Le Groupe européen d'éthique des sciences et des nouvelles technologies (GEE) a publié une déclaration selon laquelle l'arsenal réglementaire de l'Europe n'est pas prêt pour la convergence des neurosciences et de l'intelligence artificielle. L'organe consultatif, qui rend compte à la Commission européenne, souhaite que les décideurs cessent d'examiner les neurotechnologies individuellement et se mettent à gouverner les infrastructures qui permettent de collecter, partager, traiter et réutiliser à grande échelle les données d'origine cérébrale.

Qu'est-ce que le neuro-IA et pourquoi cela importe aujourd'hui

Le neuro-IA désigne l'intersection de la neurotechnologie, dispositifs qui enregistrent ou stimulent le système nerveux, avec des modèles d'intelligence artificielle capables d'interpréter, de prédire ou de générer des signaux neuronaux. Le domaine s'est accéléré rapidement au cours des cinq dernières années. Les interfaces cerveau-ordinateur développées pour la rééducation clinique produisent des ensembles de données assez volumineux pour entraîner des modèles de fondation. Des casques commerciaux vendus pour le bien-être ou le jeu envoient des données neurales vers des plateformes cloud. Des consortiums de recherche mutualisent des neurodonnées au-delà des frontières pour construire ce que le GEE appelle des modèles de fondation cérébraux, analogues aux grands modèles de langage qui sous-tendent aujourd'hui l'IA générative.

Les bénéfices potentiels sont concrets. Des patients paralysés ont retrouvé la communication grâce au décodage de l'intention de parole. La stimulation cérébrale profonde adaptative améliore les résultats pour la maladie de Parkinson. Mais les mêmes pipelines qui permettent ces avancées créent aussi ce que le GEE décrit comme un pouvoir inférentiel sans précédent : les systèmes d'IA peuvent déduire des états mentaux, des traits cognitifs ou des prédispositions à des maladies qui n'ont jamais été mesurés explicitement, et encore moins consentis.

Pourquoi le GEE estime que la régulation actuelle est insuffisante

L'UE dispose déjà du Règlement général sur la protection des données (RGPD), du Règlement sur les dispositifs médicaux et de la Loi sur l'IA, entrée en vigueur en août 2024. L'argument du GEE n'est pas que ces instruments font défaut, mais qu'ils opèrent au mauvais niveau d'abstraction. Le RGPD protège les données personnelles ; il ne traite pas clairement les inférences générées par l'IA à partir de ces données. La Loi sur l'IA classe certains systèmes d'IA à haut risque ; elle ne prend pas en compte la dynamique spécifique des flux de neurodonnées alimentant des modèles en apprentissage continu. Le Règlement sur les dispositifs médicaux couvre la sécurité et la performance du matériel individuel ; il ne régit pas les infrastructures de données qui survivent à tout dispositif unique.

L'approche par les infrastructures du groupe considère les couches de collecte, de traitement, de développement de modèles et de déploiement comme un unique objet de gouvernance. Cela importe car les neurodonnées sont rarement utilisées une seule fois. Un ensemble de données rassemblé pour un essai clinique peut être réutilisé pour entraîner un décodeur commercial, puis licencié à une entreprise de neuromarketing, puis versé dans un dépôt de recherche public. Chaque transfert modifie le profil de risque. Réguler seulement la première utilisation manque l'exposition cumulative.

Cinq domaines que le GEE veut voir traités

La déclaration identifie cinq actions prioritaires. Premièrement, une protection juridique explicite pour les neurodonnées et pour les informations inférées à partir des neurodonnées au titre du droit européen de la protection des données. La distinction est cruciale : un modèle d'IA entraîné sur des enregistrements EEG peut prédire des troubles de l'attention ou des épisodes dépressifs sans qu'aucun diagnostic clinique n'ait été enregistré. Si cette prédiction compte comme donnée personnelle, le RGPD s'applique ; sinon, la personne concernée n'a ni droit d'accès, ni de rectification, ni d'effacement.

