Le projet de loi colombien sur l'IA imite les règles de l'UE mais manque de capacités d'application

Le Congrès de Colombie débat d'un projet de loi sur l'intelligence artificielle qui semble avoir été rédigé à Bruxelles mais qui devra fonctionner à Bogotá. Le projet de loi 025 de 2026, présenté par le caucus congressuel du parti sortant Pacte historique quelques semaines avant son départ du pouvoir, adopte presque intégralement l'architecture fondée sur les risques de la loi sur l'IA de l'Union européenne. Il définit des catégories de risques, impose des évaluations d'impact, exige la transparence et la supervision humaine, et crée une autorité nationale de l'IA habilitée à mettre à jour la liste des systèmes à haut risque. Ce qu'il ne fait pas, c'est expliquer comment un pays disposant d'une fraction de la capacité administrative, de l'expertise technique et des ressources financières de l'UE appliquera l'une ou l'autre de ces mesures.

Un plan européen sans infrastructure européenne

La loi sur l'IA de l'UE n'est pas apparue isolément. Elle repose sur un marché intégré de 450 millions de personnes, soutenu par des régulateurs nationaux dans chaque État membre, un réseau d'organismes notifiés et un ordre juridique capable de répartir les obligations entre développeurs, fournisseurs, déployeurs et autorités de surveillance. La Colombie ne dispose d'aucune de ces infrastructures. Son autorité de protection des données, créée seulement en 2021, est encore en train de construire sa capacité opérationnelle de base. Le Ministère des Sciences, de la Technologie et de l'Innovation, désigné comme régulateur de l'IA dans le projet de loi, dispose d'un budget qui reflète les contraintes budgétaires plus larges du pays. Adopter une loi qui suppose l'existence d'une machine d'application de niveau européen ne crée pas cette machine.

C'est un cas d'école d'échec de transplantation réglementaire. Lorsqu'un cadre conçu pour un environnement institutionnel est transféré vers un autre sans adaptation, le résultat est souvent un ensemble d'obligations que les acteurs locaux ne peuvent pas respecter et que les acteurs étrangers peuvent ignorer. Dans le cas de la Colombie, l'asymétrie est aiguë. Les systèmes d'IA les plus puissants sont développés par des entreprises concentrées aux États-Unis et en Chine. Les entreprises et les agences publiques colombiennes sont majoritairement des déployeurs, pas des fournisseurs. Elles intègrent des modèles qu'elles n'ont pas construits, entraînés sur des données qu'elles n'ont pas collectées, fonctionnant sur des infrastructures qu'elles ne contrôlent pas.

Le piège du déployeur-fournisseur

La loi sur l'IA de l'UE distingue soigneusement les fournisseurs, qui construisent et mettent sur le marché des systèmes à haut risque, et les déployeurs, qui les utilisent sous leur propre autorité. Les fournisseurs supportent les lourdes obligations : documentation technique, systèmes de gestion des risques, évaluation de la conformité, surveillance post-commercialisation. Les déployeurs font face à des devoirs plus légers mais toujours significatifs : supervision humaine, qualité des données d'entrée, signalement des incidents. Cette division fonctionne en Europe car de nombreux fournisseurs sont européens ou ont des établissements dans l'UE, et la régulation a une portée extraterritoriale. Le projet de loi colombien reproduit les obligations des déployeurs mais n'établit pas d'autorité extraterritoriale équivalente sur les fournisseurs étrangers. Une petite startup colombienne utilisant un modèle fermé d'une entreprise américaine pourrait être légalement tenue de garantir l'explicabilité et de mener des audits algorithmiques d'un système dont elle ne peut pas inspecter l'architecture, les données d'entraînement et les procédures d'évaluation.

Le problème n'est pas théorique. Dans la santé, la justice, la surveillance et l'administration publique, les entités colombiennes achètent déjà des outils pilotés par l'IA provenant de l'étranger. Le projet imposerait des coûts de conformité du côté colombien de la transaction tout en laissant les décisions en amont sur la conception des modèles, la gouvernance des données et l'atténuation des risques entièrement hors de la juridiction colombienne. Ce n'est pas une régulation efficace. C'est un transfert de charge réglementaire vers la partie la moins capable d'influencer la technologie.

