La loi européenne sur l'IA 2025 marque le début de la mise en œuvre opérationnelle de la loi sur l'intelligence artificielle, un règlement de l'Union européenne qui établit un cadre réglementaire et juridique commun pour l'intelligence artificielle. Le règlement est entré en vigueur le 1er août 2024, avec des dispositions qui sont devenues opérationnelles progressivement au cours des 6 à 36 mois suivants. En 2025, des obligations clés ont commencé à s'appliquer aux fournisseurs et aux déployeurs de systèmes d'IA au sein de l'UE, y compris ceux situés en dehors du bloc s'ils ont des utilisateurs dans l'UE, reflétant la portée extraterritoriale du Règlement général sur la protection des données.
La loi couvre la plupart des systèmes d'IA dans un large éventail de secteurs, avec des exemptions pour l'IA utilisée uniquement à des fins militaires, de sécurité nationale, de recherche ou pour un usage non professionnel. En tant que forme de réglementation des produits, elle ne crée pas de droits individuels ; elle impose plutôt des obligations aux fournisseurs d'IA et aux organisations qui utilisent l'IA dans un contexte professionnel. Le règlement a été proposé par la Commission européenne le 21 avril 2021, adopté par le Parlement européen le 13 mars 2024 et approuvé à l'unanimité par le Conseil de l'UE le 21 mai 2024. Le projet a été révisé pour répondre à la popularité croissante des systèmes d'IA générative, tels que ChatGPT, dont les capacités polyvalentes ne correspondaient pas au cadre principal.
Catégories de risque
La loi classe les applications d'IA non exemptées selon leur risque de causer des dommages, avec quatre niveaux - inacceptable, élevé, limité, minimal - plus une catégorie supplémentaire pour l'IA à usage général. Les applications présentant des risques inacceptables sont interdites. Les applications à haut risque doivent se conformer aux obligations de sécurité, de transparence et de qualité, et subir des évaluations de conformité. Les applications à risque limité n'ont que des obligations de transparence. Les applications à risque minimal ne sont pas réglementées.
Le risque inacceptable comprend les applications d'IA qui manipulent le comportement humain, celles qui utilisent l'identification biométrique à distance en temps réel (telle que la reconnaissance faciale) dans les espaces publics, et celles utilisées pour la notation sociale - classant les individus en fonction de leurs caractéristiques personnelles, de leur statut socio-économique ou de leur comportement. Les interdictions s'appliquent, sauf exemptions spécifiques.
Les applications à haut risque sont celles qui devraient présenter des menaces significatives pour la santé, la sécurité ou les droits fondamentaux des personnes. Notamment, les systèmes d'IA utilisés dans la santé, l'éducation, le recrutement, la gestion des infrastructures critiques, l'application de la loi ou la justice entrent dans cette catégorie. Ils sont soumis à des obligations de qualité, de transparence, de surveillance humaine et de sécurité, et dans certains cas, nécessitent une évaluation d'impact sur les droits fondamentaux (EIDF) avant le déploiement. Une EIDF est un examen ex ante visant à identifier et à atténuer les impacts potentiels sur les droits fondamentaux avant le déploiement d'un système d'IA. Ces systèmes doivent être évalués à la fois avant leur mise sur le marché et tout au long de leur cycle de vie. La liste des applications à haut risque peut être élargie au fil du temps sans modifier la loi sur l'IA elle-même. Les citoyens ont le droit de soumettre des plaintes concernant les systèmes d'IA et de recevoir des explications sur les décisions prises par l'IA à haut risque qui affectent leurs droits.
Le risque limité comprend les applications d'IA qui permettent de générer ou de manipuler des images, des sons ou des vidéos (comme les deepfakes). Ces systèmes ont des obligations de transparence, garantissant que les utilisateurs sont informés qu'ils interagissent avec un système d'IA et leur permettant de faire des choix éclairés.
Le risque minimal comprend les systèmes d'IA utilisés pour les jeux vidéo ou les filtres anti-spam. La plupart des applications d'IA devraient entrer dans cette catégorie. Ces systèmes ne sont pas réglementés, et les États membres ne peuvent pas imposer de réglementations supplémentaires en raison des règles d'harmonisation maximale. Les lois nationales existantes concernant la conception ou l'utilisation de tels systèmes sont remplacées. Cependant, un code de conduite volontaire est suggéré.
IA à usage général
Ajoutée en 2023, la catégorie de l'IA à usage général comprend les modèles de fondation capables d'effectuer un large éventail de tâches, tels que ceux développés par OpenAI, Anthropic ou Google DeepMind. Si les poids et la conception d'un modèle sont rendus open source, les développeurs doivent publier un résumé des données d'entraînement et une politique de droits d'auteur ; les modèles à source fermée doivent respecter des exigences de transparence plus larges. Les modèles à fort impact qui présentent des risques systémiques - nécessitant plus de 10^25 opérations en virgule flottante pour l'entraînement - doivent subir une évaluation supplémentaire.
Un code de pratique pour l'IA à usage général, publié le 10 juillet 2025, décrit trois chapitres principaux sur la transparence, les droits d'auteur et la sécurité et la sûreté pour aider les fournisseurs à démontrer leur conformité avec la loi sur l'IA. La participation au code est volontaire. Au-delà des obligations de transparence de base, la loi fixe une liste commune d'obligations pour les fournisseurs de modèles d'IA à usage général. Ils doivent publier un résumé des données d'entraînement, adopter une politique pour se conformer à la législation sur les droits d'auteur et fournir une documentation technique aux fournisseurs en aval et aux autorités de surveillance. Les modèles désignés comme présentant un risque systémique doivent également effectuer des évaluations de modèles et des tests contradictoires, évaluer et atténuer les risques tels que les biais et les défaillances de sécurité, signaler les incidents graves et garantir un niveau adéquat de cybersécurité.
