Réglementation de l’IA en Estonie : fonctionnement de l’AI Act pour les entreprises estoniennes

L’Estonie aime se présenter comme le pays le plus numérique d’Europe, et c’est l’un des endroits les plus favorables à l’IA dans l’UE pour créer une entreprise d’IA. Cela ne signifie pas que l’intelligence artificielle n’y est pas réglementée. Cela signifie que le pays applique les règles de l’UE sans y ajouter les siennes. Cet article explique simplement le fonctionnement de la réglementation de l’IA en Estonie : qui supervise l’IA, où en est la mise en œuvre de l’AI Act en Estonie et ce qu’une entreprise estonienne devrait préparer. Si vous souhaitez d’abord savoir ce que l’Act exige d’une entreprise, consultez notre guide clair de l’AI Act de l’UE pour les entreprises, puis revenez ici.

Existe-t-il une loi estonienne sur l’IA ?

Non, et il n’y en aura pas. L’AI Act est un règlement européen : il s’applique donc en Estonie exactement tel qu’il est rédigé, sans qu’une version estonienne soit nécessaire. L’approche de l’Estonie a toujours consisté à adapter ses lois et autorités existantes, y compris pour la surveillance de l’IA, plutôt qu’à rédiger une nouvelle loi.

Ce que l’Estonie doit encore à l’UE est une courte loi de mise en œuvre. Elle désignera formellement les superviseurs de l’IA, fixera la procédure et l’échelle estoniennes des sanctions, et donnera une base juridique au sandbox. La date limite de l’UE pour désigner ces organismes est passée et le pays, comme la plupart des États membres, ne l’a pas respectée. La TTJA décrit encore son rôle en matière d’IA au futur.

Voici le point que les entreprises comprennent le plus souvent mal : l’absence de loi estonienne ne suspend rien. Les interdictions, l’obligation de former le personnel à l’IA, ainsi que les règles de transparence pour les chatbots et les contenus s’appliquent déjà à votre entreprise, car le règlement européen le prévoit. Ce qui n’est pas encore en place, c’est le mécanisme estonien permettant de vous infliger des amendes.

Qui réglemente l’IA en Estonie ?

L’Estonie n’a pas créé de nouvelle agence de l’IA. La surveillance de l’IA relève d’organismes déjà existants, chacun ajoutant l’IA à ses compétences antérieures.

Pour une entreprise ordinaire, deux noms comptent. La TTJA est l’autorité de surveillance du marché : c’est l’organisme qui peut vous contacter au sujet d’un système d’IA et qui dirigera l’application de l’AI Act en Estonie. L’AKI est l’autorité de protection de la vie privée et, comme presque tout outil d’IA touche des données personnelles, c’est souvent elle qui pose les premières questions. Elle publie déjà ses propres orientations sur l’AI Act, tient une ligne de conseil et a rendu des avis sur des outils d’IA dans les soins de santé.

Si la TTJA ouvre une enquête, elle peut demander à une entreprise qui développe une IA les données utilisées pour entraîner et tester le système, les journaux du système et, pour les systèmes à haut risque, l’accès au code source. Elle peut ordonner la correction, le retrait ou le rappel d’un produit. Une entreprise qui utilise seulement l’IA d’un tiers se verra généralement demander moins : les instructions du fournisseur, la preuve qu’une personne supervise l’outil et les journaux qu’elle détient. Les documents doivent être rédigés dans une langue acceptée par l’autorité ; l’Estonie n’a pas encore précisé si l’anglais sera accepté en plus de l’estonien, alors gardez votre dossier prêt dans les deux langues.

L’AI Act s’applique-t-il à une entreprise e-Residency gérée depuis l’étranger ?

Oui. C’est la question que les e-résidents posent le plus souvent, et la réponse est simple : une OÜ estonienne est établie dans l’UE, point final. Peu importe que le fondateur se trouve à Tallinn, Berlin ou Singapour. Si l’entreprise de l’e-résident utilise l’IA dans son activité ou vend un produit d’IA, elle a les mêmes obligations que toute autre entreprise de l’UE, et la TTJA ainsi que l’AKI sont les organismes chargés de les faire respecter.

