La semaine du numérique européen : la surveillance de l'IA se renforce, le calcul souverain se développe et les paiements se détachent de Visa

Pendant la majeure partie de cette année, la politique numérique européenne a ressemblé à une liste de dates sur un calendrier : règles adoptées, échéances fixées, obligations promises. Cette semaine, plusieurs de ces dates sont enfin arrivées. La Commission européenne a confirmé qu'elle commencerait à appliquer les exigences de transparence de la loi européenne sur l'IA à partir du 2 août, ce qui signifie que les systèmes d'IA devront informer les utilisateurs qu'ils parlent à une machine et que les deepfakes devront être étiquetés comme tels. L'autorité néerlandaise de protection des données, l'Autoriteit Persoonsgegevens, a présenté la même échéance comme une simple promesse aux consommateurs : après le 2 août, il devrait être plus clair si ce que vous regardez est généré par l'IA ou réel.

L'application prend également forme au niveau national. La Bundesnetzagentur allemande s'est vu confier de nouveaux pouvoirs en tant qu'autorité de surveillance du marché du pays dans le cadre de la loi sur l'IA, ce qui signifie qu'elle traite désormais directement les plaintes et veille à la conformité, plutôt que les règles ne soient que du texte juridique à Bruxelles. Dans l'ensemble, la loi sur l'IA a cessé d'être une obligation future cette semaine pour devenir une obligation présente.

Les règles qui ont remodelé les médias sociaux s'étendent maintenant aux chatbots eux-mêmes.

Le Digital Services Act s'étend dans la même direction. Plusieurs médias ont rapporté que la Commission se prépare à désigner ChatGPT et Roblox comme Very Large Online Platforms, la catégorie la plus stricte du DSA, après que les deux services aient franchi le seuil de 45 millions d'utilisateurs mensuels dans l'UE. Il convient d'être précis sur la situation : un porte-parole de la Commission a qualifié cette désignation de "certainement possible", pas une affaire conclue, il s'agit donc d'un processus en cours plutôt que d'un processus achevé. Si cela se concrétise, un produit d'IA générative et une plateforme de jeu seraient pour la première fois soumis aux mêmes obligations de responsabilité et de transparence que Facebook ou YouTube, étendant ainsi un régime conçu pour les médias sociaux à l'IA conversationnelle.

Derrière la réglementation se cache un effort parallèle pour renforcer les capacités européennes plutôt que de simplement réguler les fournisseurs américains et chinois. La Commission a lancé un appel d'offres pour un maximum de sept "gigafactories" d'IA, soutenant l'appel d'offres avec environ 10,5 milliards d'euros d'argent de l'UE et visant à débloquer plus de 30 milliards d'euros d'investissements totaux une fois le cofinancement ajouté, explicitement pour réduire la dépendance à l'égard de l'infrastructure informatique américaine pour la formation d'IA de pointe. Du côté du secteur public, les Pays-Bas, le Danemark, la Belgique et le Luxembourg ont lancé EuropAI, un projet conjoint visant à construire des outils d'IA générative souverains pour un usage gouvernemental, des assistants numériques au soutien des processus juridiques, afin que les administrations aient une alternative au routage des données des citoyens via ChatGPT ou des services comparables non-UE.

Cet instinct s'est manifesté plus bas dans la pile. Les États allemands ont abandonné Microsoft SharePoint au profit d'alternatives open source, et l'Irlande a suspendu un accord d'environ 1 milliard d'euros avec Microsoft tout en étudiant ses propres options open source ; The Register a également noté qu'Airbus déplaçait des données sensibles vers des fournisseurs de cloud européens. Rien de tout cela ne signifie que Microsoft perd l'Europe, mais c'est la souveraineté numérique pratiquée comme une décision d'approvisionnement plutôt que seulement argumentée comme une position politique. Le capital-risque suit une logique similaire : Milan's Beelzebub a levé 3 millions d'euros pour une cybersécurité alimentée par l'IA destinée aux entreprises réglementées par la directive NIS2, Sofia's Tiger Technology a levé 8,7 millions d'euros pour une infrastructure de données cloud hybride, Eindhoven's Keiron a obtenu 20,7 millions d'euros pour résoudre un goulot d'étranglement coûteux dans la fabrication électronique, et la startup de défense germano-britannique Agon a levé 30 millions de dollars, avec le soutien du VC européen Lakestar, pour construire des environnements d'entraînement à l'IA pour la défense par drones. Différents secteurs, le même pari sous-jacent sur la capacité européenne.

Les consommateurs ont également eu leur petite part dans cette histoire d'autonomie. Les magasins allemands de Lidl ont commencé à accepter Wero, le système de paiement européen soutenu par les banques, conçu pour permettre aux clients de payer directement depuis leurs comptes sans passer par Visa ou Mastercard, donnant ainsi à l'initiative son tremplin de vente au détail le plus visible à ce jour. Le 31 juillet, la directive européenne sur le droit à la réparation est entrée en vigueur, obligeant les fabricants à rendre les appareils réparables même après l'expiration de la garantie, et de nouvelles règles imposant des bornes de recharge pour véhicules électriques tous les 60 kilomètres sur les routes principales, ainsi que des points de ravitaillement en hydrogène, sont passées de la législation à la planification des infrastructures.

Cependant, toutes les règles ne sont pas appliquées comme prévu. Le groupe de consommateurs BEUC a profité du moment de l'infrastructure de recharge pour souligner que la tarification des bornes de recharge publiques pour VE reste opaque et que les options de paiement sont limitées, malgré l'entrée en vigueur du règlement sur les infrastructures de carburants alternatifs, et pousse la Commission à combler ces lacunes plutôt que de déclarer le travail accompli. Le groupe de défense de la vie privée noyb a déposé une nouvelle plainte GDPR, cette fois contre le site de dictionnaire dict.cc, arguant que proposer un consentement "éclairé" à 1 741 partenaires de suivi en un seul clic ne peut pas satisfaire aux normes de la loi, un rappel que les problèmes de conformité de base des bannières de consentement ne sont toujours pas résolus huit ans après l'entrée en vigueur du GDPR.

Le muscle d'application de Bruxelles a montré des résultats mitigés similaires. Les amendes record libellées en euros en vertu du Digital Markets Act, y compris la pénalité de 890 millions d'euros infligée à Google, semblent sévères isolément mais ne représentent que 0,25 % du chiffre d'affaires de cette entreprise, soulignant l'écart encore important entre les chiffres principaux et la pression financière réelle sur les plus grandes plateformes. Ailleurs, le nouveau règlement de la Commission sur les subventions étrangères a eu des dents plus visibles en tant qu'outil de contrôle : il a approuvé le rachat d'Electronic Arts par des Saoudiens pour 55 milliards de dollars, montrant que l'UE examine désormais régulièrement l'argent des États étrangers dans les grandes transactions technologiques et de jeux plutôt que de laisser de telles acquisitions passer sans examen.

Le fil conducteur de la semaine ne concerne pas tant la nouvelle législation que l'utilisation enfin effective de la législation existante. La loi sur l'IA est passée du statut à l'application active, la portée du DSA est testée contre les produits d'IA eux-mêmes, les gigafactories et EuropAI ont transformé la rhétorique de souveraineté en approvisionnement, et Wero, le droit à la réparation et les règles de recharge des VE ont atteint directement les consommateurs ordinaires. Ce que les interventions de BEUC et noyb ajoutent, c'est un contrôle de l'enthousiasme : adopter une règle et l'appliquer suffisamment bien pour changer les comportements sont encore deux choses différentes, et cette semaine a fourni des preuves des deux.