Deuxièmement, un développement responsable des technologies neuro-IA, y compris la création éventuelle de modèles de fondation cérébraux et des infrastructures de calcul et de données qu'ils requièrent. Le GEE ne réclame pas de moratoire. Il soutient que l'investissement public doit façonner ces fondations pour qu'elles reflètent les valeurs européennes, transparence, non-discrimination, contrôle démocratique, plutôt que de laisser l'architecture à une poignée d'entreprises américaines et chinoises.

Troisièmement, une protection renforcée des droits individuels lorsque des neurodonnées ou des inférences d'IA alimentent des décisions lourdes de conséquences : embauche, assurance, éducation, justice pénale. Le groupe met en garde contre un contrôle disproportionné, où l'information neurologique devient un critère de filtrage sans la connaissance du sujet ni sa capacité à le contester.

Quatrièmement, un renforcement de la capacité européenne de gouvernance dans l'intérêt général. Cela implique des organes de surveillance dédiés, des capacités d'audit et l'expertise technique pour évaluer les systèmes neuro-IA tout au long de leur cycle de vie, pas seulement à leur mise sur le marché. Le GEE note que les autorités de surveillance du marché actuelles manquent de compétences spécialisées en neurosciences et en apprentissage automatique pour évaluer ces systèmes.

Cinquièmement, une évaluation ciblée du cadre réglementaire existant de l'UE pour déterminer s'il est suffisamment préparé aux défis du neuro-IA. Le GEE s'arrête avant de proposer immédiatement une nouvelle législation, arguant qu'une analyse des lacunes doit précéder.

La dimension de souveraineté

La déclaration présente la gouvernance du neuro-IA comme une question de souveraineté technologique européenne. La couche d'infrastructure, calcul haute performance, espaces de données, API standardisés, dépôts de modèles, détermine qui fixe les paramètres par défaut pour la confidentialité, l'accès et le partage des bénéfices. Si les chercheurs et cliniciens européens dépendent de plateformes cloud et de modèles de fondation non européens, ils importent les choix de gouvernance intégrés à ces systèmes. La recommandation du GEE de développer des infrastructures neuro-IA d'intérêt général s'aligne sur l'Espace européen des données de santé plus large de la Commission et sur l'Entreprise commune EuroHPC, mais elle ajoute une garde-fou éthique spécifique : la souveraineté doit servir l'intérêt général, non la seule compétitivité industrielle.

Les angles morts de la déclaration

La grille de lecture infrastructurelle du GEE est un correctif utile, mais elle soulève des questions pratiques que la déclaration ne résout pas. Comment répartir la responsabilité lorsqu'une inférence générée par un modèle de fondation entraîné sur des neurodonnées multi-sources cause un dommage ? La distinction fournisseur-déployeur de la Loi sur l'IA s'efface lorsque les modèles sont continuellement affinés par les utilisateurs en aval. Qu'est-ce qui constitue un consentement significatif pour la réutilisation de neurodonnées lorsque les finalités futures sont inconnues au moment de la collecte ? Des plateformes de consentement dynamique existent techniquement mais n'ont pas été validées à l'échelle du neuro-IA. Et comment la capacité de gouvernance proposée sera-t-elle financée et dotée en personnel ? Les viviers d'experts de l'UE pour les dispositifs médicaux et l'IA sont déjà saturés.

Contexte international

L'Europe n'est pas seule à se confronter au neuro-IA. L'OCDE a adopté en 2024 une Recommandation sur l'innovation responsable en neurotechnologie. L'UNESCO élabore un cadre éthique mondial. Les États-Unis n'ont pas de loi fédérale sur les neurodonnées, bien que le Colorado et la Californie aient modifié leurs lois sur la vie privée pour couvrir les données neurales. Les directives chinoises de 2024 sur l'éthique des interfaces cerveau-ordinateur insistent sur la supervision étatique des flux de données. L'approche infrastructurelle du GEE pourrait positionner l'UE comme pionnière réglementaire, tout comme le RGPD a façonné les pratiques mondiales en matière de données. Mais l'avantage du premier arrivant ne se concrétise que si les règles sont applicables et interopérables avec les partenaires commerciaux.

Organisations

European Commission · European Group on Ethics in Science and New Technologies