L'AI Act de l'UE 2028 fait référence à l'année charnière où la loi européenne sur l'intelligence artificielle (AI Act) atteint sa pleine application opérationnelle, achevant la mise en œuvre progressive commencée après l'entrée en vigueur du règlement le 1er août 2024. L'AI Act est un règlement complet établissant un cadre réglementaire et juridique commun pour l'intelligence artificielle au sein de l'UE, couvrant la plupart des systèmes d'IA dans un large éventail de secteurs. Il classe les applications d'IA non exemptées selon leur risque de causer un préjudice en quatre niveaux - inacceptable, élevé, limité et minimal - plus une catégorie supplémentaire pour l'IA à usage général. En tant que forme de réglementation des produits, il ne crée pas de droits individuels mais impose des obligations aux fournisseurs d'IA et aux organisations qui utilisent l'IA dans un contexte professionnel.
La loi a été proposée par la Commission européenne le 21 avril 2021, adoptée par le Parlement européen le 13 mars 2024, et approuvée à l'unanimité par le Conseil de l'UE le 21 mai 2024. Le projet a été révisé pour répondre à l'essor des systèmes d'IA générative tels que ChatGPT, dont les capacités à usage général ne correspondaient pas au cadre principal. D'ici 2028, toutes les dispositions, y compris celles concernant les applications à haut risque et les modèles d'IA à usage général, devraient être pleinement applicables, avec le Comité européen de l'intelligence artificielle supervisant la coopération nationale et la conformité.
Catégories de risque et obligations
Le schéma fondé sur le risque de l'AI Act suit un modèle de sécurité des produits. Les applications présentant des risques inacceptables sont interdites, sauf exemptions spécifiques, notamment l'IA qui manipule le comportement humain, l'identification biométrique à distance en temps réel dans les espaces publics et la notation sociale. Les applications à haut risque - celles posant des menaces significatives pour la santé, la sécurité ou les droits fondamentaux, comme dans la santé, l'éducation, le recrutement, les infrastructures critiques, l'application de la loi ou la justice - doivent se conformer aux obligations de sécurité, de transparence et de qualité, et subir des évaluations de conformité. Certaines exigent une évaluation d'impact sur les droits fondamentaux avant le déploiement, un examen ex ante visant à identifier et atténuer les impacts potentiels sur les droits fondamentaux. Ces systèmes doivent être évalués avant leur mise sur le marché et tout au long de leur cycle de vie, et les citoyens ont le droit de soumettre des plaintes et de recevoir des explications sur les décisions prises par l'IA à haut risque affectant leurs droits.
Les systèmes à risque limité, tels que les générateurs de deepfakes, ont des obligations de transparence garantissant que les utilisateurs savent qu'ils interagissent avec l'IA. Les applications à risque minimal, comme les jeux vidéo ou les filtres anti-spam, ne sont pas réglementées, et les États membres ne peuvent pas imposer de réglementations supplémentaires en raison des règles d'harmonisation maximale. La liste des applications à haut risque peut être élargie au fil du temps sans modifier la loi elle-même.
IA à usage général et modèles de fondation
Ajoutée en 2023, la catégorie de l'IA à usage général inclut les modèles de fondation comme les grands modèles de langage qui effectuent une large gamme de tâches. Si les poids et la conception d'un modèle sont en open source, les développeurs doivent publier un résumé des données d'entraînement et une politique de droits d'auteur ; les modèles à source fermée font face à des exigences de transparence plus larges. Les modèles à fort impact posant des risques systémiques - nécessitant plus de 10^25 opérations en virgule flottante pour l'entraînement - doivent subir une évaluation supplémentaire. Le Code de pratique pour l'IA à usage général, publié le 10 juillet 2025, décrit des chapitres sur la transparence, les droits d'auteur et la sécurité et la sûreté pour aider les fournisseurs à démontrer leur conformité, avec une participation volontaire. Les fournisseurs de modèles d'IA à usage général doivent publier des résumés des données d'entraînement, adopter des politiques de droits d'auteur et fournir une documentation technique aux fournisseurs en aval et aux autorités. Les modèles désignés comme posant un risque systémique doivent effectuer des évaluations de modèles, des tests contradictoires, évaluer et atténuer les risques comme les biais et les défaillances de sécurité, signaler les incidents graves et garantir une cybersécurité adéquate.
Exemptions et extraterritorialité
Les articles 2.3 et 2.6 exemptent les systèmes d'IA utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale, ainsi que la recherche et le développement scientifiques purs, de l'AI Act. Comme le Règlement général sur la protection des données de l'UE, la loi peut s'appliquer de manière extraterritoriale aux fournisseurs situés en dehors de l'UE s'ils ont des utilisateurs au sein de l'UE. Cela signifie que les entreprises basées aux États-Unis, en Asie ou ailleurs doivent se conformer lorsqu'elles offrent des services d'IA aux résidents de l'UE, quel que soit l'endroit où les systèmes sont développés.
