Archives par mot-clé : Juridique

Pour la protection de leurs œuvres, les auteurs ont un droit d’opt-out, mais est-il efficace ?

Publié le par

Les IA génératives sont voraces et insatiables : elles ingurgitent de grandes quantités de données pour s’améliorer sans cesse. Problème : les ChatGPT, Midjourney et autres Bard utilisent des œuvres protégées sans avoir toujours l’autorisation. Pour les auteurs, l’opt-out est une solution insuffisante.

Par Anne-Marie Pecoraro*, avocate associée, UGGC Avocats

L’utilisation de l’intelligence artificielle (IA) dans les domaines artistiques tend à révolutionner la manière dont nous analysons, créons et utilisons les œuvres cinématographiques, littéraires ou encore musicales. Si, dans un premier temps, on a pu y voir un moyen presque anecdotique de créer une œuvre à partir des souhaits d’un utilisateur ayant accès à une IA, elle inquiète désormais les artistes.

Des œuvres utilisées comme inputs
Les algorithmes et les AI peuvent être des outils très efficaces, à condition qu’ils soient bien conçus et entraînés. Ils sont par conséquent très fortement dépendants des données qui leur sont fournies. On appelle ces données d’entraînement des « inputs », utilisées par les IA génératives pour créer des « outputs ». Malgré ses promesses, l’IA représente cependant un danger pour les ayants droit, dont les œuvres sont intégrées comme données d’entraînement. A titre d’exemple, la version 3.5 de ChatGPT a été alimentée avec environ 45 téraoctets de données textuelles. On peut alors se poser la question de la protection des œuvres utilisées comme inputs : l’ayant droit peut-il s’opposer ? La législation a prévu un droit d’« opt-out », que peuvent exercer les auteurs pour s’opposer à l’utilisation de leurs œuvres par une IA. A travers le monde, l’IA est encore peu règlementée.
Aux Etats Unis, il n’existe pas encore de lois dédiées portant spécifiquement sur l’IA, mais de plus en plus de décisions font office de « guidelines ». Au sein de l’Union européenne (UE), l’utilisation croissante de l’IA, à des fins de plus en plus variées et stratégiques, a conduit à faire de son encadrement une priorité. En effet, dans le cadre de sa stratégie numérique, l’UE a mis en chantier l’ « AI Act », un projet de règlement (1) visant à encadrer « l’usage et la commercialisation des intelligences artificielles au sein de l’UE » qui a été voté le 14 juin 2023 par le Parlement européen (2). Son adoption est prévue pour fin 2023 ou début 2024, avec une mise application 18 à 24 mois après son entrée en vigueur. A travers ce texte, le principal objectif du Parlement européen est d’établir un cadre juridique uniforme permettant l’innovation via l’IA, et de garantir que les systèmes d’intelligence artificielle utilisés dans l’UE soient sécurisés, transparents, traçables, non discriminatoires et respectueux de l’environnement. Au niveau national, l’encadrement de l’IA fait également couler beaucoup d’encre comme en témoigne, en France, la proposition de loi visant à encadrer l’intelligence artificielle par le droit d’auteur (3), déposée mi-septembre 2023. Trouver un équilibre entre deux objectifs – à savoir la protection des œuvres par le droit d’auteur et la libre utilisation des données nécessaire au bon fonctionnement des IA – constitue le but que cherche à atteindre l’UE, notamment à travers sa directive « Droit d’auteur dans le marché unique numérique » (4) de 2019, où elle établit un cadre qui permet aux IA de se développer – droit de fouilles de données – tout en offrant un contrôle aux auteurs sur leurs données – droit d’opt-out. Mais ce dernier droit suffit il à assurer la protection des œuvres ?
L’article 4 de cette directive dédiée au droit d’auteur permet les reproductions et les extractions d’objets protégés accessibles de manière licite, aux fins de la fouille de textes et de données, ou TDM (5). Elle permet la fouille de textes et de données tout en recherchant « un équilibre entre deux éléments : protéger les droits, et faciliter l’exploration de textes et de données ». En effet, la directive prévoit en son article 3 les fouilles de données dans un but scientifique tandis que l’article 4 prévoit la fouille effectuée par toute autre personne, peu importe la finalité. A la différence de l’article 3, l’article 4 prévoit une exception permettant aux auteurs de s’opposer à la fouille de données prévue dans ce même article : le droit d’opt-out (6). Précisons que les données utilisées peuvent être « conservées aussi longtemps que nécessaire aux fins de la fouille de textes et de données » (7).

Plaintes contre les IA « non autorisées »
On connaît le cas de Radio France qui a interdit l’accès d’OpenAI – la société californienne à l’origine de ChatGPT – à ses contenus, suivi par d’autres médias tels que France Médias Monde ou TF1. L’écrivain américain de science-fiction et de fantasy George R.R Martin, ainsi que d’autres auteurs tels que John Grisham, ont également porté plainte contre OpenAI pour avoir utilisé leurs œuvres pour se développer. Plus récemment, entre autres cas, la Sacem a utilisé ce droit afin de conditionner l’utilisation des données de ses membres par une IA à une « autorisation préalable et à une négociation financière » (8). Quant à la transposition de la directive « Droit d’auteur » de 2019 en droit français par une ordonnance de 2021 (9), elle rend l’exercice du droit d’opt-out plus restrictif. En effet, l’article L. 122-5-3 du code de la propriété intellectuelle (CPI) réserve ce droit aux auteurs alors que la directive ouvre ce droit aux ayants droits.

