EXPOSÉ DES MOTIFS
Mesdames, Messieurs,
Cette proposition de loi vise à créer un cadre d’expérimentation transparent et éthique pour les technologies de reconnaissance faciale qui mobilisent l’intelligence artificielle (IA) aux fins de garantir un usage responsable de ces technologies. Elle permettra de définir, d’une part, un mode de pilotage de l’expérimentation qui s’appuiera sur un comité de supervision composé de représentants de la société civile et du monde scientifique (« Comité de supervision de la société civile et de chercheurs »), d’autre part, l’écosystème de l’expérimentation (le périmètre, les acteurs et les territoires concernés), ainsi que les modalités d’une consultation citoyenne effective de type « état généraux ».
La reconnaissance faciale par l’IA représente une somme d’opportunités et de limites qui sont directement liées à la réflexion sur la société dans laquelle nous souhaitons vivre demain. Les libertés individuelles et la protection des données personnelles ne peuvent pas se dissoudre dans une économie de la donnée toujours plus prégnante dans notre quotidien et désormais mondialisée. Les citoyens ont droit à une information précise et scientifique afin de les aider, d’une part, à appréhender les différents arbitrages auxquels ils seront confrontés et, d’autre part, à rester un acteur éclairé au moment du choix d’utiliser tel ou tel dispositif technologique de reconnaissance faciale. De la même manière, les citoyens devront être en mesure de connaitre les alternatives qui leurs seront proposées si ces technologies devaient investir plus largement l’espace public.
Les dispositifs de reconnaissance faciale par l’intelligence artificielle reposent sur l’identification ou l’authentification visuelle d’individu par comparaison entre plusieurs photographies et/ou vidéos. Ils utilisent pour cela un type de données spécifiques : les données biométriques. La reconnaissance faciale par l’IA s’est imposée comme une des plus puissantes technologies biométriques d’identification et de contrôle de l’identité des personnes à partir d’une image numérique ou d’un support vidéo. L’identification ne repose alors plus sur des documents d’identité ou une position géographique, mais uniquement sur le visage de la personne elle‑même. Or les données biométriques comportent une sensibilité particulière. Leur utilisation par les technologies de reconnaissance faciale nous impose d’y accorder une attention de premier ordre. Pouvoir expérimenter ces dispositifs de manière scientifique et raisonnée doit permettre de conclure à la nécessité ou non d’une évolution de la réglementation en la matière et de définir les potentielles lignes rouges : « cette évaluation des risques est nécessaire pour déterminer ceux qui ne sont pas acceptables dans une société démocratique et ceux qui peuvent être assumés moyennant des garanties appropriées ».
Pour l’heure, le droit applicable à la reconnaissance faciale est régi par le règlement nᵒ 2016/679, dit règlement général sur la protection des données (RGPD) ainsi que par la loi n° 78‑17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiées par la loi n° 2018‑493 du 20 juin 2018 relative à la protection des données personnelles.
Au cours des dix dernières années la reconnaissance faciale par l’IA s’est imposée dans notre vie quotidienne à travers différents usages comme le déverrouillage du téléphone. Les points de vue et prises de position sur cette technologie sont nombreux autant que divers. La demande de régulation et de débat public émane de nombreux acteurs pour assurer que la technologie soit utilisée et développée de manière maitrisée et éthique. Ces différentes prises de positions s’expliquent facilement : le sujet fait souvent polémique en raison des dérives sécuritaires qu’il inspire. Des films comme Minority report ou des ouvrages tel que 1984 de G. Orwell ont dépeint des sociétés où ces technologies, sans limites ni contre‑pouvoir, sont exercées par l’État. De nombreux acteurs institutionnels ou associatifs tirent régulièrement la sonnette d’alarme face aux dérives constatées des dispositifs de reconnaissance faciale en dehors de l’Europe comme en Chine ou aux États Unis.