Calendrier d'application et jalons de 2028
Le règlement est entré en vigueur le 1er août 2024, avec des dispositions devenant opérationnelles progressivement sur 6 à 36 mois. D'ici 2028, la dernière tranche d'obligations devient effective, en particulier pour les systèmes d'IA à haut risque dans des secteurs comme la santé, l'éducation et l'application de la loi. Le Comité européen de l'intelligence artificielle, créé par la loi, joue un rôle central dans la promotion de la coopération nationale et la garantie d'une conformité uniforme entre les États membres. Les autorités nationales de surveillance devraient avoir établi des procédures d'évaluation de la conformité, et les fournisseurs doivent avoir complété les certifications pour leurs systèmes à haut risque. Le jalon de 2028 marque également le point où le mécanisme complet d'application de la loi, y compris les sanctions en cas de non-conformité, est opérationnel dans toutes les catégories.
Impact sur le développement et le déploiement de l'IA
La pleine application en 2028 affecte un large écosystème de développeurs et de déployeurs d'IA. Des entreprises comme OpenAI, Anthropic et Google DeepMind qui produisent des modèles à usage général doivent se conformer aux exigences de transparence et d'évaluation si leurs modèles sont utilisés dans l'UE. Les fournisseurs de matériel comme NVIDIA (bien que non listés, impliqués par l'écosystème) et AMD peuvent voir des effets indirects car leurs puces alimentent des modèles soumis à des évaluations de risque systémique. Les fournisseurs de services cloud comme Amazon Web Services, Microsoft Azure et Google Cloud doivent garantir que leurs offres d'IA respectent les normes de la loi. Les institutions de recherche, y compris MIT CSAIL, Stanford AI Lab et BAIR (Berkeley AI Research), sont affectées lorsque leurs modèles sont déployés commercialement dans l'UE, bien que la recherche pure soit exemptée. L'accent mis par la loi sur la transparence et l'atténuation des risques s'aligne sur des pratiques techniques telles que le élagage de modèles, l'augmentation de données et le apprentissage par renforcement à partir de retours d'IA, qui peuvent aider à démontrer la conformité.
Défis de conformité et réponse de l'industrie
En 2028, de nombreuses organisations font face à des défis de conformité significatifs. Les systèmes d'IA à haut risque exigent une documentation rigoureuse, des mécanismes de supervision humaine et une surveillance continue. Le processus d'évaluation d'impact sur les droits fondamentaux, informé par des travaux antérieurs sur les évaluations d'impact algorithmiques, exige d'identifier les communautés affectées, de décrire les préjudices possibles et de fournir une base pour un examen public. Pour les modèles à usage général, le seuil de 10^25 opérations en virgule flottante pour la désignation de risque systémique capture les plus grands modèles, tels que ceux entraînés par les grands laboratoires. Le code de pratique volontaire, bien que non obligatoire, fournit une approche structurée pour que les fournisseurs démontrent leur conformité, couvrant la transparence, les droits d'auteur et la sécurité. Les réponses de l'industrie ont inclus le développement de cadres de gouvernance internes, l'investissement dans des outils d'évaluation et l'engagement avec le Comité européen de l'intelligence artificielle. Certains petits fournisseurs, en particulier ceux offrant des modèles open source, bénéficient d'exigences réduites, mais doivent toujours publier des résumés des données d'entraînement et des politiques de droits d'auteur.
Implications plus larges pour la gouvernance mondiale de l'IA
L'AI Act de l'UE 2028 sert de référence pour la réglementation de l'IA dans le monde entier. Son approche fondée sur le risque et son application extraterritoriale influencent les discussions politiques dans d'autres juridictions, y compris les États-Unis et l'Asie. La distinction de la loi entre les modèles open source et à source fermée a suscité un débat sur l'innovation par rapport à la sécurité, certains arguant que les exigences de transparence open source sont insuffisantes tandis que d'autres les voient comme une approche équilibrée. L'application de 2028 coïncide également avec les avancées dans le apprentissage automatique et le apprentissage profond, y compris les développements dans les architectures transformers et les mécanismes d'attention multi-têtes, qui peuvent introduire de nouvelles capacités non entièrement anticipées par le cadre réglementaire. Les dispositions de la loi pour mettre à jour la liste des risques élevés et s'adapter au changement technologique sont conçues pour répondre à de telles évolutions, mais leur efficacité dépendra de la réactivité du Comité européen de l'intelligence artificielle. En 2028, l'impact complet de la loi sur l'innovation en IA, la concurrence sur le marché et la protection des droits fondamentaux reste un sujet d'analyse en cours parmi les juristes, les technologues et les décideurs politiques.
Perspectives d'avenir
Au-delà de 2028, l'AI Act devrait évoluer à mesure que les technologies d'IA avancent. La Commission européenne pourrait proposer des amendements pour aborder des domaines émergents tels que l'interprétabilité des réseaux neuronaux, l'alignement des grands modèles de langage ou l'IA dans les systèmes autonomes comme les véhicules autonomes. Les dispositions d'harmonisation maximale de la loi empêchent les États membres d'imposer des réglementations supplémentaires sur les systèmes à risque minimal, mais permettent l'expansion de la liste des risques élevés. Le Code de pratique pour l'IA à usage général pourrait être mis à jour pour refléter les nouvelles normes techniques et les meilleures pratiques. Le jalon de 2028 représente ainsi non pas un point final mais une base pour une adaptation réglementaire continue, l'UE se positionnant comme un leader mondial dans la gouvernance de l'IA. L'interaction entre la loi et d'autres réglementations de l'UE, telles que la protection des données et les services numériques, continuera de façonner le paysage de la conformité pour les fournisseurs et déployeurs d'IA au sein et en dehors de l'UE.