Un modèle open source échappe-t-il entièrement à l'AI Act ?

Non. Pour un modèle à usage général publié sous licence libre et ouverte avec ses paramètres publics, seules les obligations de documentation (article 53, paragraphe 1, points a et b) et de mandataire (article 54) tombent. La politique de droit d'auteur et le résumé des données d'entraînement restent dus, et l'exception ne joue pas en cas de risque systémique.

Si j'utilise un modèle open source, suis-je exempté pour mon propre système ?

Pas automatiquement. L'article 2, paragraphe 12, exclut les systèmes d'IA publiés sous licence libre et ouverte, sauf s'ils sont mis sur le marché ou en service comme systèmes à haut risque, ou relèvent des articles 5 ou 50. Un système que vous déployez pour vos clients doit être qualifié selon son usage.

AI Act et modèles open source : ce qui est allégé

L'AI Act (règlement européen sur l'intelligence artificielle) allège les obligations des fournisseurs de modèles publiés sous licence libre et ouverte, à condition que leurs paramètres (poids compris), leur architecture et leurs informations d'usage soient publics. L'allègement porte sur la documentation technique et l'information des intégrateurs, et sur l'obligation de désigner un mandataire. Il ne touche ni la politique de droit d'auteur, ni le résumé des données d'entraînement, et disparaît pour les modèles présentant un risque systémique ou quand le modèle est monétisé. Ce qui suit cite les textes ; ce n'est pas un avis juridique.

Pour l'ensemble des obligations des modèles à usage général, voyez la page modèles d'IA à usage général de Cercle IA Tech · AI Act.

Les trois textes qui parlent d'open source

Texte	Ce qu'il prévoit
Article 2, paragraphe 12	Le règlement ne s'applique pas aux systèmes d'IA publiés sous licence libre et ouverte, sauf s'ils sont mis sur le marché ou en service comme systèmes à haut risque, ou relèvent de l'article 5 (pratiques interdites) ou 50 (transparence)
Article 53, paragraphe 2	Pour les modèles à usage général sous licence libre et ouverte, avec paramètres publics, les obligations des points (a) et (b) du paragraphe 1 ne s'appliquent pas ; pas d'exception pour les modèles à risque systémique
Article 54, paragraphe 6	Même modèles : pas d'obligation de désigner un mandataire dans l'Union, sauf risque systémique

Les conditions de l'exception (article 53, paragraphe 2)

Le texte vise les fournisseurs de modèles :

publiés sous une licence libre et ouverte qui permet l'accès, l'usage, la modification et la distribution du modèle ;
dont les paramètres, y compris les poids, les informations sur l'architecture et les informations sur l'usage sont rendus publics.

Les deux conditions sont cumulatives. Un modèle dont seuls les poids sont publiés, sous une licence qui restreint certains usages, ne remplit pas la première.

Ce qui reste dû

Obligation de l'article 53	Modèle ouvert remplissant les conditions	Modèle ouvert à risque systémique
(a) Documentation technique (entraînement, essais, évaluation), à fournir sur demande au Bureau de l'IA, service de la Commission, et aux autorités nationales	Non	Oui
(b) Informations pour les fournisseurs de systèmes qui intègrent le modèle (capacités et limites)	Non	Oui
(c) Politique de respect du droit d'auteur	Oui	Oui
(d) Résumé public des contenus d'entraînement	Oui	Oui

La note d'analyse de la CNIL sur l'open source en IA résume la même idée : le fournisseur d'un modèle à usage général ouvert doit « a minima » mettre en place une politique de respect du droit d'auteur et publier un résumé suffisamment détaillé des contenus d'entraînement.

La monétisation fait perdre le bénéfice

Le considérant 103 précise que des composants d'IA fournis contre un prix ou autrement monétisés ne devraient pas bénéficier des exceptions prévues pour les composants libres et ouverts. Il cite :

la fourniture d'un support technique ou d'autres services liés, y compris via une plateforme logicielle ;
l'usage de données personnelles pour d'autres raisons que l'amélioration de la sécurité, de la compatibilité ou de l'interopérabilité du logiciel ;
avec une exception pour les transactions entre microentreprises.

Il ajoute que mettre des composants à disposition sur des dépôts ouverts ne constitue pas, en soi, une monétisation.

La Commission a publié des lignes directrices sur la portée des obligations des fournisseurs de modèles à usage général, qui précisent notamment à quelles conditions les fournisseurs de modèles open source sont exemptés de certaines obligations. Lisez-les dans leur version à jour avant de conclure pour un modèle donné.

Ce que ça change pour une PME qui utilise un modèle ouvert

Ces exceptions visent surtout l'éditeur du modèle. Pour l'entreprise qui l'intègre :

Votre système n'hérite pas de l'exception du modèle. S'il interagit avec des personnes, voyez les obligations de transparence de l'article 50 ; s'il sert un usage à haut risque, les règles correspondantes aussi, même si le modèle de base est ouvert.
Moins de documentation en amont. Un modèle ouvert exempté du point (b) n'a pas d'obligation de vous transmettre les informations prévues pour les intégrateurs. Les poids, l'architecture et les informations d'usage étant publics, c'est à vous de les rassembler (voir lire une fiche de modèle).
Si vous modifiez le modèle et le publiez, vous pouvez devenir à votre tour fournisseur : lisez les lignes directrices de la Commission sur les fournisseurs de modèles à usage général avant de publier un modèle modifié.

Faites valider votre qualification par un professionnel du droit si votre projet en dépend.