Plusieurs collectivités et entreprises lancent ou ont lancé ces derniers mois en France les premières expérimentations d’usage de la technologie de reconnaissance faciale. En dehors du règlement RGPD et des recommandations de la CNIL, aucun cadre n’a pour l’heure été fixé afin que cet usage respecte le consentement et les libertés des citoyens qui ne font qu’aller‑et‑venir dans l’espace public.
C’est dans ce cadre de réflexion que l’Office parlementaire d’évaluation des choix scientifiques et technologiques (OPECST) a rendu un rapport en juillet 2019 qui dresse un état des lieux objectif et scientifique des éléments connus aussi bien sur le plan des technologies déployées que sur les questions d’usage que soulève la reconnaissance faciale.
Un travail d’analyse multi‑acteurs (industriels, chercheurs, associations et élus) sur les cas d’usage précis qui fait appel aux dispositifs de reconnaissance facile a également été entrepris depuis juillet 2019 partant d’un constat partagé que ceux‑ci doivent être analysés cas d’usage par cas d’usage afin de sortir de la confusion et de l’ambiguïté trop souvent associées à la reconnaissance faciale prise dans sa globalité.
La présente proposition de loi vise à permettre l’expérimentation scientifique de quatre cas d’usage précis de la reconnaissance faciale, tout en laissant la possibilité d’en catégoriser d’autres si le comité de supervision de la société civile et de chercheurs le juge nécessaire :
– Accès par reconnaissance faciale (gestion de flux) : La gestion de flux serait aidée par un système de reconnaissance faciale qui viendrait remplacer la billetterie pour l’accès à des locaux, à des événements ou à des transports en commun. L’accès par reconnaissance faciale permet également le payement, une alternative aux noms d’utilisateur voire une authentification légale ou propose un service d’enregistrement en ligne.
– Sûreté et sécurité dans les espaces : Ces situations incluent les opérations de maintien de l’ordre et les activités de sécurité publique telles que la douane, la recherche de personnes disparues ou le pistage d’un suspect.
– Marketing et services clients (offres sollicitées ou non‑sollicitées) : Ce cas d’usage se réfère à tous les services marketing, publicitaires et clients reposant sur la reconnaissance faciale (à titre d’exemple : achat personnalisé, reconnaissance d’émotion).
– Services à vocation de santé ou sociaux : Ce cas d’usage permettrait l’utilisation de la reconnaissance faciale pour authentifier les patients, identifier ou suivre les pathologies ou encore pour assister les personnes comme des dispositifs portables destinés aux personnes aveugles qui identifieraient les personnes.
En effet, aborder la question à travers différents cas d’usage permettra de mieux comprendre les arbitrages à effectuer car chacun de ces cas d’usage nécessite un protocole particulier d’expérimentation afin d’être le plus précis possible. L’audit à la fois des algorithmes utilisés dans les dispositifs de reconnaissance faciale, ses processus d’apprentissage et l’analyse récurrente dans le temps des évolutions de ces cas d’usage est au cœur de l’expérimentation et des recommandations qui en découleront.
Ce texte d’expérimentation de dispositifs pour une reconnaissance faciale par l’IA éthique et transparente permettrait d’établir une méthodologie d’évaluation et d’expérimentation afin notamment d’éclairer les collectivités locales (ville, départements, régions…) sur les choix possibles d’évolution des dispositifs de vidéo protection, tout en s’assurant de la tenue systématique d’un débat citoyen avant toute évolution.
De manière plus générale, les expérimentations sont considérées comme des outils d’innovation pour les pouvoirs publics dans le récent rapport du Conseil d’État du 3 octobre 2019, si elles répondent à plusieurs caractéristiques : elles doivent respecter les règles de compétence (pouvoir réglementaire), porter sur un objet déterminé et avoir une durée limitée. Les expérimentations doivent également veiller à ne pas entraver d’autres principes à valeur constitutionnelle et comporter une évaluation.
Cette proposition de loi s’articule autour de trois axes :
1. Nommer un comité de la société civile et de chercheurs experts composés de scientifiques et de personnes qualifiées,
2. Définir une méthodologie et l’évaluation de l’expérimentation des cas d’usage retenus d’application de la reconnaissance faciale,
3. Définir les modalités d’organisation d’une consultation citoyenne effective de type « états généraux » sur le sujet et d’en détailler les modalités d’application.
