AMENDEMENT

Rédiger ainsi cet article :

I. – Après l’article L. 251-1 du code de la sécurité intérieure, il est inséré un article L. 251-... ainsi rédigé :

« Art. L. 251-... – I. – Afin de protéger la sécurité des personnes et des biens et de prévenir toute atteinte à l’ordre public, les images collectées au moyen de systèmes de vidéoprotection autorisés sur le fondement de l’article L. 252-1 peuvent faire l’objet de traitements comprenant un système d’intelligence artificielle.

« Ces traitements sont strictement nécessaires et proportionnés et ont pour unique objet de détecter, en temps réel, des événements prédéterminés susceptibles de présenter ou de révéler des risques d’atteinte à la sécurité des personnes et des biens et à l’ordre public et de les signaler en vue de la mise en œuvre des mesures nécessaires, par les services de la police et de la gendarmerie nationales, les services d’incendie et de secours, les services de police municipale et les services internes de sécurité de la SNCF et de la Régie autonome des transports parisiens.

« II. – Les traitements mentionnés au I sont régis par les dispositions applicables du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE et de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

« III. – Ces traitements n’utilisent aucun système d’identification biométrique, ne traitent aucune donnée biométrique et ne mettent en œuvre aucune technique de reconnaissance faciale. Ils ne peuvent procéder à aucun rapprochement, interconnexion ou mise en relation automatisée avec d’autres traitements de données à caractère personnel.

« Ils procèdent exclusivement à un signalement d’attention, strictement limité à l’indication du ou des événements prédéterminés qu’ils ont été programmés pour détecter. Ils ne produisent aucun autre résultat et ne peuvent fonder, par eux-mêmes, aucune décision individuelle ou acte de poursuite.

« Ils demeurent en permanence sous le contrôle des personnes chargées de leur mise en œuvre.

« IV. – Le recours à un traitement mentionné au I est, par dérogation à l’article 31 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, autorisé par un décret pris après avis de la Commission nationale de l’informatique et des libertés.

« Ce décret fixe les caractéristiques essentielles du traitement. Il indique notamment les événements prédéterminés que le traitement a pour objet de signaler, le cas échéant les spécificités des situations justifiant son emploi, les services mentionnés au second alinéa du I du présent article susceptibles de le mettre en œuvre, les éventuelles conditions de leur participation financière à l’utilisation du traitement, et les conditions d’habilitation des agents pouvant accéder aux résultats du traitement. Il désigne l’autorité chargée d’établir l’attestation de conformité mentionnée au dernier alinéa du V.

« Le décret est accompagné d’une analyse d’impact relative à la protection des données personnelles qui expose :

« 1° Le bénéfice escompté de l’emploi du traitement au service de la finalité mentionnée au I, au regard des événements prédéterminés donnant lieu à signalement par le système ;

« 2° L’ensemble des risques éventuellement créés par le système et les mesures envisagées afin de les minimiser et de les rendre acceptables au cours de son fonctionnement.

« V. – Le traitement doit satisfaire aux exigences suivantes :

« 1° Lorsque le système d’intelligence artificielle employé repose sur un apprentissage, des garanties sont apportées afin que les données d’apprentissage, de validation et de test choisies soient pertinentes, adéquates et représentatives, leur traitement loyal, objectif et de nature à identifier et prévenir l’occurrence de biais et d’erreurs. Ces données doivent demeurer accessibles et être protégées tout au long du fonctionnement du traitement ;

« 2° Le traitement comporte un enregistrement automatique des événements permettant d’assurer la traçabilité de son fonctionnement ;

« 3° Les modalités selon lesquelles, à tout instant, le traitement peut être arrêté sont précisées ;

« 4° Le traitement fait l’objet d’une phase de test conduite dans des conditions analogues à celles de son emploi tel qu’autorisé par le décret mentionné au IV, attestée par un rapport de validation.

« Lorsque le traitement est développé ou fourni par un tiers, celui-ci doit présenter des garanties de compétences et de continuité et fournir une documentation technique complète.

« Le respect des exigences énoncées au présent V fait l’objet d’une attestation de conformité établie par l’autorité administrative compétente. Cette attestation est publiée avant que le traitement soit mis à la disposition des services mentionnés au second alinéa du I qui demandent l’autorisation de l’utiliser dans les conditions du VI.

« VI. – L’emploi du traitement est autorisé par le représentant de l’État dans le département ou à Paris, le préfet de police, qui s’assure de sa stricte nécessité et de son caractère proportionné pour garantir la sécurité publique et la prévention et la détection d’infractions pénales.

« La demande qui lui est adressée par l’un des services mentionnés au second alinéa du I comprend en tant que de besoin l’actualisation de l’analyse d’impact réalisée lors de l’autorisation par décret, adaptée aux circonstances du déploiement. Cette analyse actualisée est adressée à la Commission nationale de l’informatique et des libertés.