L’aspect pratique est plus utile que l’aspect juridique. Votre adresse légale estonienne et, si le conseil d’administration vit à l’étranger, votre personne de contact sont les canaux par lesquels une autorité vous contacte. Assurez-vous qu’une lettre de la TTJA ou de l’AKI soit réellement vue et reçoive une réponse dans les délais.

Mise en œuvre de l’AI Act en Estonie : dates clés

Existe-t-il un sandbox de l’IA en Estonie ?

Un sandbox réglementaire de l’IA est un espace de test supervisé dans lequel une entreprise peut essayer un nouveau système d’IA avec les autorités avant son lancement. Chaque pays de l’UE doit en avoir un, et l’Omnibus a reporté cette échéance d’un an. L’Estonie n’a pas attendu cette date pour créer son sandbox de l’IA. Le ministère de la Justice et des Affaires numériques gère déjà un environnement de test de l’IA (tehisaru testkeskkond). Il offre des conseils juridiques et de conformité, une aide pour les évaluations des risques et des incidences, des tests techniques, des environnements de données sécurisés et de la puissance de calcul. Vous commencez par une pré-évaluation du niveau de risque de votre système, puis vous déposez votre demande et convenez d’un plan de test ; le ministère peut délivrer un rapport écrit à la fin. Le service est gratuit pour les PME et les organismes publics, et la Finlande participe au développement ultérieur du sandbox.

Si vous développez un produit proche de la catégorie à haut risque, utilisez-le tôt. Il fournit des preuves écrites de vos efforts de conformité et vous met en contact avec les superviseurs avant l’arrivée des échéances applicables au haut risque.

Que doit préparer une entreprise estonienne ?

La plupart des entreprises estoniennes n’auront jamais affaire à la TTJA. Celles qui y auront affaire se verront demander des documents, pas des opinions. La gouvernance de l’IA peut ici rester simple. Conservez un bref dossier de conformité IA à côté de vos dossiers comptables et GDPR :

• Une liste des outils d’IA que vous utilisez ou vendez, avec le fournisseur, l’objectif et l’indication de savoir si vous les avez développés ou les utilisez simplement.
• Une personne désignée responsable de l’IA dans l’entreprise, même si c’est vous.
• La documentation du fournisseur : conditions, instructions d’utilisation et toute déclaration de conformité.
• La preuve des obligations déjà applicables : l’avis relatif au chatbot vu par vos clients, votre politique d’utilisation de l’IA, les registres de formation et la manière dont vous étiquetez les contenus générés par IA.
• Le lien avec le GDPR : l’analyse de protection des données ou le registre des traitements couvrant l’outil d’IA.

Une entreprise qui développe une IA ajoute son dossier technique. Une entreprise située hors de l’UE ajoute le mandat écrit de son représentant dans l’UE.

Créer une entreprise d’IA en Estonie depuis l’extérieur de l’UE

Une start-up d’IA établie hors de l’UE doit désigner un représentant au sein de l’Union avant de pouvoir vendre sur le marché européen un produit à haut risque ou un grand modèle d’IA à usage général. Créez une entreprise d’IA en Estonie, entièrement en ligne grâce à l’e-Residency, et vous disposerez d’une entreprise de l’UE pouvant tenir ce rôle. Elle peut aussi aller plus loin et devenir elle-même le fournisseur de l’UE, en vendant sous un nom estonien, avec l’ensemble des obligations de fournisseur qui en découlent. La voie adaptée à votre activité d’IA dépend du niveau de risque du produit, de la situation fiscale du groupe et de la manière dont l’activité européenne sera gérée. Décidez avec des conseils, et non par défaut.

Comment Eesti Firma aide les entreprises d’IA en Estonie

Eesti Firma crée et administre des entreprises estoniennes pour des fondateurs du monde entier et les accompagne lorsque leur entreprise commence à exercer dans l’UE. Pour les entreprises d’IA, cela comprend la création d’entreprise en Estonie en tant qu’entité ou représentant de l’UE, la comptabilité continue et l’administration de la conformité, ainsi que des services juridiques pour la conformité à l’IA en Estonie : le dossier de gouvernance de l’IA décrit ci-dessus, la correspondance avec la TTJA ou l’AKI et les documents qu’une entreprise doit pouvoir fournir sur demande.

Établissez votre base UE pour la conformité IA

Questions fréquentes