L’opt-out est-il efficace pour protéger ?
La propriété littéraire et artistique peut-elle protéger contre l’utilisation des données par les IA ? Il y a tout d’abord les difficultés de mise en œuvre du droit d’opt-out. La directive « Droit d’auteur » de 2019 a été votée à une époque où le législateur ne mesurait pas encore pleinement l’importance qu’allait prendre l’IA, et le système d’opt-out semble désormais insuffisant pour protéger les auteurs car il est difficile à appliquer. Tout d’abord, il existe une insuffisance d’information relative aux moyens d’exercer ce droit. Ensuite, Internet permet une multiplication des occurrences d’un même contenu en ligne, donc exercer son droit d’opt-out, alors que l’œuvre a déjà été diffusée et relayée par des internautes, semble inefficace. De surcroît, il a été mis en place en 2019, après qu’un nombre gigantesque d’œuvres aient déjà été rendues accessibles sur de nombreuses bases de données. Se pose donc la question du sort des œuvres qui ont déjà été utilisées précédemment par autrui ou par une IA pour générer un autre élément. Le droit d’opt-out n’a-t-il d’effet que sur les utilisations futures ?
Devant la difficulté d’exercer ce droit, certains acteurs tentent de mettre en place des solutions pour pallier ce problème, notamment en assurant une meilleure transparence quant au fonctionnement de l’IA. Google, par exemple, a mis en avant « Google-Extended » pour permettre aux auteurs d’avoir un meilleur contrôle sur leur contenu et sur la manière dont il pourrait être utilisé par des IA génératives (10). Il faut aussi sécuriser les droits d’auteur dans l’ère de l’intelligence artificielle : discernement, transparence, contreparties, protections de l’humain, … Les artistes et ayants droit réclament un droit d’accès leur permettant de savoir quelles œuvres et quelles données sont utilisées dans la fouille de données. Et ce, quand bien même ils auraient consenti à l’utilisation de certaines de leurs œuvres – leur autorisation ne couvrant pas nécessairement toutes leurs œuvres ni tous les systèmes d’IA. Dans le cas où ils se seraient opposés, ce dispositif d’information leur permettrait aussi de s’assurer qu’une autorisation n’a pas été accordée indûment par des tiers. La plupart des ayants droit estiment que, dans la mesure où le fonctionnement des algorithmes d’IA implique une reproduction d’objets protégés, « l’humain doit rester prioritaire et la titularité des droits doit revenir en priorité aux humains » (11). C’est d’ailleurs dans cette logique que s’est inscrite la table ronde de la Federal Trade Commission (FTC) sur l’« économie créative et les IA génératives » (12), organisée le 4 octobre 2023 pour que le législateur américain et les différentes autorités compétentes prennent en considération, dans leur mission de régulation, le point de vue des artistes, auteurs, compositeurs, réalisateurs et de toute personne dont les œuvres pourraient être utilisées par une IA générative.
Des syndicats américains tels que SAG-AFTRA ou WGA, rassemblant des centaines de milliers d’acteurs et de professionnels des médias, étaient présents lors de cette table ronde pour défendre une utilisation de l’IA saine, qui soit bénéfique à l’ensemble de leurs membres, aux travailleurs d’autres industries et au public en général. Pour s’assurer que l’ensemble des individus de cette industrie soient justement payés pour leur travail, plusieurs syndicats n’ont pas hésité à faire une grève générale de plusieurs mois à Hollywood (13) pour s’assurer du bon équilibre entre l’utilisation des IA génératives et les intérêts des individus car « les humains ont beau essayer de créer des IA de plus en plus intelligentes, elles ne remplaceront jamais la créativité humaine ». La grève – historique – a d’ailleurs porter ses fruits dans la mesure où elle a abouti sur un accord qui « permettra de construire des carrières de façon durable ». Outre des compensations financières obtenues des studios, le SAG-AFTRA affirme qu’ils ont négocié des « provisions sans précédent pour s’assurer du consentement et de la compensation [des acteurs], afin de protéger [ses] membres de la menace de l’IA » (15). @

* Anne-Marie Pecoraro est avocate spécialisée
en droit de la propriété intellectuelle,
des médias et des technologies numériques.

ZOOM

L’IA générative : quésaco ?
ChatGPT, Dall-E, Midjourney, Bard, Claude, … On connaît des exemples d’intelligence artificielle générative qui produisent de nouvelles données à partir de celles créées par des êtres humains, que ce soit sous forme de texte, d’images ou encore de musique. L’IA générative se concentre sur la création de données, de contenu ou de productions artistiques, de façon indépendante, tandis que l’IA classique se concentre, elle, sur des tâches spécifiques telles que la classification, la prédiction ou la résolution de problèmes. L’IA, qu’elle soit générative ou classique, repose sur l’apprentissage automatique (machine learning) et donc sur des algorithmes conçus de sorte que leur comportement évolue dans le temps en fonction des données qui leur sont fournies. L’IA générative utilise la puissance d’un modèle de langage naturel (GPT-3 et GPT-4 pour ChatGPT, par exemple). On parle d’« invite » pour une simple instruction donnée à l’IA générative en langage naturel (texte ou voix), sinon d’« ingénierie rapide » (prompt engineering, en anglais) lorsque les demandes sont plus élaborées. @

Guerre israélo-palestinienne : baptême du feu pour le Digital Services Act au sein des Vingt-sept

Publié le par

Depuis le déclenchement le 7 octobre par le Hamas de la nouvelle guerre en Israël/Palestine, les réseaux sociaux dans les Vingt-sept sont sous haute surveillance, avec des rappels à l’ordre de la part de la Commission européenne qui entend lutter contre les « contenus illicites » avec son DSA.

