Se préparer à la loi brésilienne sur l'IA (PL 2338/2023)

Classer le risque du système avant sa mise sur le marché ou son utilisation. Facultative pour la plupart des agents mais atténue les sanctions (art. 50 §1) ; obligatoire pour les développeurs d'IA à usage général et générative (art. 29).

Aucun développement, déploiement ni usage d'un système à risque excessif ; les développeurs prennent des mesures pour empêcher ces usages (art. 13 §1).

Toute personne a droit à une information préalable indiquant qu'elle interagit avec un système d'IA, par des icônes standardisées le cas échéant, en langage simple pour les publics vulnérables (art. 5 §§1 et 2).

Le contenu synthétique généré ou modifié par le système porte un identifiant permettant d'en vérifier l'authenticité ou l'origine.

Mesures pour prévenir, atténuer et corriger les biais discriminatoires, y compris sur les données utilisées (art. 18 I.e et II.e).

Une personne concernée par un système à haut risque peut obtenir, gratuitement et en langage simple, une explication de la décision, recommandation ou prédiction qui la concerne.

Les personnes concernées peuvent contester les décisions et demander une révision humaine ; les procédures d'exercice de ces droits sont publiées.

Une supervision humaine permettant de comprendre, interpréter, décider et intervenir sur le système ; le degré de supervision humaine des résultats est documenté.

L'aplicador documente le système sur tout son cycle de vie, les tests de fiabilité et de sécurité réalisés et les informations qui rendent les résultats interprétables.

Le développeur tient un registre de ses mesures de gouvernance pour informer l'aplicador et met en œuvre des mesures d'explicabilité.

Le système journalise automatiquement son fonctionnement afin que son exactitude et sa robustesse puissent être évaluées.

Des tests pour évaluer des niveaux de sécurité appropriés, y compris de l'environnement dans lequel le système fonctionne.

L'aplicador surveille les résultats du système (exactitude, robustesse, discrimination) et atténue ce qu'il constate.

Une étude d'impact algorithmique avant la mise sur le marché, tenue à jour tout au long du cycle de vie. Elle peut être menée avec le rapport d'impact LGPD (art. 27) et ses conclusions sont publiées (art. 28).

Un risque grave découvert après la mise sur le marché est signalé immédiatement à l'autorité et à la chaîne de valeur, et les incidents graves sont déclarés à l'autorité sectorielle.

Les agents coopèrent et partagent les informations dont les autres ont besoin pour remplir leurs obligations ; un distributeur vérifie les mesures de gouvernance avant la mise sur le marché (art. 16 §3).

Le développeur documente le développement. En cas de risque systémique, avant la mise sur le marché : description du modèle, documentation des tests, risques résiduels, gouvernance licite des données, efficacité énergétique et documentation pour l'aval (art. 30 I à VII).

Un résumé des contenus protégés par le droit d'auteur utilisés pour le développement est publié et l'opposition des ayants droit est respectée.

Les organismes publics et les opérateurs d'un service public qui utilisent un système à haut risque tiennent des journaux d'usage (qui, quel dossier, quelle finalité) et publient leurs évaluations préliminaires.

Les ayants droit dont les contenus ont servi à l'entraînement sont rémunérés. Ce chapitre pourrait être supprimé par la Chambre des députés.