En lien avec les propositions établies dans le rapport « Donner un sens à l’Intelligence artificielle » commandé par le Premier Ministre en 2018, il nous faut développer l’audit de l’IA ainsi que l’évaluation citoyenne des IA. Dans cette optique, l’article 1 précise l’objectif d’analyse scientifique et la volonté de transparence et d’éthique en soumettant une méthodologie d’évaluation des algorithmes. Il institue un comité de supervision de la société civile et de chercheurs qui sera à même d’accomplir cette tâche d’audit des algorithmes et des bases de données. Il précise le rôle de la Commission Nationale de l’Informatique et des Libertés (CNIL) : observateur objectif et indépendant, elle pourra prodiguer des conseils dans le suivi critique et l’accompagnement des expérimentations.
L’article 2 définit le cadre et le déroulement de l’expérimentation des quatre cas d’usage particulier de reconnaissance faciale – ou plus si le comité de supervision la société civile et de chercheurs d’experts se prononce en ce sens – qui sont :
1. Accès par reconnaissance faciale (gestion de flux),
2. Sûreté et sécurité dans les espaces,
3. Marketing et services clients (offres sollicitées ou non‑sollicitées),
4. Les services à vocation de santé ou sociaux.
L’article 2 ouvre également la voie à l’audit. Le II propose que le comité de supervision de la société civile et de chercheurs travaille à développer l’audit de la méthodologie utilisée pour les différents cas d’usage et le comportement du système d’apprentissage. Développer l’audit de la méthodologie scientifique des algorithmes de reconnaissance faciale utilisée dans les expérimentations serait un premier pas pour garantir leur conformité scientifique et éthique comme le souligne le rapport Donner un sens à l’intelligence artificielle : pour une stratégie nationale et européenne : « il faut accroître la transparence et l’auditabilité des systèmes autonomes d’une part, en développant les capacités nécessaires pour observer, comprendre et auditer leur fonctionnement et, d’autre part, en investissant massivement dans la recherche sur l’explicabilité. »().
La question des données utilisées lors de cette phase d’expérimentation est également traitée : consentement des citoyens, croisement et conservation des données.
L’article 3 vient organiser la tenue d’une consultation citoyenne effective de type états généraux sur le sujet. Cet article a pour but de faire naître les conditions d’un débat citoyen et pédagogique pour éclairer et mesurer les perceptions des Français et détecter les lignes rouges à ne pas franchir. Instituer des états généraux permettra d’élever le débat. A ce titre, il est important, qu’au préalable à tout projet de réforme de la régulation en matière de reconnaissance faciale ou d’évolution dans l’utilisation des données biométriques, de donner la parole aux citoyens français. Si aucun changement de régulation n’est envisagé, la tenue de cette consultation se répétera tous les cinq ans, récurrence qui s’explique par l’évolution rapide de ces technologies. L’initiative reviendra au comité de supervision de la société civile et de chercheurs et aura pour conclusion le rendu d’un rapport qui sera étudié par l’Office parlementaire d’évaluation des choix scientifiques et technologiques (OPECST).
Enfin, les deux derniers articles traitent des modalités de l’expérimentation avec, premièrement, la création d’un fonds dédié et, deuxièmement, le renvoi en décret du Conseil d’État des modalités d’application de la présente loi.
proposition de loi
Article 1er
I. – Pour une durée de trois ans à compter de l'entrée en vigueur de la présente loi, est mise en place dans deux territoires, la région Île-de-France et la Région Sud-Provence-Alpes-Côte d’Azur, une expérimentation visant à expérimenter des dispositifs plus transparents et éthiques de reconnaissance faciale par l’intelligence artificielle. Cette expérimentation couvre, dans chacune de ces régions, tout ou partie de la superficie d'une ou de plusieurs collectivités territoriales, tout ou partie d’un ou de plusieurs établissements publics de coopération intercommunale ou tout ou partie de groupes de collectivités territoriales volontaires.