« Nous nous trouvons dans une période marquée par le terrorisme et la guerre aux portes de l’UE. Cela s’accompagne d’une guerre de l’information, d’une vague de désinformation et de manipulation et d’ingérence de l’information étrangère. Nous l’avons vu clairement avec le Kremlin après l’agression russe contre l’Ukraine. Nous le voyons maintenant après les actes barbares du Hamas. Nous devons sécuriser notre espace d’information. C’est de la plus grande urgence », a prévenu le 18 octobre à Strasbourg la vice-présidente de la Commission européenne Véra Jourová (photo), en charge des valeurs et de la transparence.

« Plateformes, outils pour les terroristes »
Et la commissaire européenne tchèque de mettre en garde les Twitter, Facebook et autres YouTube : « Nous ne pouvons tout simplement pas accepter ce que nous voyons actuellement : les plateformes en ligne deviennent un outil pour les terroristes, un outil pour diffuser du contenu illégal antisémite et violent. L’espace d’information doit être sûr pour les citoyens européens. L’incitation au terrorisme, le discours de haine, illégal, la louange des meurtres, la désinformation peuvent déclencher la violence dans la vie réelle ». Pourtant, l’arsenal juridique de l’Union européenne, avec lourdes sanctions pécuniaires maximales à la clé en cas de non-respect des obligations, est maintenant bien fourni. Entre le règlement européen du 29 avril 2021 de lutte contre la diffusion des contenus à caractère terroriste en ligne ou « Anti-Terrorism Online Act » (1), d’une part, et le règlement européen du 19 octobre 2022 concernant le marché unique des services numériques ou « Digital Services Act » (2), d’autre part, les réseaux sociaux et les plateformes de partage ont deux épées de Damoclès au-dessus de leur tête. Le « ATOA » et le « DSA » les menacent de sanctions financières en cas d’infractions à ces deux législations contraignantes, ou autrement dit si elles ne coopèrent pas avec les autorités compétentes des Etats membres. Ces amendes peuvent aller respectivement « jusqu’à 4 % du chiffre d’affaires mondial du fournisseur de services d’hébergement pour l’exercice précédent » (son article 18) et « jusqu’à concurrence de 6 % du chiffre d’affaires mondial annuel réalisé au cours de l’exercice précédent » (son article 74).
• L’ATOA, applicable dans toute l’Union européenne depuis le 7 juin 2022, oblige que tous les « fournisseurs de services d’hébergement » (réseaux sociaux, plateformes de partage vidéo ou encore moteurs de recherche, indépendamment du pays de leur établissement principal) « retirent les contenus à caractère terroriste ou bloquent l’accès à ces contenus dans tous les Etats membres dès que possible et, en tout état de cause, dans un délai d’une heure à compter de la réception de l’injonction de retrait » (article 3). Un formulaire est même indexé à l’ATOA – publié au Journal Officiel de l’UE daté du 17 mai 2021 – pour que l’autorité compétent d’émission de l’injonction de retrait du (ou des) contenu(s) en ligne à caractère terroriste puisse(nt) être supprimé(s) – dans l’heure. De plus, le destinataire (la plateforme numérique concernée) « conserve le contenu et les données connexes qui ont été retirés ou auxquels l’accès a été bloqué, pendant une période de six mois ou davantage à la demande des autorités ou juridictions compétentes » (article 6).
Malgré cette obligation de supprimer ou de bloquer dans l’heure les contenus terroristes en ligne notifiés, la Commission européenne estime que ce règlement ATOA n’empêche pas toujours ces contenus illicites de circuler sur les réseaux sociaux après les faits de terrorisme et les cas d’apologie du terrorisme. « Nous avons vu récemment, également après le tragique attentat terroriste en Belgique [lundi 16 octobre 2023 où des vidéos ont été diffusées et partagées sur les réseaux sociaux pendant plusieurs heures, ndlr], que des efforts sont nécessaires pour rendre cette loi plus efficace. Avec le vice-président Schinas [Margaritis Schinas, commissaire européen en charge de la promotion de notre mode de vie européen, ndlr] et le commissaire Johansson [Ylva Johansson, chargé des affaires intérieures, ndlr], nous nous entretenons avec les Etats membres, Europol et Interpol pour améliorer les mécanismes de notification. Je suis également en contact avec les plateformes sur cette question », a annoncé à Strasbourg Véra Jourová (3).

« Obligations de diligence » et rapport annuel
• Le DSA, applicable dans toute l’Union européenne à partir du 17 février 2024, est néanmoins applicable depuis le 16 novembre 2022 aux « très grandes plateformes en ligne et très grands moteurs de recherche en ligne » (article 33), dont la Commission européenne a officiellement dressé la liste le 25 avril 2023. Ce « Big 19 », comme Edition Multimédi@ a surnommé (4) ces grands acteurs du Net (Alibaba, AliExpress, Amazon Store, Apple AppStore, Booking.com, Facebook, Google Play, Google Maps, Google Shopping, Instagram, LinkedIn, Pinterest, Snapchat, TikTok, Twitter, Wikipedia, YouTube, Zalando, Bing, et Google Search), ont eu jusqu’au 25 août dernier pour se mettre en règle. Ce « Big 19 » a une « obligation de diligence » (chapitre III de ce règlement) vis-à-vis des « contenus illicites » qui sont signalés à ces très grandes plateformes numériques (moteurs de recherche compris), lesquelles doivent les supprimer ou les bloquer sans tarder. En outre, chacune d’elle s’apprête à fournir à la Commission européenne leur premier rapport d’« évaluation des risques », notamment « tout risque systémique » au sein de l’UE (article 34) – puis après un rapport « au moins une fois par an ».

