Exigences de divulgation de la SEC en matière d'IA

La US Securities and Exchange Commission (SEC) se concentre de plus en plus sur les divulgations relatives à l'intelligence artificielle par les sociétés cotées, sous l'effet de l'importance des risques et des opportunités liés à l'IA pour les investisseurs. Bien qu'il n'existe pas de « règle de divulgation unique de la SEC en matière d'IA », la SEC utilise les cadres de divulgation existants, les actions répressives et les projets de réglementation pour définir des attentes quant à la manière dont les sociétés cotées devraient divulguer les questions liées à l'IA.

L'intérêt de la SEC pour les divulgations relatives à l'IA s'exerce sur plusieurs fronts. Premièrement, le cadre de divulgation existant fondé sur des principes exige des entreprises qu'elles divulguent les risques importants, y compris ceux liés à l'IA. Le président de la SEC, Gary Gensler, a souligné que les entreprises ne devaient pas se livrer à de l'« AI washing », faire des déclarations trompeuses sur les capacités de l'IA, et la SEC a engagé des actions répressives contre des entreprises pour des déclarations trompeuses liées à l'IA.

En mars 2024, la SEC a accusé deux conseillers en investissement d'avoir fait des déclarations fausses et trompeuses sur leur prétendue utilisation de l'IA dans les processus d'investissement. Ces actions répressives indiquent que la SEC traite les déclarations relatives à l'IA comme des déclarations importantes soumises aux dispositions anti-fraude des lois sur les valeurs mobilières.

La SEC a également indiqué que les exigences de divulgation existantes au titre de la Regulation S-K couvrent déjà de nombreuses divulgations liées à l'IA. L'Item 105 (Risk Factors) exige la divulgation des risques importants liés à l'IA, notamment les risques de cybersécurité associés à l'IA, les risques de défaillance des modèles d'IA, les risques réglementaires découlant des lois émergentes sur l'IA et les risques concurrentiels liés à la disruption par l'IA. L'Item 101 (Description of Business) peut exiger la divulgation d'une utilisation importante de l'IA dans les activités de l'entreprise. L'Item 103 (Legal Proceedings) exige la divulgation des litiges liés à l'IA.

Les règles proposées par la SEC en matière de divulgation de la cybersécurité (adoptées en 2023) ont également une incidence sur la gouvernance de l'IA, car les systèmes d'IA sont exposés à des risques de cybersécurité et les incidents impliquant des systèmes d'IA peuvent déclencher des obligations de divulgation au titre des nouvelles règles de cybersécurité.

Pour les entreprises utilisant l'IA dans les services financiers, la SEC a proposé la Rule 15l-2 en juillet 2023, qui obligerait les courtiers-négociants et les conseillers en investissement à éliminer ou à neutraliser les conflits d'intérêts associés à l'utilisation de l'analyse prédictive des données et de l'IA dans les interactions avec les investisseurs. Bien que cette proposition se soit heurtée à une opposition importante du secteur et que son avenir soit incertain, elle reflète l'attention que porte la SEC à l'impact de l'IA dans les services financiers.

Les priorités d'examen de la SEC ont également inclus la gouvernance de l'IA, la Division of Examinations ayant indiqué qu'elle examinerait les divulgations relatives à l'IA des entreprises, leurs pratiques de gouvernance de l'IA et leur gestion des risques liés à l'IA dans le cadre des examens de routine.

Pour les professionnels de la conformité des sociétés cotées, l'impact pratique est clair : les risques, la gouvernance et l'utilisation liés à l'IA doivent être évalués au regard de leur importance et divulgués de manière appropriée dans les dépôts périodiques. Les conseils d'administration devraient superviser la stratégie et les risques liés à l'IA, et les entreprises devraient veiller à ce que toute déclaration publique sur les capacités de l'IA soit exacte et non trompeuse.

L'intersection de la divulgation relative à l'IA avec le reporting ESG est également notable, car les investisseurs considèrent de plus en plus l'IA responsable comme une composante d'une bonne gouvernance. Les divulgations relatives à la gouvernance de l'IA pourraient devenir un élément standard des rapports annuels et des circulaires de sollicitation de procurations.