Proposition de loi d'expérimentation créant un cadre d’analyse scientifique et une consultation citoyenne sur les dispositifs de reconnaissance faciale par l’intelligence artificielle

I. – Pour une durée de trois ans à compter de l'entrée en vigueur de la présente loi, est mise en place dans deux territoires, la région Île-de-France et la Région Sud-Provence-Alpes-Côte d'Azur, une expérimentation visant à expérimenter des dispositifs plus transparents et éthiques de reconnaissance faciale par l'intelligence artificielle. Cette expérimentation couvre, dans chacune de ces régions, tout ou partie de la superficie d'une ou de plusieurs collectivités territoriales, tout ou partie d'un ou de plusieurs établissements publics de coopération intercommunale ou tout ou partie de groupes de collectivités territoriales volontaires.
Dans ces deux territoires, les industriels, les représentants d'équipements de type gares, aéroports, établissements culturels ou sportifs, les organismes de recherches et les associations d'usagers sont sollicités par le comité de supervision de la société civile et de chercheurs en sciences humaines et sociales ou se font connaitre directement auprès de lui pour participer à cette expérimentation.
L'expérimentation permet l'analyse scientifique des algorithmes et des technologies utilisés, l'entraînement de ces mêmes algorithmes sur des données françaises et/ou européennes recueillies avec le consentement des personnes lors de l'expérimentation à la recherche de biais éventuels et la consultation effective des citoyens français sur les évolutions sociétales induites par les cas d'usages mentionnés au I de l'article 2 de la présente loi, prédéfinis ou ajoutés par le comité de supervision de la société civile et de chercheurs.
Cette expérimentation s'appuie sur les cas d'usage mentionnés au I de l'article 2 de la présente loi, dans le cadre des dérogations prévues à l'alinéa 2 de l'article 89 du règlement n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.
Cette expérimentation est mise en place avec le concours financier de l'État, des collectivités territoriales volontaires, des établissements publics de coopération intercommunale volontaires mentionnés au premier alinéa du présent I et des organismes publics et privés volontaires susceptibles de tirer un bénéfice de l'analyse scientifique des algorithmes et des dispositifs de reconnaissance faciale sur les cas d'usage retenus.
II. – Au plus tard douze mois avant le terme de l'expérimentation, le comité de supervision de la société civile et de chercheurs dresse le bilan de l'expérimentation et remet ses recommandations à l'Office parlementaire d'évaluation des choix scientifiques et technologiques sous format d'un rapport traitant à la fois les cas d'usage et leur maturité scientifique et technologique mais aussi sur une éventuelle évolution des réglementations.
Pendant la phase d'expérimentation, le comité de supervision de la société civile et de chercheurs publie tous les semestres un état d'avancement des travaux à destination de l'Office parlementaire d'évaluation des choix scientifiques et technologiques qui traitera ces informations lors de réunions ouvertes au public.
Les rapports semestriels et finaux évaluent notamment la performance réelle des algorithmes mis à l'épreuve et quantifient la menace réelle selon les différents cas d'usage pour les droits de l'homme et les libertés publiques, notamment la liberté d'expression, la liberté de réunion et d'association et le droit à la vie privée.
Le comité de supervision de la société civile et de chercheurs se compose de trente membres désignés par arrêté du ministre chargé du numérique sur proposition :
1° de l'Office parlementaire d'évaluation des choix scientifiques et technologiques ;
2° du Conseil national du numérique ;
3° du Comité consultatif national d'éthique ;
4° de l'Institut national de recherche en sciences et technologies du numérique ;
5° de l'Association des Maires de France ;
6° d'associations de défense des droits et libertés de la population sur Internet.
Les membres du comité de supervision de la société civile et de chercheurs siègent à titre bénévole.
III. – Les rapports mentionnés au II du présent article sont adressés à l'Office parlementaire d'évaluation des choix scientifiques et technologiques, au ministre chargé du numérique, au ministre de la cohésion des territoires, au ministre de l'intérieur et au garde des Sceaux, ministre de la justice, et sont rendus publics.
IV. – La commission nationale de l'informatique et des libertés apporte son conseil et son expertise stratégiques et un conseil indépendant dans le cadrage juridique et méthodologique de la démarche expérimentale (périmètre, méthode, règles de fond, etc.) au comité de supervision de la société civile et de chercheurs. Elle conseille les porteurs de projets sur les expérimentations envisagées.
La commission nationale de l'informatique et des libertés est destinataire, de manière obligatoire et systématique, des analyses d'impact élaborées avant la mise en œuvre de chaque traitement, des bilans périodiques et d'étape et des bilans réalisés au terme de l'expérimentation, afin d'être en mesure de contribuer à l'évaluation de ces dispositifs.
La commission nationale de l'informatique et des libertés est obligatoirement consultée sur tout projet de texte législatif ou réglementaire en matière de reconnaissance faciale pour permettre ou faciliter d'éventuelles expérimentations.
Dans l'exercice de l'ensemble de ses missions, la commission nationale de l'informatique et des libertés conserve sa totale indépendance.