Liberté d’expression, victime collatérale ?
Le problème est que le DSA donne une « définition large » (son considérant 12) de la notion de « contenus illicites ». Chaque géant du Net est tenu ainsi de lutter contre « la diffusion de contenus illicites en ligne et contre les risques pour la société que la diffusion d’informations trompeuses ou d’autres contenus peuvent produire ». L’extension du domaine de la lutte se le dispute au manque de délimitation claire du champ d’intervention de la loi, au risque de porter atteinte à la liberté d’expression des Européens (5). « Nous utilisons nos structures uniques pour lutter contre la montée de la haine, de la violence et du contenu illégal en ligne. Il n’y a pas de solution miracle, il n’y a pas un seul outil pour s’attaquer à tous les problèmes. Aussi, parce que la liberté d’expression doit, est et sera protégée en ligne et hors ligne », a tenu tout de même à rassurer Véra Jourová. D’autant que cette bataille contre ces « contenus illicites », qui ne sont pas forcément générés par des criminels et des terroristes (loin s’en faut) ne relève pas, la plupart du temps, de la décision d’un juge mais d’une autorégulation privée sans qu’il y ait de véritable garde-fou judiciaire.
« Le DSA travaille main dans la main avec notre code anti désinformation (6) qui est un outil plus agile qui nous permet de réagir rapidement aux risques et aux crises en coopération avec la société civile et les plateformes, a précisé Véra Jourová. Nous utilisons une structure unique pour prendre rapidement les mesures nécessaires et améliorer les situations. […] J’ai ainsi demandé à l’Observatoire européen indépendant des médias numériques [l’Edmo, financé par Bruxelles, ndlr] de faciliter le travail au niveau opérationnel avec la communauté et les plateformes d’experts ». Cet organisme de la société civile, l’European Digital Media Observatory (Edmo), a été créé en juin 2020 par l’Institut universitaire européen de Florence (Italie), le Datalab de l’université d’Aarhus à Athènes (Grèce), et Pagella Politica, un site italien dédié au fact-checking des déclarations politiques (7). Le 17 octobre, le jour-même du bombardement de l’hôpital Al-Ahli Arab au sujet duquel chaque partie du conflit israélo-palestinien se rejette la faute, l’Edmo a publié une « analyse préliminaire de la désinformation liée au conflit entre Israël et le Hamas », dont la Commission européenne a aussitôt pris connaissance. Il en ressort que « l’attaque surprise du Hamas contre des villes israéliennes à la frontière avec Gaza le matin du samedi 7 octobre 2023, ainsi que la réaction militaire suivante d’Israël, ont provoqué une vague considérable de désinformation sur toutes les grandes plateformes de médias sociaux » (8).
Le commissaire européen Thierry Breton (photo ci-dessous) a immédiatement réagi en faisant savoir le 18 octobre qu’il adressait quatre lettres aux dirigeants respectifs de X – Elon Musk (9) –, Meta (Facebook, Instagram), TikTok et YouTube (Google) pour les rappeler à l’ordre et leur rappeler que ces très grandes plateformes doivent respecter leurs obligations « DSA » depuis le 25 août. « Nous ne laisserons pas la terreur & la #désinformation nous diviser ou miner notre démocratie », a tweeté Thierry Breton (10) après son intervention à ce sujet au Parlement européen. Et le 19 octobre, la Commission européenne a ouvert trois enquêtes (demandes formelles d’informations) à l’encontre de X, Meta et TikTok, tout en demandant aux Etats membres « d’accélérer la mise en place de la gouvernance prévue par le DSA ». Et ce, sans attendre « le 17 février 2024 au plus tard » pour désigner leur « coordinateur pour les services numériques » (Digital Services Coordinator), une autorité indépendante chargée de contrôler le respect du règlement par les services en ligne établis sur leur territoire (11). A savoir pour la France : l’Arcom (12).
Mais des voix de la société civile, plus soucieuses de la liberté d’expression et de droits fondamentaux, se sont élevées contre la pression exercée par la Commission européenne. « A l’attention du commissaire européen chargé du marché intérieur Thierry Breton, nous, les organisations soussignées [une trentaine d’ONG, ndlr], vous écrivons en réponse à quatre lettres que vous avez récemment adressées à Meta, X, TikTok, et plus récemment, YouTube […] dans le contexte des conflits […] dans la bande de Gaza et en Israël », a par exemple écrit Accessnow dans une lettre ouverte datée du 18 octobre (13).

Thierry Breton en fait trop, selon 30 ONG
Et cette association internationale basée à New-York de mettre en garde Thierry Breton : « Nous sommes préoccupés par l’interprétation de la loi présentée dans ces lettres. Premièrement, les lettres établissent une fausse équivalence entre le traitement du contenu illicites du DSA et la “désinformation” […] pouvant présenter un risque important pour les droits de la personne et le discours public. […] Deuxièmement, le DSA ne prévoit pas de délais pour les suppressions de contenu […]. Troisièmement, le DSA n’impose pas aux fournisseurs de services l’obligation d’appliquer [leurs] propres politiques de façon uniforme et diligente ». La démocratie est prise en étaux entre l’ATOA et le DSA. @

Charles de Laubier

Etat de la « Décennie numérique » : le premier rapport illustre l’échec européen face aux GAFAM

Publié le par

La Commission européenne a publié le 27 septembre son premier rapport sur l’état d’avancement de « la décennie numérique ». Le constat est sévère : « lacunes », « retard », « insuffisance », « écart d’investissement », … Les champions européens du digital se font rares, les licornes aussi.