« La décision d’autorisation est publiée et motivée. Elle précise :

« 1° Le responsable du traitement et les services associés à sa mise en œuvre ;

« 2° Les motifs de la mise en œuvre du traitement au regard de la finalité mentionnée au I ;

« 3° Le périmètre géographique concerné par la mise en œuvre du traitement ;

« 4° Les modalités d’information du public, notamment sur ses droits ou, lorsque cette information entre en contradiction avec les finalités poursuivies, les motifs pour lesquels le responsable du traitement en est dispensé ;

« 5° La durée d’autorisation. Cette durée ne peut excéder cinq ans, renouvelable selon les mêmes modalités lorsque les conditions en demeurent réunies.

« VII. – L’autorité responsable tient un registre des suites apportées aux signalements effectués par le traitement.

« Le représentant de l’État dans le département ou, à Paris, le préfet de police est tenu régulièrement informé des conditions dans lesquelles le traitement est mis en œuvre, en tient en tant que de besoin la Commission nationale de l’informatique et des libertés informée et peut suspendre sa décision d’autorisation ou y mettre fin à tout moment s’il constate que les conditions ayant justifié sa délivrance ne sont plus réunies.

« VIII. – Les images mentionnées au I dont la durée de conservation, prévue par les articles L. 252-5 et L. 242-4 du présent code, n’est pas expirée peuvent être utilisées comme données d’apprentissage des traitements dans les conditions prévues au 1° du V. »

II. – Le I entre en vigueur au 1^er janvier 2028.

III. – La Commission nationale de l’informatique et des libertés est régulièrement informée des conditions de mise en œuvre du présent article. Le Gouvernement remet au Parlement, au plus tard six mois après la date prévue au II, un rapport d’évaluation dont le contenu est fixé par décret en Conseil d’État après avis de la Commission nationale de l’informatique et des libertés. Ce décret fixe notamment les modalités de pilotage et d’évaluation pluridisciplinaire et objective de la mise en œuvre du présent article et les indicateurs utilisés par celle-ci. Il précise également les modalités selon lesquelles le public et les agents concernés sont informés et associés à l’évaluation.

Le présent amendement vise à reprendre les dispositions d’une proposition de loi que j’ai déposée récemment sur la généralisation de la vidéoprotection algorithmique en s’appuyant sur le dispositif créé dans le cadre des Jeux Olympiques 2024.

La vidéoprotection algorithmique est déjà déployée en Belgique, au Royaume-Uni. La France ne peut pas rester à l’écart de cette évolution. Les Jeux Olympiques 2024 l’ont prouvé, nous avons les moyens d’utiliser une technologie au service de la sécurité des citoyens, sous contrôle humain, sans reconnaissance faciale généralisée et sans constitution de fichiers biométriques.

il n’existe ni frein technologique ni frein technique à la généralisation de la vidéoprotection algorithmique. Son déploiement ne générera pas de coûts exorbitants. Toutefois, il est nécessaire de développer des logiciels français et européens pour ne pas se laisser dépasser par l’innovation chinoise ou asiatique et garantir la souveraineté numérique de la France. Si la position française demeure si stricte sur ces technologies pourvues d’intelligence artificielle, la France n’aura aucune innovation dans ce domaine. C’est pourquoi, nous devons collectivement créer ce cadre législatif pour permettre aux entreprises françaises et européennes de demeurer des acteurs incontournables de l’innovation de demain.

Ainsi, des évènements prédéterminés préfigureront les modalités d’utilisation de la vidéoprotection algorithmique. Plusieurs évènements pourront être retenus afin de protéger la population : bris de glace, animal errant, personnes au sol (malaise ou chute), explosion, départ de feu, accidents… Ces détections visent à protéger l’intégrité des personnes et l’ordre public. Ils seront déterminés par décret. Ainsi, lorsque la caméra identifiera ces évènements, une alerte sera émise et permettra l’intervention humaine afin de déterminer de l’opportunité à agir ou non. La vidéoprotection algorithmique en elle-même ne sera à l’origine d’aucune action : elle ne pourra fonder aucune décision individuelle ou aucun acte de poursuite. Le contrôle humain primera toujours. Ces caméras permettront une intervention plus rapide des forces de l’ordre mais aussi des services de secours et d’urgence.

L’emploi du traitement algorithmique est autorisé par le représentant de l’État dans le département ou par le Préfet de police à Paris qui s’assure de son caractère nécessaire et proportionnel. La décision doit être motivée et comprendre le périmètre géographique, les modalités d’information du public, qui pourra s’effectuer, comme en Belgique par un pictogramme, ainsi que le responsable du traitement.

Afin d’apporter les garanties nécessaires, il est précisé que cette généralisation n’implique aucune utilisation de la reconnaissance faciale. La proposition de loi rappelle également l’interdiction de tout rapprochement, de toute interconnexion ou mise en relation avec d’autres traitements de données à caractère personnel tout en assurant la protection des droits prévus au RGPD.