Dans ces deux territoires, les industriels, les représentants d’équipements de type gares, aéroports, établissements culturels ou sportifs, les organismes de recherches et les associations d’usagers sont sollicités par le comité de supervision de la société civile et de chercheurs en sciences humaines et sociales ou se font connaitre directement auprès de lui pour participer à cette expérimentation.
L’expérimentation permet l’analyse scientifique des algorithmes et des technologies utilisés, l'entraînement de ces mêmes algorithmes sur des données françaises et/ou européennes recueillies avec le consentement des personnes lors de l’expérimentation à la recherche de biais éventuels et la consultation effective des citoyens français sur les évolutions sociétales induites par les cas d’usages mentionnés au I de l’article 2 de la présente loi, prédéfinis ou ajoutés par le comité de supervision de la société civile et de chercheurs.
Cette expérimentation s’appuie sur les cas d’usage mentionnés au I de l’article 2 de la présente loi, dans le cadre des dérogations prévues à l'alinéa 2 de l'article 89 du règlement n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données.
Cette expérimentation est mise en place avec le concours financier de l'État, des collectivités territoriales volontaires, des établissements publics de coopération intercommunale volontaires mentionnés au premier alinéa du présent I et des organismes publics et privés volontaires susceptibles de tirer un bénéfice de l’analyse scientifique des algorithmes et des dispositifs de reconnaissance faciale sur les cas d’usage retenus.
II. – Au plus tard douze mois avant le terme de l'expérimentation, le comité de supervision de la société civile et de chercheurs dresse le bilan de l'expérimentation et remet ses recommandations à l’Office parlementaire d'évaluation des choix scientifiques et technologiques sous format d’un rapport traitant à la fois les cas d’usage et leur maturité scientifique et technologique mais aussi sur une éventuelle évolution des réglementations.
Pendant la phase d’expérimentation, le comité de supervision de la société civile et de chercheurs publie tous les semestres un état d’avancement des travaux à destination de l'Office parlementaire d'évaluation des choix scientifiques et technologiques qui traitera ces informations lors de réunions ouvertes au public.
Les rapports semestriels et finaux évaluent notamment la performance réelle des algorithmes mis à l’épreuve et quantifient la menace réelle selon les différents cas d’usage pour les droits de l’homme et les libertés publiques, notamment la liberté d’expression, la liberté de réunion et d’association et le droit à la vie privée.
Le comité de supervision de la société civile et de chercheurs se compose de trente membres désignés par arrêté du ministre chargé du numérique sur proposition :
1° de l'Office parlementaire d'évaluation des choix scientifiques et technologiques ;
2° du Conseil national du numérique ;
3° du Comité consultatif national d’éthique ;
4° de l’Institut national de recherche en sciences et technologies du numérique ;
5° de l’Association des Maires de France ;
6° d’associations de défense des droits et libertés de la population sur Internet.
Les membres du comité de supervision de la société civile et de chercheurs siègent à titre bénévole.
III. – Les rapports mentionnés au II du présent article sont adressés à l'Office parlementaire d'évaluation des choix scientifiques et technologiques, au ministre chargé du numérique, au ministre de la cohésion des territoires, au ministre de l’intérieur et au garde des Sceaux, ministre de la justice, et sont rendus publics.
IV. – La commission nationale de l'informatique et des libertés apporte son conseil et son expertise stratégiques et un conseil indépendant dans le cadrage juridique et méthodologique de la démarche expérimentale (périmètre, méthode, règles de fond, etc.) au comité de supervision de la société civile et de chercheurs. Elle conseille les porteurs de projets sur les expérimentations envisagées.
La commission nationale de l’informatique et des libertés est destinataire, de manière obligatoire et systématique, des analyses d’impact élaborées avant la mise en œuvre de chaque traitement, des bilans périodiques et d’étape et des bilans réalisés au terme de l’expérimentation, afin d’être en mesure de contribuer à l’évaluation de ces dispositifs.