Lors de son tout premier discours annuel sur l’état de l’Union européenne (exercice renouvelé chaque année), le 16 septembre 2020 devant les eurodéputés, la présidente de la Commission européenne, Ursula von der Leyen, avait déclaré qu’il était grand temps de réagir face à la domination des GAFAM et de faire des années 2020 « la décennie numérique » de l’Europe qui doit « montrer la voie à suivre dans le domaine du numérique, sinon elle sera contrainte de s’aligner sur d’autres acteurs qui fixeront ces normes pour nous ». Trois ans après, force est de constater que les acteurs américains dominent encore et toujours Internet.

Champions européens du numérique ?
Dans son premier rapport sur l’état d’avancement de « la décennie numérique » 2020-2030, présenté le 27 septembre par les commissaires européens Véra Jourová (photo de gauche), vice-présidente chargée des valeurs et de la transparence, et Thierry Breton (photo de droite), commissaire au marché intérieur, la Commission européenne n’y trouve pas son compte. Le spectre des GAFAM plane sur l’Europe numérique, même s’ils ne sont pas nommés dans ce rapport. Aucun européen n’apparaît d’ailleurs parmi les six très grands acteurs du Net (les « gatekeepers ») désignés le 6 septembre dernier par la Commission européenne (1). Les américains Alphabet (Google Search/Maps/Play/ Shopping /YouTube/Android/Chrome), Amazon (Marketplace), Apple (iOS/App Store/Safari), Meta (Instagram/Facebook/ WhatsApp/Messenger) et Microsoft (Windows/LinkedIn), ainsi que le chinois ByteDance (TikTok), devront à partir du 6 mars 2024 se conformer tous aux obligations du Digital Market Act (DMA).
Auparavant, le 25 avril dernier, la Commission européenne avait publié la liste des très grandes plateformes grand public (2) tenues de se conformer, cette fois, au Digital Services Act (DSA) : sur les dix-neuf acteurs du Net ainsi désignés, seulement deux d’entre eux émanent de l’Union européenne, à savoir le néerlandais Booking, et l’allemand Zalando. Tous les autres sont soit américains : Google retenu avec cinq plateformes (Google Play, Google Search, YouTube, Google Maps et Google Shopping), Meta avec deux (Facebook et Instagram), Microsoft avec deux (Bing et LinkedIn). Amazon avec Amazon Store, Apple avec App Store, ainsi que Pinterest, Snap avec Snapchat, ByteDance avec TikTok, Twitter (devenu X) et Wikipedia. Le chinois Alibaba avec AliExpress complète ce « Big 19 » (3).
Autant dire que l’Union européenne reste colonisée, surtout par les géants américains du numérique et dans une moindre mesure par des géants chinois. Ce premier rapport du « Digital Decade » (4) ne dit mot sur la quasi-absence de champions européens du digital au sein des Vingt-sept, du moins explicitement. « Il est essentiel de progresser (…) pour favoriser la montée en puissance des acteurs numériques mondiaux européens, qui concevront les modèles économiques de demain et façonneront les technologies et applications numériques qui intègrent les valeurs européennes et contribuent aux intérêts de l’UE », est-il toujours fixé comme ambition à l’horizon 2030. Entre mars 2021 – date de la publication de la communication de la Commission européenne intitulée « Une boussole numérique pour 2030 : l’Europe balise la décennie numérique » (5) – et septembre 2023, les géants européens du Net tardent à émerger. Il y a deux ans et demi, le constat était déjà sans appel : « La position des acteurs européens est loin d’être en rapport avec le poids économique mondial de l’UE dans des secteurs technologiques clés tels que ceux des processeurs, des plateformes web et des infrastructures du nuage : par exemple, 90 % des données de l’UE sont gérées par des entreprises américaines, moins de 4 % des principales plateformes en ligne sont européennes et les puces électroniques européennes représentent moins de 10 % du marché européen ». Une autre préoccupation majeure pour la Commission européenne réside dans le secteur des fournisseurs de services de données sur le marché du cloud (services infonuagiques), « de plus en plus dominé par des acteurs non européens »malgré un contexte de forte croissance de ce marché.

Consortium EDIC, censé accélérer vers 2030
Aujourd’hui, à défaut de champions européens du numérique, et encore moins de taille mondiale capables de rivaliser avec les GAFAM et les BATX, le rapport « Digital Decade » recommande de faciliter la croissance des entreprises innovantes et d’améliore leur accès au financement, « ce qui entraîne au moins le doublement du nombre de licornes ». Et face à la déferlante de l’intelligence artificielle, popularisée par les IA génératives (ChatGPT en tête de l’américain OpenAI), elle craint aussi que les acteurs européens soient aux abonnés absents. « Les Etats membres devraient prendre des mesures politiques et affecter des ressources pour soutenir l’adoption de solutions fiables et souveraines basées sur l’IA par les entreprises européennes », recommande-t-elle. Les Vingtsept sont aussi invités à s’unir au sein du consortium EDIC (European Digital Infrastructure Consortium), créé dans le cadre du programme « Digital Decade 2030 » pour accélérer dans l’IA, le cloud et le Big Data (6).

