La proposition de loi sur l'IA de 2021 de l'UE est la proposition législative initiale de la Commission européenne pour réglementer l'intelligence artificielle (IA) au sein de l'Union européenne. Présentée le 21 avril 2021, elle a établi un cadre fondé sur les risques pour classer les applications d'IA en quatre niveaux - risque inacceptable, élevé, limité et minimal - avec des obligations correspondantes pour les fournisseurs et les déployeurs. La proposition a ensuite été révisée pour répondre à l'essor des systèmes d'IA générative, tels que ChatGPT, avant d'être adoptée comme loi sur l'IA finale en 2024.
La proposition est issue d'une stratégie plus large de l'UE visant à positionner le bloc comme leader en matière d'IA digne de confiance, en équilibrant innovation et protection des droits fondamentaux. Elle s'appuyait sur des travaux antérieurs du Parlement européen et du groupe d'experts de haut niveau sur l'IA de la Commission, qui avaient appelé à un cadre réglementaire capable de s'adapter aux changements technologiques rapides. Le texte original visait à harmoniser les règles nationales, à prévenir la fragmentation du marché et à garantir que les systèmes d'IA mis sur le marché de l'UE soient sûrs et respectent les lois existantes.
Contexte et historique législatif
La Commission européenne développait une politique sur l'IA depuis 2018, lorsqu'elle a publié un plan coordonné sur l'IA avec les États membres. En février 2020, la Commission a publié un livre blanc sur l'IA, qui exposait les options politiques et lançait une consultation publique. Les retours, combinés aux analyses d'impact, ont informé le projet de règlement présenté le 21 avril 2021 par le commissaire au marché intérieur Thierry Breton et la vice-présidente Margrethe Vestager.
La proposition faisait partie d'un ensemble numérique plus large comprenant également la loi sur les services numériques et la loi sur les marchés numériques. Contrairement à ces règlements, qui se concentraient sur les plateformes en ligne, la loi sur l'IA ciblait la technologie elle-même, en utilisant un modèle de sécurité des produits similaire à la législation existante de l'UE sur les machines, les jouets et les dispositifs médicaux. Cette approche assignait des devoirs aux fournisseurs d'IA (développeurs) et aux déployeurs (utilisateurs) en fonction du niveau de risque que leurs systèmes posaient.
Le processus législatif a pris plus de trois ans. Le Parlement européen et le Conseil de l'UE ont négocié des amendements, avec des changements significatifs en réponse à l'adoption rapide des outils d'IA générative. Le texte final a été adopté par le Parlement le 13 mars 2024 et approuvé par le Conseil le 21 mai 2024, entrant en vigueur le 1er août 2024. La proposition de 2021, cependant, reste historiquement significative en tant que fondement de ces négociations.
Classification fondée sur les risques
Le cœur de la proposition était une pyramide de risques à quatre niveaux, largement conservée dans la loi finale. Les catégories étaient conçues pour refléter le préjudice potentiel qu'un système d'IA pourrait causer à la santé, à la sécurité ou aux droits fondamentaux.
Risque inacceptable
Les applications jugées comme présentant un risque inacceptable devaient être interdites purement et simplement. Cela incluait les systèmes d'IA qui manipulent le comportement humain pour contourner le libre arbitre, ceux qui exploitent les vulnérabilités de groupes spécifiques (tels que les enfants ou les personnes handicapées), et les systèmes de notation sociale qui classaient les individus en fonction de caractéristiques personnelles ou de comportement. La proposition interdisait également l'identification biométrique à distance en temps réel dans les espaces accessibles au public à des fins répressives, avec des exceptions étroites pour des crimes spécifiques et avec autorisation judiciaire.
Risque élevé
Les systèmes d'IA à haut risque étaient soumis aux obligations les plus étendues. La proposition énumérait huit domaines spécifiques : identification et catégorisation biométriques des personnes physiques ; gestion et exploitation des infrastructures critiques ; éducation et formation professionnelle ; emploi et gestion des travailleurs ; accès aux services essentiels privés et publics ; application de la loi ; migration, asile et contrôle des frontières ; et administration de la justice et processus démocratiques. Les fournisseurs de systèmes à haut risque devaient mettre en œuvre des systèmes de gestion des risques, utiliser des données de formation de haute qualité, maintenir une documentation technique, permettre la journalisation automatique, assurer la transparence et fournir une supervision humaine. Ils devaient également subir des évaluations de conformité avant la mise sur le marché et tout au long du cycle de vie du système.
Risque limité
Les systèmes d'IA à risque limité, tels que les chatbots et les générateurs de deepfakes, étaient soumis à des obligations de transparence. Les utilisateurs devaient être informés lorsqu'ils interagissaient avec un système d'IA, et le contenu généré ou manipulé par l'IA devait être étiqueté comme tel. Cela visait à permettre aux individus de faire des choix éclairés et à prévenir la tromperie.
Risque minimal
La majorité des applications d'IA, y compris les jeux vidéo et les filtres anti-spam, étaient considérées comme à risque minimal et n'étaient pas réglementées. La proposition encourageait des codes de conduite volontaires pour ces systèmes, mais n'imposait pas d'exigences contraignantes. Les États membres étaient également empêchés d'ajouter des règles nationales supplémentaires pour les systèmes à risque minimal, garantissant un marché unique pour l'IA.
