu destiné à être utilisé par son employeur à des fins commerciales. Surgit alors un danger évident pour l’entreprise si des mesures de contrôle appropriées ne sont pas mises en place. Le contenu ainsi généré pourrait s’avérer erroné, et ce d’une manière à tromper les clients de l’entreprise. Ce risque serait particulièrement important si le contenu ainsi généré fait l’objet d’une diffusion, par exemple en étant affiché sur le site web de l’entreprise ou utilisé dans une campagne de publicité. Dans un tel cas, l’entreprise pourrait vraisemblablement être responsable du préjudice ainsi causé par son employé, celui-ci s’étant fié à une technologie qu’on sait défaillante. Cet enjeu de fiabilité de ces outils, surtout lorsqu’ils sont utilisés de façon peu encadrée, demeure à ce jour l’un de plus préoccupant. Diffamation Imaginons qu’une telle information erronée concerne de surcroît une personne connue ou une entreprise concurrente. D’un point de vue juridique, une entreprise qui diffuse un tel contenu sans mettre en place des balises pour s’assurer que des vérifications adéquates ont été faites pourrait s’exposer à des poursuites en diffamation ou pour publicité trompeuse. Il semble donc impératif d’adopter des mesures faisant en sorte que tout contenu tiré de ces technologies soit minutieusement validé avant tout usage commercial. Plusieurs auteurs suggèrent que les résultats générés par un tel outil d’intelligence artificielle devraient davantage servir d’aide pour l’analyse et la prise de décision, que de produits ou résultats finaux. Cependant, la vitesse à laquelle les entreprises adopteront ces outils et en bénéficieront, notamment sur le plan concurrentiel, pourrait devancer la vitesse à laquelle les bonnes pratiques et la réglementation viendront les gouverner. Enjeux de propriété intellectuelle Les robots conversationnels qui émergent ont été développés en vue de constituer des extensions aux moteurs de recherche du web, tels Google et Bing. Il est possible que le contenu généré par les robots conversationnels s’inspire de contenus web déjà existants et assujettis à des droits d’auteur, et qu’il en reprenne même parfois des portions substantielles. Cela pourrait entraîner une violation de droits d’auteur. Si l’utilisateur limite son usage à des fins de recherche interne, le risque est alors limité puisque la loi prévoit une exception pour un usage équitable dans un tel contexte. Par contre, si son intention est de diffuser le texte à des fins commerciales, il y a un risque de violation de droits d’auteur. Ce risque est particulièrement présent lorsqu’on demande à un robot conversationnel de générer du contenu sur un sujet ciblé pour lequel il existe peu de références sur le web. Une autre question pour laquelle les réponses ne sont pas encore claires est celle de savoir qui détiendra les droits sur les réponses et les résultats découlant d’un tel outil, notamment si ces réponses et ces résultats font l’objet de diverses adaptations ou modifications avant leur ultime utilisation. Enjeux de confidentialité et de protection des renseignements personnels À la lecture de leurs modalités et conditions d’utilisation, la plupart de ces technologies conversationnelles ne semblent pas prévoir un usage qui soit confidentiel. Il est donc impensable de leur révéler des secrets commerciaux ou des renseignements confidentiels. Qui plus est, ces technologies ne sont pas conçues pour recevoir ni pour protéger des renseignements personnels conformément aux lois et règlements applicables dans les juridictions où elles pourraient être utilisées. Leurs propriétaires se dégagent généralement de toute responsabilité à cet égard. Autres enjeux Quelques autres enjeux importants méritent d’être soulignés parmi ceux qu’il est possible d’anticiper à ce jour. Premièrement, les possibles biais discriminatoires que certains attribuent aux outils d’intelligence artificielle, lorsque combinés avec le peu de règlementation de ces outils, peuvent entrainer des conséquences significatives pour divers groupes de la population. Deuxièmement, on ne peut pas passer sous silence les nombreux enjeux éthiques associés aux applications d’intelligence artificielle qui seront développées dans divers secteurs (médecine, justice, politique, etc.). Les enjeux seront d’autant plus grands lorsque ces mêmes applications seront utilisées dans des juridictions où les lois, les coutumes et la culture (économiques, politiques et sociales) sont différentes. Enfin, les risques de conflit ne peuvent pas être ignorés. Qu’il s’agisse de conflits entre groupes prônant différentes valeurs, entre organisations ayant des objectifs opposés, ou même entre nations, il est difficile de prédire si et comment les avancées en matière d’intelligence artificielle permettront de solutionner ou d’apaiser de tels conflits ou si au contraire elles les envenimeront. Conclusion Ces technologies conversationnelles présentent un grand potentiel, mais soulèvent aussi des enjeux juridiques sérieux. À court terme, il semble peu probable que ces outils puissent légitimement se substituer au jugement humain, lui-même imparfait. Mais tout comme l’a fait la révolution industrielle il y a deux siècles, l’arrivée de ces technologies entraînera des changements importants et rapides au sein des entreprises. Il est important de préparer dès maintenant des politiques visant à encadrer l’usage de ces technologies au sein de votre entreprise. De plus, si votre entreprise doit intégrer une telle technologie dans le cadre de ses activités, nous vous recommandons de procéder à une étude attentive de ses modalités et conditions d’utilisation afin de vous assurer qu’elles sont compatibles avec le projet et les objectifs que votre entreprise souhaite réaliser grâce à elle.

Lire la suite