Licornes européennes à défaut de Big Tech
La Commission européenne estime en outre que les Vingtsept peuvent mieux faire en matière de licornes, ces entreprises non cotées en Bourse mais valorisées au moins 1 milliard d’euros. « Au début de 2023, seules 249 licornes étaient basées dans l’UE contre 1.444 aux Etats-Unis et 330 en Chine. Des efforts supplémentaires importants sont […] nécessaires pour stimuler l’écosystème à grande échelle. En effet, il n’existe actuellement aucun écosystème de start-up de l’UE dans le Top 10 mondial. Le meilleur écosystème de l’UE – Berlin – s’est classé au 13e rang mondial, suivi d’Amsterdam (14e) et de Paris (18e). La situation est encore plus critique dans les technologies de pointe, y compris l’IA, où le capital-risque de l’UE est encore loin derrière les EtatsUnis ».
Mais le rapport « Digital Decade » ne désespère pas puisqu’il constate que l’Union européenne semble avoir bien progressé en ce qui concerne l’objectif « Licornes » qui table sur 498 licornes basées dans l’UE d’ici 2030. Seulement la moitié du chemin a été fait, et il reste beaucoup à faire pour faire naître un géant mondial du numérique d’origine européenne : « Si cette tendance se poursuit, l’UE devrait atteindre l’objectif de la décennie numérique concernant le nombre de licornes dans deux ans. Malgré cela, des efforts supplémentaires sont nécessaires pour atteindre une position de leader sur la scène mondiale, en facilitant la croissance des entreprises innovantes de l’Union [européenne] et en améliorant leur accès au financement ». Les Etats membres sont donc encouragés à créer de nouvelles opportunités de financement telles que des fonds pour boucler des tours de table d’investisseurs (late-growth funding ou late stage, comme les fonds de fonds) afin de propulser la croissance de la start-up pour la transformer en licorne, et peut-être ensuite en Big Tech européenne. Cela peut passer par des fonds publics pour attirer des capitaux privés dans des start-up et des scale-up de haute technologie (deep tech), notamment par le biais de l’initiative européenne ETCI (European Tech Champions Initiative), qui est un fonds de fonds doté de 3,7 milliards d’euros grâce à l’implication financière de la Banque européenne d’investissement (EIB), l’Espagne, l’Allemagne, l’Italie, la Belgique et la France (7).
L’« Union » fait la force. Encore faut-il qu’émergent de tous ces financements public-privé des « GAFAM » européens capables de concurrencer les géants américains et chinois du numérique. Il reste sept ans et demi pour y parvenir d’ici 2030. La commission « von der Leyen » (2019-2024) a pris du retard (8) ; la prochaine Commission européenne (2024-2029) devra relever le défi. @

Charles de Laubier

Un livre blanc prône la régulation du smart contract

Publié le par

En fait. Le 4 octobre dernier, a été divulgué par l’association Paris Place de Droit un livre blanc intitulé « Quel avenir pour le smart contract en France ? Oser la vitesse sans la précipitation », dont les coauteurs sont l’avocat Fabrice Lorvo (FTPA) et l’étudiant Timothée Charmeil (Harvard Law School).

En clair. Lors de sa « Nuit du Droit », qui a eu lieu le 4 octobre au Tribunal de Commerce de Paris, l’association Paris Place de Droit – créée en 2015 pour promouvoir la capitale de la France comme place juridique internationale – a présenté un livre blanc sur le smart contract (1). La traduction en français est « contrat intelligent » mais les auteurs la jugent « trompeuses ». « Le smart contract, tel qu’utilisé aujourd’hui, peut alors être défini comme le protocole informatique organisant l’échange automatique d’actifs dématérialisés enregistré sur une blockchain » expliquent les coauteurs Fabrice Lorvo (avocat, cabinet FTPA) et Timothée Charmeil (Harvard Law School).
Le smart contract permet ainsi de fusionner en un seul acte – certifié et authentifié sur la blockchain – la conclusion du contrat et son exécution, de supprimer l’intervention des intermédiaires comme le banquier ou l’huissier de Justice, et de rendre inéluctable la phase d’exécution du contrat lorsque les conditions sont objectivement réalisées. « En effet, souligne le livre blanc de la commission “numérique et juridique” de l’association Paris Place de Droit (2), nul ne peut empêcher l’exécution du smart contract dans les conditions prévues par le code enregistré dans la blockchain ». L’exécution est alors irréversible. Et ce, « quoi qu’il en coûte ». Si le smart contract est une réalité omniprésente, ne serait-ce que dans les conversions entre les dollars, euros et autres yen (monnaies dites « fiat », traduit « décret » en anglais car relevant de la politique monétaire des banques centrales des Etats) et les cryptomonnaies (bitcoin, ethereum, ripple, etc.), il n’en est pas moins un objet juridique non-identifié (OJNI) venant d’« un univers numérique plus complexe encore » (wallet, actifs électroniques, cryptomonnaies, blockchain, NFT (3), …).
« Théoriquement, tous les contrats d’affaires pourraient prendre la forme de smart contract. […] Malgré des avantages indéniables, le smart contract présente également des inconvénients tout aussi indéniables [cas de non-paiement, code informatique méconnu, absence de consentement, mauvais codage, litiges, anonymat, asymétrie d’information entre auteurs et mineurs, ou encore absence de norme sur les algorithmes]. Inconvénients qui nécessiteront l’adoption d’une réglementation qui semble ne pouvoir être qu’internationale », affirment les coauteurs. Si ce n’est, via le Data Act (4), européenne. @

La Quadrature du Net n’a pas réussi à « faire tomber » l’ex-Hadopi devant le juge européen

Publié le par

L’association de défense des libertés fondamentales La Quadrature du Net n’a pas convaincu l’avocat général de la Cour de Justice européenne (CJUE) que l’Hadopi – devenue, avec le CSA en 2022, l’Arcom – agissait illégalement dans le traitement des données personnelles pour la riposte graduée.