Exemptions
Les articles 2.3 et 2.6 exemptent de la loi sur l'IA les systèmes d'IA utilisés à des fins militaires ou de sécurité nationale ou pour la recherche et le développement scientifiques purs. Le règlement ne s'applique pas lorsque les systèmes d'IA sont utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale, ni aux systèmes développés et mis en service uniquement pour la recherche scientifique. Cette exemption ne couvre pas les systèmes d'IA utilisés dans des contextes civils, même s'ils sont développés par des organisations militaires ou de sécurité.
Gouvernance et conformité
La loi crée un Conseil européen de l'intelligence artificielle pour promouvoir la coopération nationale et garantir le respect du règlement. Ce conseil coordonne les autorités de surveillance des États membres, similaire à la structure établie en vertu du Règlement général sur la protection des données. Le conseil est chargé de publier des orientations, de faciliter une application cohérente et de traiter les cas transfrontaliers impliquant des systèmes d'IA.
En 2025, les activités de mise en application ont commencé sérieusement. Les autorités nationales de surveillance ont commencé à effectuer des évaluations de conformité pour les systèmes d'IA à haut risque mis sur le marché. Les fournisseurs de modèles d'IA à usage général ont été tenus d'enregistrer leurs modèles et de soumettre une documentation. La Commission européenne a également commencé à élaborer des actes d'exécution et des lignes directrices pour clarifier des dispositions spécifiques, y compris les normes techniques pour les évaluations de conformité et les procédures pour le Conseil européen de l'intelligence artificielle.
Impact sur l'industrie
La portée extraterritoriale de la loi sur l'IA signifie que les grandes entreprises technologiques en dehors de l'UE, y compris celles des États-Unis et d'Asie, doivent se conformer si elles offrent des services d'IA aux utilisateurs de l'UE. Cela inclut les fournisseurs de services de cloud computing comme Amazon Web Services, Microsoft Azure et Google Cloud, ainsi que les fabricants de puces d'IA tels que NVIDIA (bien que non listé, c'est un acteur clé) et AMD. Le règlement a incité de nombreuses entreprises à établir des équipes de conformité, à mener des audits internes et à développer des cadres de gestion des risques pour leurs produits d'IA.
Pour les fournisseurs d'IA à usage général, l'obligation de publier des résumés des données d'entraînement et des politiques de droits d'auteur a des implications significatives. Les entreprises développant des modèles de apprentissage automatique doivent désormais documenter leurs sources de données et garantir leur conformité avec la législation européenne sur les droits d'auteur. Cela a conduit à un examen accru des pratiques d'acquisition de données d'entraînement, en particulier pour les systèmes d'IA générative qui s'appuient sur de vastes ensembles de données extraits d'Internet.
Calendrier et transition
Les dispositions de la loi sur l'IA sont mises en œuvre progressivement sur 6 à 36 mois à compter de son entrée en vigueur le 1er août 2024. En 2025, les premières échéances majeures ont pris effet. Au 2 février 2025, les interdictions sur les applications d'IA à risque inacceptable sont devenues applicables. Au 2 août 2025, les obligations pour les modèles d'IA à usage général sont devenues applicables. Les exigences pour les systèmes d'IA à haut risque sont prévues pour s'appliquer par étapes, avec le premier ensemble d'obligations devenant applicable en août 2026 et le reste en août 2027.
Pendant cette période de transition, la Commission européenne a travaillé avec les États membres et les parties prenantes de l'industrie pour élaborer des lignes directrices d'exécution et des normes harmonisées. Le Conseil européen de l'intelligence artificielle a été établi et a tenu ses premières réunions en 2025. Le code de pratique pour l'IA à usage général, publié le 10 juillet 2025, sert d'outil pratique pour les fournisseurs afin de démontrer leur conformité, bien que la participation reste volontaire.
Contexte plus large
La loi sur l'IA fait partie d'une tendance mondiale plus large vers la réglementation de l'IA. Elle suit le Règlement général sur la protection des données de l'UE en établissant un cadre réglementaire complet pour les technologies numériques. L'approche basée sur les risques de la loi a été influente dans d'autres juridictions, bien que l'UE reste la première grande économie à adopter une législation horizontale contraignante sur l'IA. L'accent mis par le règlement sur les droits fondamentaux et la sécurité reflète les débats en cours sur l'impact sociétal de l'IA, y compris les préoccupations concernant les biais, la discrimination et la responsabilité dans la prise de décision automatisée.
Les dispositions de la loi sur la transparence pour les systèmes d'IA à risque limité, tels que les deepfakes, répondent aux préoccupations croissantes concernant la désinformation et la manipulation. L'exigence pour les systèmes d'IA à haut risque de subir des évaluations de conformité et des évaluations d'impact sur les droits fondamentaux vise à garantir que le déploiement de l'IA respecte les valeurs et les principes juridiques de l'UE. En 2025, l'impact complet du règlement sur l'innovation et la compétitivité reste à voir, avec des discussions en cours sur l'équilibre entre la réglementation et la promotion du développement de l'IA en Europe.