IA à usage général et modèles génératifs
La proposition originale de 2021 ne traitait pas explicitement des systèmes d'IA à usage général (GPAI), qui peuvent effectuer une large gamme de tâches dans différents domaines. Cette lacune est devenue apparente avec la croissance explosive des modèles d'IA générative comme ChatGPT et d'autres modèles de fondation fin 2022 et 2023. Le projet a été révisé pour inclure une catégorie dédiée aux GPAI, avec des obligations à plusieurs niveaux.
Dans le cadre révisé, tous les modèles GPAI devaient fournir une documentation technique, publier des résumés des données de formation et se conformer à la loi sur le droit d'auteur. Les modèles open-source, où les poids et la conception étaient rendus publics, faisaient face à des exigences réduites, comme seulement devoir publier un résumé des données de formation et une politique de droit d'auteur. Les modèles à source fermée devaient satisfaire à des obligations de transparence plus larges. Les modèles à fort impact nécessitant plus de 10^25 opérations en virgule flottante pour être formés étaient jugés comme posant des risques systémiques et devaient subir des évaluations supplémentaires, des tests contradictoires et des mesures de cybersécurité.
Cette révision était une réponse directe aux défis posés par les systèmes de apprentissage automatique qui pouvaient être affinés pour de nombreuses applications, rendant difficile leur classification sous les catégories de risque originales. L'approche visait à équilibrer innovation et surveillance, en particulier pour les modèles les plus puissants développés par des entreprises comme Google DeepMind et Anthropic.
Application et gouvernance
La proposition a établi une structure de gouvernance pour assurer une application cohérente dans toute l'UE. Elle a créé un Conseil européen de l'intelligence artificielle, composé de représentants des États membres et de la Commission, pour faciliter la coopération et fournir des orientations. Les autorités nationales de surveillance étaient responsables de l'application du règlement sur leurs territoires, avec le pouvoir de mener des surveillances du marché et d'imposer des sanctions.
Les pénalités pour non-conformité étaient fixées à jusqu'à 6 % du chiffre d'affaires annuel mondial d'une entreprise pour les violations impliquant des pratiques interdites, 4 % pour d'autres infractions et 2 % pour la fourniture d'informations incorrectes. Ces amendes étaient comparables à celles du règlement général sur la protection des données, reflétant l'engagement de l'UE en faveur d'une application robuste.
La proposition incluait également des dispositions pour une application extraterritoriale, ce qui signifie que les fournisseurs de l'extérieur de l'UE seraient soumis au règlement s'ils offraient des systèmes d'IA à des utilisateurs dans l'UE. Cela reflétait l'approche du RGPD et visait à créer des conditions de concurrence équitables pour les développeurs d'IA mondiaux.
Exemptions et portée
Certains systèmes d'IA étaient exclus de la portée de la proposition. Cela incluait les systèmes utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale, ainsi que ceux développés et mis en service uniquement pour la recherche et le développement scientifiques. Le règlement ne s'appliquait pas non plus à l'IA utilisée pour des activités personnelles et non professionnelles. Ces exemptions visaient à respecter la souveraineté des États membres en matière de sécurité et à éviter d'entraver l'innovation dans les contextes de recherche.
Cependant, la proposition n'exemptait pas les systèmes d'IA utilisés dans l'application de la loi ou le contrôle de la migration, même si ce sont souvent des fonctions étatiques. Au lieu de cela, elle les soumettait à la catégorie à haut risque, avec des garanties supplémentaires telles que la supervision humaine et des évaluations d'impact sur les droits fondamentaux.
Impact et héritage
La proposition de 2021 a été une étape marquante dans la réglementation de l'IA, étant le premier cadre juridique complet pour l'IA proposé par une juridiction majeure. Elle a influencé les efforts réglementaires ultérieurs dans le monde entier, y compris la convention sur l'IA du Conseil de l'Europe et diverses initiatives nationales. L'approche fondée sur les risques a été largement débattue, certains universitaires louant sa flexibilité et d'autres critiquant les lacunes potentielles ou la surréglementation.
Au cours du processus législatif, la proposition a été amendée pour répondre aux préoccupations de l'industrie et de la société civile. Par exemple, la liste des applications à haut risque a été affinée, et la définition de l'IA a été alignée sur celle de l'OCDE. La loi finale, adoptée en 2024, a conservé la structure de base de la proposition de 2021 mais a ajouté la catégorie GPAI et ajusté certains seuils.
La proposition a également suscité des discussions académiques et politiques sur la nature de la réglementation de l'IA. Certains ont soutenu que le modèle de sécurité des produits était approprié pour l'IA, tandis que d'autres ont appelé à une approche plus centrée sur les droits de l'homme. L'inclusion d'évaluations d'impact sur les droits fondamentaux a été considérée comme une étape progressive, s'appuyant sur des travaux antérieurs sur les évaluations d'impact algorithmiques.
En 2025, les dispositions de la loi sur l'IA sont mises en œuvre progressivement, avec les premières échéances pour les pratiques interdites et les obligations GPAI déjà en vigueur. La proposition de 2021 reste un point de référence clé pour comprendre l'évolution de la gouvernance de l'IA dans l'UE et dans le monde.