Comme la Cour de Justice de l’Union européenne (CJUE) suit souvent – à près de 80% selon les statistiques – les conclusions de son avocat général, il y a fort à parier que cela sera le cas dans l’affaire « La Quadrature du Net versus Hadopi ». En l’occurrence, le 28 septembre 2023, l’avocat général de la CJUE – le Polonais Maciej Szpunar (photo) – conclut que la conservation et l’accès à des données d’identité civile, couplées à l’adresse IP utilisée, devraient être permis lorsque ces données constituent le seul moyen d’investigation permettant l’identification d’auteurs d’infractions exclusivement constituées sur Internet.

15 ans de combat contre la loi Hadopi
La Quadrature du Net (LQDN) est donc en passe de perdre un combat qu’elle a engagé il y a quinze ans – contre la loi Hadopi et contre l’autorité administrative indépendante éponyme pratiquant la « réponse graduée » à l’encontre de pirates présumés sur Internet de musiques et de films ou d’autres contenus protégés par le droit d’auteur.
L’association française défenseuse des libertés fondamentales à l’ère du numérique était repartie à la charge contre l’Hadopi. Et ce, en saisissant en 2019 le Conseil d’Etat – avec FDN (1), FFDN (2) et Franciliens.net – pour demander l’abrogation d’un décret d’application de la loi « Hadopi » signé par le Premier ministre (François Fillon à l’époque), le ministre de la Culture (Frédéric Mitterrand) et la ministre de l’Economie (Christine Lagarde). Ce décret « Traitement automatisé de données à caractère personnel » (3) du 5 mars 2010 permet à l’ex-Haute autorité pour la diffusion des œuvres et la protection des droits sur Internet (Hadopi) – devenue l’Arcom (4) en janvier 2022 par fusion avec le CSA – de gérer un fichier « riposte graduée » constitué de données obtenues auprès des ayants-droits (les adresses IP) et des fournisseurs d’accès à Internet (l’identité civile).
L’association LQDN a considéré devant le Conseil d’Etat que « la riposte graduée est doublement contraire au droit de l’Union européenne ». « D’une part, elle repose sur un accès à l’adresse IP des internautes accusés de partager des fichiers. D’autre part, elle implique l’accès à l’identité civile de ces internautes. Or, la CJUE estime que seule la criminalité grave permet de justifier un accès aux données de connexion (une adresse IP ou une identité civile associée à une communication sont des données de connexion). L’accès par l[‘]Hadopi à ces informations est donc disproportionné puisqu’il ne s’agit pas de criminalité grave » (5). A ces griefs portés par LQDN à l’encontre de la réponse graduée s’ajoute le fait que ce même décret oblige les opérateurs télécoms – Orange, SFR, Bouygues Telecom et Free principalement – et les hébergeurs à conserver pendant une durée d’un an les données de connexion de l’ensemble des internautes, à savoir leurs identifiants, la date, l’heure et l’objet de leurs consultations. C’est par cette conservation généralisée des données de connexion – en particulier de l’adresse IP considérée comme une donnée personnelle depuis une décision (6) de la Cour de cassation en 2016 (subordonnant leur collecte à une déclaration préalable auprès de la Cnil) – que l’Hadopi (devenue Arcom) peut identifier les internautes « flashés » sur le Net. Rappelons que depuis près de quinze ans maintenant, ce sont les organisations de la musique (SCPP, Sacem/SDRM et SPPF) et du cinéma (Alpa) qui fournissent à l’Hadopi-Arcom les millions d’adresses IP collectées par la société nantaise Trident Media Guard (TMG) sous le contrôle de la Cnil (7).
Or, n’a cessé de rappeler LQDN, ce régime de conservation généralisée des données de connexion est contraire au droit de l’Union européenne puisque la CJUE elle-même s’est opposées – dans quatre arrêts différents (2014, 2016, 2020 et 2022) – à toute conservation généralisée et indifférenciée des données de connexion, sauf à deux conditions cumulatives : qu’il s’agisse d’affaires de criminalité grave et à la condition qu’il y ait un contrôle préalable de ces accès par une autorité indépendante. LQDN avait « enfoncé le clou », selon sa propre expression, en posant lors de sa saisine du Conseil d’Etat une question prioritaire de constitutionnalité (QPC) pour demander au Conseil constitutionnel de se prononcer sur la conformité à la Constitution d’une loi lorsque celle-ci (loi Hadopi de 2009 et son décret « Traitement automatisé de données à caractère personnel ») est cruciale pour la résolution d’un litige.

Adresse IP : « Petit couac », grande procédure
Dans une décision alambiquée rendue le 20 mars 2020, le Conseil constitutionnel a censuré le mot « notamment » jugé anticonstitutionnelle dans l’article 5 de la loi dite « Hadopi 1 » (8). Les juges du Palais-Royal avaient ainsi ordonné à l’Hadopi de s’en tenir aux seules données personnelles que sont « l’identité, l’adresse postale, l’adresse électronique et les coordonnées téléphoniques » de l’abonné concerné (9). Or dans cette énumération, il n’y a pas l’adresse IP parmi les données personnelles. « Petit couac pour la Hadopi », s’était alors félicitée LQDN. Les quatre associations françaises ont profité de cette brèche pour remonter au créneau juridictionnel en affirmant que l’accès par l’Hadopi- Arcom aux adresses IP des internautes contrevenants est illégal (car il n’y a pas de criminalité grave au sens de la CJUE) et que le décret permettant d’enregistrer ces adresses IP serait sans fondement depuis cette censure partielle du Conseil constitutionnel (l’adresse IP n’étant pas mentionné).

