Fin août, nous avons publié un billet qui soutenait que septembre n'allait pas être un mois plus calme. Le raisonnement était simple. Août avait une échéance datée, ce qui en faisait un événement. Septembre n'avait aucun moment marquant unique, et c'est ce qui fait qu'un mois semble facultatif. Les obligations ne fonctionnent pas ainsi. Celles déjà en vigueur continuent de courir, et le travail qu'elles créent ne s'arrête pas parce que le calendrier paraît vide.
Septembre est maintenant terminé. Voici la version honnête de ce qui a changé, y compris sur notre propre plateforme, et de ce qui reste en suspens.
Ce qui a réellement bougé dans les règles
Trois points méritent d'être emportés en octobre, et aucun n'est une obligation nouvelle. Ce sont des clarifications d'obligations qui existaient déjà.
Une réserve de droits doit être lisible par une machine. Un tribunal allemand a considéré qu'un opt-out rédigé uniquement en prose, dans des conditions d'utilisation, ne remplit pas la fonction que la loi attend de lui. Si la réserve vise à empêcher la fouille de textes et de données, elle doit être exprimée sous une forme sur laquelle un robot d'indexation peut agir. C'est une instruction pratique, pas philosophique, et elle pèse sur qui publie l'oeuvre plutôt que sur qui entraîne le modèle.
Exprimer l'opt-out revient au titulaire des droits, le respecter revient au fournisseur. Ce sont deux obligations distinctes et elles ne s'annulent pas. Un éditeur qui n'exprime jamais de réserve n'a créé d'obligation pour personne. Un fournisseur qui ignore une réserve exprimée ne peut pas se retourner vers l'éditeur.
Les identifiants de contenu ne sont toujours pas une preuve. Davantage d'entreprises ont adopté les métadonnées de provenance cet été, et c'est une direction réellement bonne. Cela reste des métadonnées attachées à un fichier. Elles voyagent avec le fichier, elles peuvent en être retirées, et elles ne relient pas à elles seules l'oeuvre à une personne ni ne fixent le moment où l'oeuvre existait. L'adoption n'est pas la preuve.
Notre traitement plus complet des obligations de transparence se trouve sur la page consacrée au règlement européen sur l'IA.
Ce qui a changé sur cette plateforme
Septembre a aussi été le mois où le volet registre de cette plateforme a cessé d'être un projet pour devenir quelque chose d'utilisable. Quatre éléments sont entrés en service ensemble, et ils se comprennent mieux comme un enchaînement que comme quatre fonctions.
Identité. Un enregistrement peut désormais être rattaché à une personne dont le passeport a été vérifié, plutôt qu'à celui qui détient l'identifiant de connexion. C'est la pièce sur laquelle tout le reste s'appuie. Un horodatage peut prouver qu'un fichier existait à un instant. Il n'a jamais pu dire qui l'a fait.
Stockage sous séquestre en Suisse. Vous pouvez basculer votre stockage vers le séquestre suisse, et les fichiers que vous avez déjà suivent. Ensuite, chaque dossier que vous scellez y va de lui-même. La différence avec un disque cloud n'est pas l'emplacement, c'est la condition de restitution : un dossier cloud s'ouvre pour qui détient le mot de passe, et un dépôt sous séquestre est remis à une personne dont l'identité a été vérifiée. Deux choses méritent d'être sues avant de basculer, car elles ne sont pas évidentes. Le transfert emporte vos fichiers existants, et il ne se fait pas en sens inverse.
Un ISCC sur les fichiers déclarés. Une empreinte prouve qu'un fichier est, octet pour octet, celui que vous avez scellé. Elle ne dit plus rien dès que ce fichier est redimensionné, réenregistré ou réencodé, car à ce moment-là c'est un autre fichier. Un ISCC est un code pour l'oeuvre plutôt que pour le contenant, de sorte qu'une copie peut encore être reconnue comme votre oeuvre plus tard. C'est une norme internationale, ISO 24138, et elle est inscrite dans votre certificat de preuve. Certains formats ne peuvent pas être empreintés ; ces fichiers restent scellés et horodatés, ils ne portent simplement pas de code.
Étiquettes de contenu. Vous pouvez apposer sur tout fichier que vous scellez une étiquette indiquant quelle part l'IA a prise dans sa réalisation. Six sont proposées. Quatre décrivent l'oeuvre, deux décrivent la personne derrière elle. Le choix est figé dès que vous scellez le dossier, et c'est bien l'intérêt : une étiquette que personne ne peut modifier discrètement par la suite vaut davantage qu'une étiquette modifiable.
Nous avons écrit sur l'ouverture du registre ici.
Ce qui reste ouvert
Deux points sont véritablement inachevés, et il est plus utile de le dire que de laisser croire que le mois s'est refermé proprement.
Portefeuilles d'identité numérique. La position de la Commission européenne elle-même est que les États membres doivent mettre un portefeuille à disposition des citoyens d'ici la fin 2026. C'est à un trimestre d'ici, et pour la plupart des organisations la question pertinente n'est pas l'échéance en soi mais de savoir si quelque chose dans leur parcours de signature ou d'entrée en relation présuppose un portefeuille qui n'existe pas encore.
Les obligations de transparence continuent de s'appliquer. Les obligations de marquage et d'information prévues par l'article de transparence du règlement sur l'IA sont déjà en vigueur. Elles n'ont pas commencé en septembre et elles ne s'arrêtent pas en décembre. Ce qui change au prochain trimestre, c'est la tolérance accordée à ceux qui n'ont rien fait.
La vérification qui vaut la peine avant octobre
En août, nous suggérions une vérification de cinq minutes plutôt qu'un projet. Le conseil tient toujours, avec un ajout.
Prenez une réalisation que votre organisation a produite ce mois-ci. Posez-lui trois questions. Pouvez-vous montrer quand elle existait, sous une forme qui ne dépend pas de votre propre serveur de fichiers. Pouvez-vous montrer qui l'a faite, sous une forme qui ne dépend pas de ce que quelqu'un possède encore un identifiant. Pouvez-vous dire quelle part une machine y a prise, sous une forme que vous seriez à l'aise de défendre.
Si la réponse à l'une de ces questions est non, voilà la tâche d'octobre. Elle est plus petite qu'elle n'en a l'air, et considérablement plus petite maintenant qu'elle ne le sera après que quelqu'un vous aura posé la question dans un litige.
L'échéance qui compte reste celle qui court
L'argument que nous avancions en août n'a pas changé. Une échéance datée provoque un pic d'activité puis un creux. Les obligations qui créent réellement du travail sont les obligations continues, et le mois où l'on se trouve leur est indifférent. Septembre l'a démontré en étant un mois sans date marquante unique et avec un volume de changement considérable.
Octobre aura la même allure. Traitez-le en conséquence.