La commission nationale de l’informatique et des libertés est obligatoirement consultée sur tout projet de texte législatif ou réglementaire en matière de reconnaissance faciale pour permettre ou faciliter d’éventuelles expérimentations.
Dans l’exercice de l’ensemble de ses missions, la commission nationale de l’informatique et des libertés conserve sa totale indépendance.
Article 2
I. – Le comité de supervision de la société civile et de chercheurs présente, dans les trois mois suivant son installation, le cadre de l’expérimentation qui regroupe les collectivités territoriales, les industriels, les associations et les organismes de recherche ayant souscrit aux principes de transparence et d’éthique. Il détaille un protocole d’expérimentation sur les quatre cas d’usage suivants :
1° Accès par reconnaissance faciale. La gestion de flux peut être aidée par un système de reconnaissance faciale remplaçant la billetterie pour l’accès à des locaux, à des événements ou à des transports en commun. L'accès par reconnaissance faciale permet également le paiement, une alternative aux noms d’utilisateur voire une authentification légale, ou propose un service d’enregistrement en ligne ;
2° Sûreté et sécurité dans les espaces. Ces situations incluent les opérations de maintien de l’ordre et les activités de sécurité publique telles que la douane, la recherche de personnes disparues ou le pistage d’un suspect ;
3° Marketing et services clients (offres sollicitées ou non-sollicitées). Ce cas d’usage se réfère à tous les services marketing, publicitaires et clients reposant sur la reconnaissance faciale tels que des achats personnalisés ou la reconnaissance d’émotions.
4° Services à vocation de santé ou sociaux. Ce cas d’usage vise à permettre l’utilisation de la reconnaissance faciale pour authentifier les patients, identifier ou suivre les pathologies, ou pour assister les personnes, à l’aide par exemple de dispositifs portables destinés aux personnes aveugles qui identifieraient les personnes.
Le comité mentionné au premier alinéa du présent I peut également ajouter un ou plusieurs cas d’usage manquant qu’il jugerait décisifs pour enrichir l’expérimentation.
Pour chaque cas d’usage mentionné au 1° à 4° du présent I ou ajouté dans les conditions mentionnées à l’alinéa précédent, le comité mentionné au premier alinéa du présent I définit et valide les lignes rouges à ne pas franchir en l’état actuel des connaissances scientifiques.
II. – Le comité de supervision de la société civile et de chercheurs élabore un référentiel d’audit propre à chaque cas d’usage pour certifier la méthodologie scientifique des algorithmes de reconnaissance faciale utilisés dans les expérimentations afin de garantir leur conformité scientifique et éthique.
III. – A.– À titre expérimental, pour une durée de trois ans, sans préjudice des règles applicables en application du règlement n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, l’expérimentation des cas d’usage de dispositif de reconnaissance faciale mentionnés au I du présent article sur l’identification ou l’authentification des individus sur la base de données biométriques est permise dans le respect des obligations énumérées au présent III.
B. – Afin de garantir le consentement des individus ciblés par un dispositif reposant sur l’identification ou l’authentification des individus sur la base de données biométriques, toute personne publique ou privée mettant en place une expérimentation de cette technologie doit s’assurer :
1° Que tout individu ayant consenti à participer puisse exercer son droit d’opposition et se rétracter ;
2° Que chaque individu soit informé du traitement des données personnelles le concernant et, notamment, des modalités de suppression de ces dernières ;
3° Que chaque individu ait accès à l’information de l’expérimentation et de l’utilisation de leurs données ;
4° Que l’ensemble des individus entrant dans le champ visuel des caméras ait été informé de la présence d’un tel dispositif ;
5° Que tout individu reste en mesure de refuser sa participation à l’expérimentation, en leur offrant la possibilité d’emprunter un espace non-couvert par le dispositif de vidéosurveillance.
