La Chambre de commerce et la Chambre des métiers ont rendu un avis commun sur le projet de loi 8476, qui vise à mettre en œuvre certaines dispositions du règlement (UE) 2024/1689 sur l’intelligence artificielle (IA Act).

Si les deux chambres professionnelles saluent l’engagement du gouvernement en faveur d’une mise en œuvre rapide de l’IA Act, elles soulignent l’importance de créer un écosystème attractif et formulent plusieurs observations et recommandations concernant la régulation ainsi que la mise en place de bacs à sable réglementaires.

Faire de la CNPD la «Luxembourg data and AI Authority»

S’agissant de la régulation, le projet de loi confère à la Commission nationale pour la protection des données (CNPD) le rôle d’autorité de surveillance horizontale par défaut. Elle serait appelée à chapeauter sept autorités sectorielles: l’Autorité de contrôle judiciaire, la Commission de surveillance du secteur financier (CSSF), le Commissariat aux assurances (Caa), l’Institut luxembourgeois de la normalisation, de l’accréditation, de la sécurité et qualité des produits et services (Ilnas), l’Institut luxembourgeois de régulation (ILR), l’Agence luxembourgeoise des médicaments et produits de santé (ALMPS) ainsi que l’Autorité luxembourgeoise indépendante de l’audiovisuel (Alia).

Une architecture qui suscite des réserves de la part des deux chambres, lesquelles estiment qu’elle va à l’encontre d’une «gouvernance claire, simple et accessible». Elles plaident en faveur de l’adoption d’un règlement de procédure commun et de la création de groupes de travail réunissant les différentes autorités de surveillance du marché.

Selon elles, cela permettrait de limiter les risques de pratiques, de procédures ou de décisions divergentes — voire contradictoires — entre les autorités compétentes. Elles jugent également essentiel de distinguer clairement, au sein de la CNPD, les missions relatives à la protection des données (RGPD) de celles découlant de l’IA Act. À cette fin, elles suggèrent de renommer la CNPD en «Luxembourg Data and AI Authority».

Faire des bacs à sable des arguments économiques

Pour ce qui touche à la mise en place de bacs à sable réglementaires – des environnements de tests destinés à faciliter le développement et la validation de systèmes d’IA avant leur mise sur le marché –, les deux chambres veulent en faire un argument pour l’attractivité du pays, «une niche stratégique pour le Luxembourg, le positionnant à l’échelle internationale comme un point d’entrée pour les entreprises de pays tiers qui veulent s’implanter dans l’UE et tester la conformité de leurs produits IA».

Comment? Elles proposent des caractéristiques clés pour les bacs à sable mis en place par la CNPD, notamment une participation à faible coût, un accompagnement étroit, une durée courte des tests pour accélérer la mise sur le marché, de hautes garanties de confidentialité, des spécialistes proactifs et compétents, un lien étroit entre le rapport de sortie et la procédure de conformité, ainsi que des règles nationales claires concernant le régime de responsabilité.

Elles recommandent également de favoriser un écosystème plus large de bacs à sable interopérables, en explorant les possibilités offertes par l’IA Act: essais en conditions réelles avec le superordinateur Meluxina, collaborations avec d’autres États membres, ou encore mise en place d’un bac à sable spécifique pour le secteur financier, piloté par la CSSF.