Imaginez…

Au cours des dernières années, votre entreprise a investi fortement dans l'innovation en utilisant des systèmes d'IA dans l’environnement de travail. Vous ne le regrettez pas : l'entreprise est plus performante que jamais et plusieurs candidats se sont déjà présentés pour reprendre l'entreprise.

Lors d'une réunion stratégique sur le démarrage du processus d'acquisition, votre conseiller juridique vous explique qu’un nouveau règlement européen imposant des exigences strictes sur le développement et l'utilisation de l’IA a récemment été approuvé. Ce règlement pourrait également avoir un impact sur le processus d’acquisition.

Cela vous surprend. Vous demandez plus d’explications.

Quelques précisions.

Le 1er août 2024, le Règlement européen sur l’intelligence artificielle (le 'règlement sur l’IA') est entré en vigueur. Le règlement sur l’IA adopte une approche fondée sur les risques, classant les systèmes d'IA en quatre catégories de risques soumises à des règles distinctes : risque inacceptable (“pratiques interdites en matière d'IA”), risque élevé (“haut risque”), risque limité et risque minimal. Les systèmes d'IA les plus couramment utilisés au sein des entreprises à ce jour, à savoir les chatbots et les assistants IA, y compris ChatGPT et Microsoft Copilot, sont en principe considérés comme des systèmes d'IA à risque limité.

Les obligations du règlement sur l'IA s'appliqueront par phases au cours des trois prochaines années, avec l’application de l'interdiction des pratiques interdites en matière d’IA à partir du 2 février 2025.

Outre des obligations étendues pour les fournisseurs, les importateurs et les distributeurs de systèmes d'IA, le règlement sur l'IA contient également des obligations pour les “déployeurs” des systèmes d'IA, s'ils sont établis dans l'UE, ou dans un pays tiers si les sorties produites par le système d'IA sont utilisées dans l'UE. Le champ d’application large de la définition de déployeur signifie que toute entreprise qui utilise un système d'IA sous sa propre autorité à des fins professionnelles est soumise au règlement sur l'IA.

Par exemple, quelle que soit la classification des risques de leurs systèmes d'IA, les entreprises doivent prendre des mesures pour garantir un niveau suffisant de maîtrise de l’IA pour leur personnel et se conformer à des obligations de transparence supplémentaires pour certains systèmes d'IA. Pour les systèmes d'IA à haut risque (comme la majorité des systèmes d'IA utilisés dans l'éducation, la gestion des ressources humaines et les soins de santé), les obligations du déployeur sont plus étendues. Il s'agit notamment de prendre des mesures techniques et organisationnelles appropriées pour garantir que les systèmes d'IA sont utilisés conformément aux instructions d'utilisation, d'assurer un contrôle humain par des personnes qualifiées, de garantir des données d'entrée pertinentes et représentatives (dans la mesure où elles sont sous le contrôle du déployeur) et de surveiller le fonctionnement des systèmes d'IA.

Le non-respect des dispositions du règlement sur l'IA peut donner lieu à des amendes administratives considérables, pouvant s'élever jusqu’à 35.000.000 euros ou 7 % du chiffre d'affaires annuel mondial total de l’auteur de l’infraction.

Pourquoi ce règlement est-il pertinent pour une opération de fusion et acquisition ?

Le règlement sur l’IA aura un impact sur les opérations commerciales qu'il ne faut pas sous-estimer : l'utilisation des systèmes d'IA dans l'environnement de travail devient de plus en plus importante et le règlement sur l’IA a un champ d’application particulièrement large. Cet impact se répercutera sur les opérations de fusions et acquisitions.

Lors de la préparation d'une acquisition, il faudra veiller à identifier les systèmes d'IA de la société cible. Idéalement, le vendeur identifiera de manière proactive ses systèmes d'IA et collectera toutes les informations pertinentes (par exemple, avec quelles données le système a-t-il été formé, et comment et par qui le système a-t-il été développé). À tout le moins, dans le cadre de sa due diligence, l'acheteur potentiel doit s'assurer qu'il fait une bonne analyse de ces informations afin d'identifier les risques éventuels.

Les parties doivent également tenir compte du règlement sur l'IA lors de la rédaction du contrat d'achat d’actions (le SPA). Par exemple, des déclarations et garanties spécifiques peuvent être demandées pour faire face à des risques spécifiques à l'IA (par exemple, en termes de propriété intellectuelle, de protection des données, d'informatique et de cybersécurité, et de conformité aux lois). En fonction de l'importance de l'IA pour la société cible, ces déclarations et garanties peuvent être liées à des limitations de responsabilité distinctes en termes de temps et de montant. Les obligations de la société cible entre la signature du SPA (signing) et la réalisation de la transaction (closing) doivent également être prises en compte. Par exemple, il peut être interdit à la société cible de modifier la nature des données de formation, sa politique en matière d'IA et/ou ses procédures d'IA avant la date de closing. Enfin, on peut s'attendre à ce que toute préoccupation identifiée dans le cadre de la due diligence donne lieu à des indemnités spécifiques de la part du vendeur.

Plus généralement, le règlement sur l'IA est également susceptible d'avoir un impact sur d'autres aspects du processus d'acquisition. Prenons par exemple l'évaluation de la société cible et les conditions suspensives en vue de remédier au non-respect du règlement sur l'IA.

En résumé, tout comme le Règlement Général sur la Protection des Données, le respect du règlement sur l'IA deviendra une priorité dans le processus de fusion et acquisition. Un premier point d'action pour les entreprises est donc déjà d'identifier tous les systèmes d'IA qu'elles utilisent ou développent, et de s'assurer de leur compatibilité avec leurs obligations en vertu du règlement sur l’IA.

Une bonne résolution pour commencer la nouvelle année…

Concrètement.

• Le règlement sur l'IA est entré en vigueur le 1er août 2024.
• Le règlement sur l'IA impose des obligations à tous les acteurs de la chaîne de valeur de l'IA, y compris aux “déployeurs” des systèmes d'IA, quel que soit le secteur concerné.
• Le non-respect du règlement sur l'IA peut entraîner d'importantes amendes administratives pouvant aller jusqu'à 35.000.000 euros, ou 7 % du chiffre d'affaires annuel mondial total de l’auteur de l’infraction.
• Dans le cadre des opérations de fusions et acquisitions, le règlement sur l'IA sera un élément supplémentaire à prendre en compte à toutes les phases du processus, de la due diligence à la négociation et la rédaction des documents de transaction.
• Les différents volets et obligations du règlement sur l'IA entreront en vigueur par phases au cours des 3 prochaines années.
• La Commission européenne publiera des lignes directrices sur la mise en œuvre pratique du règlement sur l'IA.

Plus d’infos ?

Vous pouvez trouver le règlement sur l'IA ici.