La loi européenne sur l'intelligence artificielle (règlement européen sur l'IA) établit un cadre fondé sur les risques pour réglementer les systèmes d'intelligence artificielle au sein du marché de l'UE. Adopté en 2024, ce règlement classe les applications d'IA en quatre niveaux - risque inacceptable, élevé, limité et minimal - avec des obligations correspondantes qui augmentent en fonction du préjudice potentiel pour la santé, la sécurité et les droits fondamentaux. Cette approche par niveaux vise à favoriser l'innovation tout en garantissant un déploiement fiable des technologies Artificial intelligence.
Le règlement s'applique aux fournisseurs, déployeurs, importateurs et distributeurs de systèmes d'IA opérant dans l'UE, quel que soit leur lieu d'établissement, si leurs résultats sont utilisés au sein de l'Union. Il couvre également les modèles d'IA à usage général, y compris les Large language models, qui sont soumis à des exigences de transparence et de droit d'auteur.
Niveau de risque inacceptable
Le niveau le plus élevé interdit les pratiques d'IA qui présentent un risque inacceptable pour les valeurs et les droits fondamentaux de l'UE. Cela inclut la notation sociale par les autorités publiques, l'identification biométrique à distance en temps réel dans les espaces accessibles au public (avec des exceptions étroites pour les forces de l'ordre), les techniques manipulatoires exploitant les vulnérabilités (par exemple, l'âge ou le handicap), et la police prédictive fondée uniquement sur le profilage. Les systèmes de cette catégorie sont interdits d'emblée, avec des dérogations limitées pour la sécurité nationale et certains scénarios de maintien de l'ordre, sous réserve d'autorisation judiciaire.
Niveau de risque élevé
Les systèmes d'IA à haut risque sont soumis aux obligations les plus étendues. Cela inclut l'IA utilisée dans les infrastructures critiques (par exemple, les transports, l'énergie), l'éducation et la formation professionnelle, l'emploi et la gestion des travailleurs, les services essentiels privés et publics (par exemple, la notation de crédit, les soins de santé), le maintien de l'ordre, la migration et l'asile, et les processus démocratiques. Les fournisseurs doivent mettre en œuvre un système de gestion des risques, utiliser des données d'entraînement de haute qualité, maintenir une documentation technique, permettre une supervision humaine, et garantir la robustesse et la cybersécurité. Ils doivent également s'enregistrer dans une base de données de l'UE et subir une évaluation de conformité, impliquant souvent une évaluation par un tiers pour certaines applications.
Les déployeurs de systèmes à haut risque doivent les utiliser conformément aux instructions, surveiller les incidents et mener des évaluations d'impact sur les droits fondamentaux lorsqu'ils sont utilisés dans les secteurs publics. Les systèmes à haut risque doivent également être conçus pour fonctionner avec une supervision humaine, permettant aux opérateurs d'intervenir ou de remplacer les résultats.
Niveau de risque limité
Le risque limité s'applique aux systèmes d'IA qui interagissent avec les humains, tels que les chatbots, les deepfakes et les systèmes de reconnaissance des émotions. Ceux-ci sont soumis à des obligations de transparence : les utilisateurs doivent être informés qu'ils interagissent avec une IA, et les deepfakes doivent être étiquetés comme générés artificiellement. Ce niveau vise à prévenir la tromperie et à garantir un consentement éclairé, sans exigences substantielles supplémentaires.
Niveau de risque minimal
La plupart des applications d'IA, telles que les filtres anti-spam, l'IA des jeux vidéo ou la gestion des stocks, relèvent du niveau de risque minimal. Elles ne sont pas soumises à des obligations spécifiques en vertu du règlement, bien que des codes de conduite volontaires soient encouragés. Ce niveau reflète l'intention de l'UE d'éviter une surréglementation des usages à faible impact, permettant à l'innovation de se poursuivre avec un fardeau bureaucratique minimal.
Modèles d'IA à usage général
Le règlement introduit un régime distinct pour les modèles d'IA à usage général (GPAI), qui incluent les modèles de fondation comme ceux de OpenAI, Anthropic et Google DeepMind. Tous les modèles GPAI doivent fournir une documentation technique et se conformer au droit d'auteur. Les modèles présentant un risque systémique (entraînés avec plus de 10^25 FLOPs) sont soumis à des obligations supplémentaires, notamment des tests contradictoires, des rapports d'incidents et des mesures de cybersécurité. La Commission européenne, en consultation avec un bureau de l'IA, désigne les modèles à risque systémique.
Gouvernance et application
Le règlement établit un conseil européen de l'intelligence artificielle, composé d'autorités nationales de surveillance, pour garantir une application cohérente. Chaque État membre de l'UE désigne une autorité nationale pour la surveillance du marché. Les amendes pour non-conformité sont échelonnées : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 millions d'euros ou 3 % pour la plupart des autres violations, et 7,5 millions d'euros ou 1,5 % pour la fourniture d'informations incorrectes. Les petites et moyennes entreprises bénéficient d'amendes réduites et d'une documentation simplifiée.
Calendrier et mise en œuvre
Le règlement est entré en vigueur le 1er août 2024, avec un déploiement progressif. Les interdictions sur le risque inacceptable s'appliquent à partir du 2 février 2025. Les obligations relatives aux GPAI prennent effet à partir du 2 août 2025. Les exigences pour les systèmes à haut risque déjà couverts par la législation européenne sur la sécurité des produits s'appliquent à partir du 2 août 2026, et pour les autres systèmes à haut risque à partir du 2 août 2027. Les États membres doivent établir des autorités nationales d'ici le 2 août 2025.
Impact et critiques
La loi européenne sur l'IA est la première réglementation complète de l'IA au monde, influençant les normes mondiales. Les partisans soutiennent qu'elle protège les citoyens et renforce la confiance, tandis que les critiques affirment que les obligations à haut risque pourraient freiner l'innovation, en particulier pour les startups et les développeurs open source. La portée extraterritoriale du règlement signifie que les entreprises non européennes, y compris les grandes entreprises technologiques comme Google Cloud et Amazon Web Services, doivent s'y conformer si elles servent des clients de l'UE. En 2025, les orientations de mise en œuvre sont encore en cours d'élaboration, et l'impact pratique sur les technologies émergentes comme Generative AI reste à voir.