C. ‒ Afin de garantir les droits et libertés des personnes dont les données personnelles ont été collectées lors de l’expérimentation :
1° L’utilisation des données personnelles collectées dans le cadre de l’expérimentation est strictement limitée aux fins de l’expérimentation ;
2° Ces données collectées ne peuvent être rapprochées avec d’autres données à caractère personnel issues d’un fichier extérieur à l’expérimentation ;
3° La conservation des données personnelles est strictement limitée à la durée de l’expérimentation. Elles sont détruites dans un délai maximum de trente jours à compter de la fin de l’expérimentation.
Les modalités d’application du présent article sont fixées par décret en Conseil d’État, pris après avis de la commission nationale de l'informatique et des libertés.
Article 3
I. – Un débat public sous forme d'états généraux est organisé sur les cas d’usage de reconnaissance faciale par l’intelligence artificielle en parallèle de l’expérimentation mentionnée à l’article 1er de la présente loi. Ceux-ci sont organisés à l'initiative du comité de supervision de la société civile et de chercheurs, après consultation des commissions parlementaires permanentes compétentes et de l'Office parlementaire d'évaluation des choix scientifiques et technologiques.
À l’issue du débat public, le comité établit un rapport qu'il présente devant l'Office parlementaire d'évaluation des choix scientifiques et technologiques, qui procède à son évaluation.
II. – Les états généraux mentionnés au I du présent article réunissent des conférences de citoyens choisis de manière à représenter la société dans sa diversité. Après avoir reçu une formation préalable, ceux-ci débattent et rédigent un avis ainsi que des recommandations qui sont rendus publics. Les experts participant à la formation des citoyens et aux états généraux sont choisis en fonction de critères d'indépendance, de pluralisme et de pluridisciplinarité.
III. – Tout projet de réforme des dispositifs de reconnaissance faciale doit être précédé d'un débat public sous forme d'états généraux. En l'absence de projet de réforme, le comité est tenu d'organiser des états généraux de la reconnaissance faciale au moins une fois tous les cinq ans.
Article 4
I. – Il est institué un fonds afin de conduire l’expérimentation des cas d’usage de dispositifs transparents et éthiques de reconnaissance faciale par l’intelligence artificielle et la consultation citoyenne mentionnée à l’article 3 de la présente loi.
II. – Le fonds d'expérimentation des dispositifs de reconnaissance faciale est financé par l'État, les collectivités territoriales, les établissements publics de coopération intercommunale, les groupes de collectivités territoriales, les industriels et les organismes de recherche publics et privés mentionnés au I de l'article 1er de la présente loi pour assurer son fonctionnement.
Le fonds signe avec chaque collectivité territoriale, établissement public de coopération intercommunale ou groupe de collectivités territoriales, les industriels et les organismes de recherche publics et privés participant à l'expérimentation une convention qui précise leur engagement à respecter le cahier des charges mentionné au deuxième alinéa du I de l'article 2, qui fixe les conditions de leur participation volontaire au financement de l'expérimentation et qui définit l'affectation de cette participation. L'État est également cosignataire de ces conventions.
Le fonds signe une convention avec l'État et chacun des organismes publics et privés participant à l'expérimentation afin de fixer le montant de leur contribution à son financement et de définir l'affectation de cette contribution.
La dotation du fonds d’expérimentation est prévue chaque année dans le cadre du projet de loi de finances pour ce qui est de la part de financement de l’État.
Article 5
Un décret en Conseil d'État définit les modalités d'application de la présente loi, notamment la méthodologie de l'évaluation de l'expérimentation, les modalités de fonctionnement et de gestion du fonds mentionnés à l'article 4 de la présente loi.
Article 6
I. – La charge pour l’État est compensée, à due concurrence, par la création d’une taxe additionnelle aux droits mentionnés aux articles 575 et 575 A du code général des impôts.
II. – La charge pour les collectivités territoriales est compensée, à due concurrence, par une majoration de la dotation globale de fonctionnement et, corrélativement pour l’État, par la création d'une taxe additionnelle aux droits mentionnés aux articles 575 et 575 A du code général des impôts.