I. – Le comité de supervision de la société civile et de chercheurs présente, dans les trois mois suivant son installation, le cadre de l'expérimentation qui regroupe les collectivités territoriales, les industriels, les associations et les organismes de recherche ayant souscrit aux principes de transparence et d'éthique. Il détaille un protocole d'expérimentation sur les quatre cas d'usage suivants :
1° Accès par reconnaissance faciale. La gestion de flux peut être aidée par un système de reconnaissance faciale remplaçant la billetterie pour l'accès à des locaux, à des événements ou à des transports en commun. L'accès par reconnaissance faciale permet également le paiement, une alternative aux noms d'utilisateur voire une authentification légale, ou propose un service d'enregistrement en ligne ;
2° Sûreté et sécurité dans les espaces. Ces situations incluent les opérations de maintien de l'ordre et les activités de sécurité publique telles que la douane, la recherche de personnes disparues ou le pistage d'un suspect ;
3° Marketing et services clients (offres sollicitées ou non-sollicitées). Ce cas d'usage se réfère à tous les services marketing, publicitaires et clients reposant sur la reconnaissance faciale tels que des achats personnalisés ou la reconnaissance d'émotions.
4° Services à vocation de santé ou sociaux. Ce cas d'usage vise à permettre l'utilisation de la reconnaissance faciale pour authentifier les patients, identifier ou suivre les pathologies, ou pour assister les personnes, à l'aide par exemple de dispositifs portables destinés aux personnes aveugles qui identifieraient les personnes.
Le comité mentionné au premier alinéa du présent I peut également ajouter un ou plusieurs cas d'usage manquant qu'il jugerait décisifs pour enrichir l'expérimentation.
Pour chaque cas d'usage mentionné au 1° à 4° du présent I ou ajouté dans les conditions mentionnées à l'alinéa précédent, le comité mentionné au premier alinéa du présent I définit et valide les lignes rouges à ne pas franchir en l'état actuel des connaissances scientifiques.
II. – Le comité de supervision de la société civile et de chercheurs élabore un référentiel d'audit propre à chaque cas d'usage pour certifier la méthodologie scientifique des algorithmes de reconnaissance faciale utilisés dans les expérimentations afin de garantir leur conformité scientifique et éthique.
III. – A.– À titre expérimental, pour une durée de trois ans, sans préjudice des règles applicables en application du règlement n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, l'expérimentation des cas d'usage de dispositif de reconnaissance faciale mentionnés au I du présent article sur l'identification ou l'authentification des individus sur la base de données biométriques est permise dans le respect des obligations énumérées au présent III.
B. – Afin de garantir le consentement des individus ciblés par un dispositif reposant sur l'identification ou l'authentification des individus sur la base de données biométriques, toute personne publique ou privée mettant en place une expérimentation de cette technologie doit s'assurer :
1° Que tout individu ayant consenti à participer puisse exercer son droit d'opposition et se rétracter ;
2° Que chaque individu soit informé du traitement des données personnelles le concernant et, notamment, des modalités de suppression de ces dernières ;
3° Que chaque individu ait accès à l'information de l'expérimentation et de l'utilisation de leurs données ;
4° Que l'ensemble des individus entrant dans le champ visuel des caméras ait été informé de la présence d'un tel dispositif ;
5° Que tout individu reste en mesure de refuser sa participation à l'expérimentation, en leur offrant la possibilité d'emprunter un espace non-couvert par le dispositif de vidéosurveillance.
C. ‒ Afin de garantir les droits et libertés des personnes dont les données personnelles ont été collectées lors de l'expérimentation :
1° L'utilisation des données personnelles collectées dans le cadre de l'expérimentation est strictement limitée aux fins de l'expérimentation ;
2° Ces données collectées ne peuvent être rapprochées avec d'autres données à caractère personnel issues d'un fichier extérieur à l'expérimentation ;
3° La conservation des données personnelles est strictement limitée à la durée de l'expérimentation. Elles sont détruites dans un délai maximum de trente jours à compter de la fin de l'expérimentation.
Les modalités d'application du présent article sont fixées par décret en Conseil d'État, pris après avis de la commission nationale de l'informatique et des libertés.

I. – Un débat public sous forme d'états généraux est organisé sur les cas d'usage de reconnaissance faciale par l'intelligence artificielle en parallèle de l'expérimentation mentionnée à l'article 1er de la présente loi. Ceux-ci sont organisés à l'initiative du comité de supervision de la société civile et de chercheurs, après consultation des commissions parlementaires permanentes compétentes et de l'Office parlementaire d'évaluation des choix scientifiques et technologiques.
À l'issue du débat public, le comité établit un rapport qu'il présente devant l'Office parlementaire d'évaluation des choix scientifiques et technologiques, qui procède à son évaluation.
II. – Les états généraux mentionnés au I du présent article réunissent des conférences de citoyens choisis de manière à représenter la société dans sa diversité. Après avoir reçu une formation préalable, ceux-ci débattent et rédigent un avis ainsi que des recommandations qui sont rendus publics. Les experts participant à la formation des citoyens et aux états généraux sont choisis en fonction de critères d'indépendance, de pluralisme et de pluridisciplinarité.
III. – Tout projet de réforme des dispositifs de reconnaissance faciale doit être précédé d'un débat public sous forme d'états généraux. En l'absence de projet de réforme, le comité est tenu d'organiser des états généraux de la reconnaissance faciale au moins une fois tous les cinq ans.