Pouvoir discrétionnaire de l'exécutif et questions constitutionnelles

L'article 5 du projet énonce des critères généraux de classification des risques mais permet à l'autorité nationale de l'IA, le Ministère des Sciences, de la Technologie et de l'Innovation, d'établir et de mettre à jour la liste des utilisations à haut risque par le biais d'un acte administratif motivé après consultation publique. L'article 7 donne au ministère le pouvoir d'émettre des recommandations techniques contraignantes sur le niveau de risque de systèmes spécifiques. En effet, un organe exécutif déciderait quelles applications d'IA déclenchent les obligations légales les plus lourdes, les mesures d'intervention finales étant réservées à d'autres autorités. Du point de vue de la procédure régulière algorithmique, cela soulève de sérieuses questions. Les décisions qui déterminent si un système peut être déployé ou non, et sous quelles contraintes, affectent les droits fondamentaux. La Cour interaméricaine des droits de l'homme a longtemps soutenu que reconnaître formellement un droit ne suffit pas ; l'État doit créer les conditions pour le garantir. Un pouvoir de classification aussi large, confié à un ministère sans critères législatifs clairs ni contrôle juridictionnel effectif, risque de devenir un chèque en blanc réglementaire.

Dépendance technologique et colonialité des données

Sous le débat technique se cache un débat structurel. Les pays du Sud global consomment de plus en plus d'infrastructures technologiques développées par des entreprises ayant leur siège dans une poignée de nations. Ils peuvent réguler la façon dont ces systèmes sont utilisés, mais ils ont peu de contrôle significatif sur les modèles, la puissance de calcul ou les connaissances nécessaires pour transformer les données en puissance économique et technologique. Le projet ne confronte pas cette asymétrie. Il régule l'extrémité colombienne de la chaîne de valeur tout en laissant intacte la concentration du pouvoir en amont. Une politique d'IA véritablement souveraine demanderait qui contrôle l'infrastructure, qui construit les modèles et qui a la réelle capacité d'imposer des limites. Au lieu de cela, le projet reproduit des catégories réglementaires développées pour un contexte européen où la distribution du pouvoir est différente.

À quoi pourrait ressembler une régulation proportionnée

Rien de tout cela ne plaide contre une régulation de l'IA en Colombie. La technologie transforme déjà le travail, l'éducation, la sécurité et les services publics, et l'absence de règles crée ses propres risques. Mais la régulation doit être proportionnelle aux risques qui se matérialisent réellement en Colombie et compatible avec les institutions qui doivent l'appliquer. Les garanties les plus fortes devraient se concentrer d'abord sur les domaines où l'IA peut causer des dommages graves aux droits fondamentaux : diagnostics de santé, aide à la décision judiciaire, surveillance policière, allocation de la sécurité sociale. Les obligations devraient être modulées non seulement selon le niveau de risque, mais aussi selon le degré de contrôle que chaque acteur exerce sur la technologie. Un déployeur qui ne peut pas accéder aux composants internes d'un modèle ne devrait pas être tenu au même standard d'explicabilité que son fournisseur. L'approche fondée sur les risques du projet est solide en principe ; son échec réside dans l'hypothèse que la capacité de l'État colombien peut correspondre à l'ambition européenne.

Il y a aussi une question de séquencement. Avant de créer de nouvelles structures administratives, la Colombie pourrait renforcer les régulateurs sectoriels existants, la surintendance de la santé, la surintendance financière, l'autorité de protection des données, en leur donnant les équipes techniques et les mandats juridiques pour superviser l'IA dans leurs domaines. Cela renforce la capacité d'application là où elle existe déjà plutôt que de supposer qu'une nouvelle autorité centrale peut tout faire d'un coup. L'UE elle-même a mis des années à construire l'architecture de gouvernance qui soutient maintenant la loi sur l'IA. La Colombie ne peut pas importer le résultat sans le processus.