La loi sur l'intelligence artificielle (AI Act) est un règlement de l'Union européenne qui établit un cadre réglementaire et juridique commun pour l'intelligence artificielle (IA) au sein de l'UE. Elle est entrée en vigueur le 1er août 2024, avec des dispositions mises en œuvre progressivement sur 6 à 36 mois. La loi couvre la plupart des systèmes d'IA dans un large éventail de secteurs, avec des exemptions pour l'IA utilisée uniquement à des fins militaires, de sécurité nationale, de recherche ou à des fins non professionnelles. En tant que forme de réglementation des produits, elle ne crée pas de droits individuels mais impose des obligations aux fournisseurs d'IA et aux organisations utilisant l'IA dans un contexte professionnel.
La loi classe les applications d'IA non exemptées selon leur risque de causer un préjudice, avec quatre niveaux - inacceptable, élevé, limité et minimal - plus une catégorie supplémentaire pour l'IA à usage général. Les applications présentant des risques inacceptables sont interdites, tandis que les applications à haut risque doivent se conformer à des obligations de sécurité, de transparence et de qualité et faire l'objet d'évaluations de conformité. Les applications à risque limité sont soumises à des obligations de transparence, et les applications à risque minimal ne sont pas réglementées. Pour l'IA à usage général, des exigences de transparence sont imposées, avec des exigences réduites pour les modèles open source et des évaluations supplémentaires pour les modèles à haute capacité.
Historique législatif
La Commission européenne a proposé la loi sur l'IA le 21 avril 2021. Le projet a été révisé pour répondre à la popularité croissante des systèmes d'IA générative, tels que ceux développés par OpenAI et Anthropic, dont les capacités à usage général ne correspondaient pas au cadre principal. Le Parlement européen a adopté la loi le 13 mars 2024, et le Conseil de l'UE l'a approuvée à l'unanimité le 21 mai 2024. Le règlement est entré en vigueur le 1er août 2024.
La loi crée également un Bureau européen de l'IA pour promouvoir la coopération nationale et garantir le respect des règles. Comme le Règlement général sur la protection des données (RGPD), la loi peut s'appliquer de manière extraterritoriale aux fournisseurs situés hors de l'UE s'ils ont des utilisateurs au sein de l'UE.
Catégories de risques
Le système de classification par risques suit un modèle de sécurité des produits où les obligations réglementaires sont imposées aux fournisseurs et aux déployeurs de systèmes d'IA, devenant plus exigeantes à mesure que l'impact potentiel sur la santé, la sécurité ou les droits fondamentaux augmente. Cette structure garantit que la surveillance se concentre sur les systèmes susceptibles de créer des risques significatifs tout en permettant des approches plus légères pour les usages moins sensibles.
Les applications à risque inacceptable sont interdites, sauf exceptions spécifiques. Cela inclut l'IA qui manipule le comportement humain, l'identification biométrique à distance en temps réel (telle que la reconnaissance faciale) dans les espaces publics, et la notation sociale qui classe les individus sur la base de caractéristiques personnelles ou de comportement.
Les applications à haut risque sont celles susceptibles de présenter des menaces significatives pour la santé, la sécurité ou les droits fondamentaux. Cela inclut l'IA utilisée dans les domaines de la santé, de l'éducation, du recrutement, de la gestion des infrastructures critiques, de l'application de la loi ou de la justice. Ces systèmes doivent respecter des obligations de qualité, de transparence, de surveillance humaine et de sécurité, et dans certains cas, une évaluation d'impact sur les droits fondamentaux est requise avant le déploiement. Les citoyens ont le droit de soumettre des plaintes concernant les systèmes d'IA et de recevoir des explications sur les décisions prises par des systèmes d'IA à haut risque affectant leurs droits.
Les systèmes à risque limité sont soumis à des obligations de transparence, garantissant que les utilisateurs savent qu'ils interagissent avec une IA et peuvent faire des choix éclairés. Cela inclut les applications qui génèrent ou manipulent des images, du son ou des vidéos, telles que les deepfakes. Les systèmes à risque minimal, y compris les jeux vidéo ou les filtres anti-spam, ne sont pas réglementés, et les États membres ne peuvent pas imposer de réglementations supplémentaires en raison des règles d'harmonisation maximale.
IA à usage général
Ajoutée en 2023, la catégorie de l'IA à usage général inclut les modèles de fondation capables d'effectuer un large éventail de tâches, tels que les grands modèles de langage. Si les poids et la conception d'un modèle sont rendus open source, les développeurs doivent publier un résumé des données d'entraînement et une politique en matière de droits d'auteur. Les modèles à code source fermé doivent respecter des exigences de transparence plus étendues. Les modèles à fort impact présentant des risques systémiques, nécessitant plus de 10^25 opérations en virgule flottante pour l'entraînement, doivent faire l'objet d'une évaluation supplémentaire.
Un code de bonnes pratiques pour l'IA à usage général, publié le 10 juillet 2025, décrit trois chapitres principaux sur la transparence, les droits d'auteur, ainsi que la sécurité et la sûreté, afin d'aider les fournisseurs à démontrer leur conformité. La participation à ce code est volontaire. Les fournisseurs de modèles d'IA à usage général doivent publier un résumé des données d'entraînement, adopter une politique de conformité en matière de droits d'auteur et fournir une documentation technique aux fournisseurs en aval et aux autorités de surveillance. Les modèles désignés comme présentant un risque systémique doivent également effectuer des évaluations de modèles, des tests contradictoires, évaluer et atténuer les risques tels que les biais et les failles de sécurité, signaler les incidents graves et garantir une cybersécurité adéquate.
Exemptions et application
Les articles 2.3 et 2.6 exemptent les systèmes d'IA utilisés à des fins militaires ou de sécurité nationale, ou pour la recherche et le développement scientifiques purs, de la loi sur l'IA. Le règlement ne s'applique pas lorsque les systèmes d'IA sont utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale, ni aux systèmes développés et mis en service uniquement pour ces raisons.
La portée extraterritoriale de la loi signifie que les fournisseurs situés hors de l'UE, y compris les grandes entreprises technologiques comme Google DeepMind et Amazon Web Services, doivent s'y conformer s'ils ont des utilisateurs au sein de l'UE. Le Bureau européen de l'IA facilite la coopération nationale et garantit une application cohérente dans tous les États membres. La liste des applications à haut risque peut être élargie au fil du temps sans modifier la loi sur l'IA elle-même, permettant au cadre de s'adapter aux capacités et applications émergentes de l'IA.