Deux mêmes conclusions de l’avocat général
Pour une nouvelle audience publique organisée précipitamment par Conseil d’Etat le 3 mai 2021 dans le cadre de cette même affaire (n°433539), les associations LQDN, FDN, FFDN et Franciliens.net ont déposé un nouveau mémoire (10) développant ces deux points susceptibles de « faire tomber » l’Hadopi. « Le Conseil d’Etat a décidé de botter en touche et de transmettre à la CJUE une “question préjudicielle” (c’est-à-dire une question relative à l’interprétation du droit de l’UE) sur l’accès par la Hadopi à l’identité civile à partir de l’adresse IP d’une personne. Rien concernant l’accès à l’adresse IP préalable à l’accès à l’identité civile. Rien non plus concernant la conservation de ces données, alors même que la question de l’accès est intimement liée à celle de la conservation », avait pointé LQDN. Le mémoire, déposé par l’avocat des associations, Alexis Fitzjean Ó Cobhthaigh, conclut que « le décret [“Traitement automatisé de données à caractère personnel” du 5 mars 2010] attaqué a été pris en application de dispositions législatives contraires à la Charte des droits fondamentaux de l’Union européenne […], ainsi qu’à […] la directive [“ePrivacy”] du 12 juillet 2002 en ce qu’il organise l’accès par [l‘Hadopi] à des données de connexion ».
Donc, « le refus, opposé par le Premier ministre, d’abroger ces dispositions, est illégal et ne pourra ainsi qu’être annulé ». A la question préjudicielle transmise par le Conseil d’Etat, l’avocat général de la CJUE Maciej Szpunar avait une première fois – le 27 octobre 2022 (affaire n°C-470/21) – présenté ses conclusions : « L’article 15, paragraphe 1, de la directive [“ePrivacy”], lu à la lumière […] de la Charte des droits fondamentaux de l’Union européenne, […] ne s’oppose pas à une réglementation nationale [la loi Hadopi et son décret contesté en France, ndlr] permettant la conservation […] des données d’identité civile correspondant à des adresses IP […] lorsque ces données constituent le seul moyen d’investigation permettant l’identification de la personne à laquelle cette adresse était attribuée au moment de la commission de l’infraction » (11). Fermez le ban ? Or coup de théâtre, la grande chambre de la CJUE a demandé le 7 mars 2023 le renvoi de cette affaire à l’assemblée plénière. Par cette réouverture de la procédure pour poser des questions orales, notamment sur l’identité civile correspondant à une adresse IP (12) et en présence cette fois du Contrôleur européen de la protection des données (CEPD) et de l’Agence de l’Union européenne pour la cybersécurité (ENISA), l’avocat général Maciej Szpunar a dû « approfondir certains éléments de [son] raisonnement ». Mais ses deuxièmes conclusions présentées le 28 septembre 2023 s’avèrent identiques (13) aux premières du 27 octobre 2022.
Tout ça pour ça, pourrait-on dire. La réponse graduée est donc sur le point – sans préjuger du verdict final de la CJUE – d’être confortée au regard du droit de l’Union européenne, alors que le traitement automatisé de données à caractère personnel de la loi Hadopi de 2009 et de son décret du 5 mars 2010 semblaient « hors-la-loi ». Faut-il rappeler le fonctionnement de la réponse graduée :
• Dans un premier temps, et sans contrôle préalable par une juridiction ou une entité administrative, l’adresse IP (donnée personnelle) de l’internaute collectées par les ayants droit est transmise au FAI (14) par l’Arcom (ex-Hadopi) pour obtenir d’eux (Orange, SFR, Bouygues Telecom et Free) l’identité civile de l’internaute présumé « pirate du Net » ;
• Dans un second temps, l’Arcom (ex-Hadopi) adresse à ce dernier une recommandation lui enjoignant de s’abstenir de tout nouveau manquement, suivie d’un nouvel avertissement en cas de renouvellement de l’atteinte. S’il n’est pas tenu compte des deux premiers avertissements et qu’une troisième atteinte a lieu, l’Arcom (ex-Hadopi) peut saisir l’autorité judiciaire compétente en vue d’engager des poursuites pénales.
La réponse graduée porte-t-elle atteinte à la vie privée de l’internaute ? Réponse de Maciej Szpunar : « Ainsi que je l’ai souligné, la gravité de l’ingérence que suppose la mise en relation d’une donnée d’identité civile et d’une adresse IP est bien moindre que celle résultant de l’accès à l’ensemble des données de trafic et de localisation d’une personne, dans la mesure où cette mise en relation n’apporte aucun élément permettant de tirer des conclusions précises sur la vie privée de la personne visée ». Ce à quoi l’avocat général ajoute : « Ainsi que je l’ai déjà souligné, (…) l’obtention des données d’identité civile correspondant à une adresse IP est le seul moyen d’investigation permettant l’identification de la personne à laquelle cette adresse était attribuée au moment de la commission de l’infraction en cause ».

Mise en cause de la jurisprudence existante ?
Pour convaincre la CJUE, il précise tout de même que « la solution qu[‘il] propose vise non pas à remettre en cause la jurisprudence existante, mais à permettre, au nom d’un certain pragmatisme, son adaptation en des circonstances particulières et très étroitement circonscrites ». L’affaire semble entendue. A moins que la CJUE ne suivent pas les conclusions de son avocat général, comme cela est le cas dans plus de 20 % des affaires tout de même… A suivre. @

Charles de Laubier