L'EU AI Act 2031 désigne la révision programmée et la révision potentielle de la loi sur l'intelligence artificielle, un règlement de l'Union européenne qui établit un cadre réglementaire et juridique commun pour l'intelligence artificielle. La loi originale est entrée en vigueur le 1er août 2024, avec des dispositions mises en œuvre progressivement sur les 6 à 36 mois suivants. La révision post-2030, anticipée par les propres dispositions de la loi, vise à évaluer l'efficacité du règlement, à s'adapter aux développements technologiques et à répondre aux défis émergents dans le paysage de l'IA.
Le processus de révision devrait examiner comment le système de classification basé sur les risques a fonctionné en pratique, en particulier pour les applications à haut risque et les modèles d'IA à usage général. Il examinera également si l'application extraterritoriale de la loi, qui affecte les fournisseurs hors de l'UE s'ils ont des utilisateurs dans l'UE, a atteint ses effets d'harmonisation escomptés.
Contexte et historique législatif
La Commission européenne a proposé la loi sur l'IA le 21 avril 2021. Le Parlement européen l'a adoptée le 13 mars 2024, et le Conseil de l'UE l'a approuvée à l'unanimité le 21 mai 2024. Le projet de loi a été révisé lors des négociations pour répondre à la montée en popularité des systèmes d'IA générative, tels que ChatGPT, dont les capacités à usage général ne correspondaient pas au cadre principal. Cette révision a ajouté une catégorie dédiée pour l'IA à usage général, y compris les modèles de fondation capables d'effectuer une large gamme de tâches.
La loi crée un Conseil européen de l'intelligence artificielle pour promouvoir la coopération nationale et garantir la conformité. Comme le Règlement général sur la protection des données de l'UE, la loi peut s'appliquer de manière extraterritoriale aux fournisseurs hors de l'UE s'ils ont des utilisateurs dans l'UE. Le règlement couvre la plupart des systèmes d'IA dans une large gamme de secteurs, avec des exemptions pour l'IA utilisée uniquement à des fins militaires, de sécurité nationale, de recherche ou pour un usage non professionnel.
Cadre de classification des risques
La loi classe les applications d'IA non exemptées selon leur risque de causer des dommages, avec quatre niveaux - inacceptable, élevé, limité et minimal - plus une catégorie supplémentaire pour l'IA à usage général. Les applications présentant des risques inacceptables sont interdites, sauf exemptions spécifiques. Cela inclut les applications d'IA qui manipulent le comportement humain, celles qui utilisent l'identification biométrique à distance en temps réel dans les espaces publics et celles utilisées pour la notation sociale.
Les applications à haut risque doivent se conformer aux obligations de sécurité, de transparence et de qualité, et subir des évaluations de conformité. Cela inclut les systèmes d'IA utilisés dans la santé, l'éducation, le recrutement, la gestion des infrastructures critiques, l'application de la loi ou la justice. Ils doivent être évalués à la fois avant leur mise sur le marché et tout au long de leur cycle de vie. Les citoyens ont le droit de soumettre des plaintes concernant les systèmes d'IA et de recevoir des explications sur les décisions prises par l'IA à haut risque qui affectent leurs droits.
Les applications à risque limité n'ont que des obligations de transparence, garantissant que les utilisateurs sont informés qu'ils interagissent avec un système d'IA. Cette catégorie inclut les applications d'IA qui génèrent ou manipulent des images, des sons ou des vidéos, comme les deepfakes. Les applications à risque minimal, telles que les systèmes d'IA utilisés pour les jeux vidéo ou les filtres anti-spam, ne sont pas réglementées, et les États membres ne peuvent pas imposer de réglementations supplémentaires en raison des règles d'harmonisation maximale.
Dispositions sur l'IA à usage général
Ajoutée en 2023, la catégorie d'IA à usage général inclut les modèles de fondation capables d'effectuer une large gamme de tâches. Si les poids et la conception d'un modèle sont rendus open source, les développeurs doivent publier un résumé des données d'entraînement et une politique de droits d'auteur. Les modèles à code source fermé doivent répondre à des exigences de transparence plus larges. Les modèles à fort impact qui posent des risques systémiques, nécessitant plus de 10^25 opérations en virgule flottante pour être entraînés, doivent subir une évaluation supplémentaire.
La loi fixe une liste commune d'obligations pour les fournisseurs de modèles d'IA à usage général. Ils doivent publier un résumé des données d'entraînement, adopter une politique pour se conformer à la législation sur les droits d'auteur et fournir une documentation technique aux fournisseurs en aval et aux autorités de surveillance. Les modèles désignés comme posant un risque systémique doivent également effectuer des évaluations de modèles et des tests contradictoires, évaluer et atténuer les risques tels que les biais et les défaillances de sécurité, signaler les incidents graves et garantir un niveau adéquat de cybersécurité.
Un code de conduite sur l'IA à usage général, publié le 10 juillet 2025, décrit trois chapitres principaux sur la transparence, les droits d'auteur et la sécurité pour aider les fournisseurs à démontrer leur conformité avec la loi sur l'IA. La participation au code est volontaire. Le code devrait être un point de référence clé lors de la révision post-2030, car il fournit des conseils pratiques pour mettre en œuvre les obligations de l'IA à usage général de la loi.
Exemptions et portée
Les articles 2.3 et 2.6 exemptent les systèmes d'IA utilisés à des fins militaires ou de sécurité nationale ou pour la recherche et le développement scientifiques purs de la loi sur l'IA. Le règlement ne s'applique pas lorsque les systèmes d'IA sont utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale, ni aux systèmes développés et mis en service uniquement à des fins de recherche. L'usage non professionnel est également exempté.
En tant que forme de réglementation des produits, la loi ne crée pas de droits individuels. Au lieu de cela, elle impose des devoirs aux fournisseurs d'IA et aux organisations qui utilisent l'IA dans un contexte professionnel. Ce modèle de sécurité des produits attribue des obligations réglementaires aux fournisseurs et aux déployeurs, les devoirs devenant plus exigeants à mesure que l'impact potentiel sur la santé, la sécurité ou les droits fondamentaux augmente.
Calendrier de mise en œuvre
Les dispositions de la loi entrent en vigueur progressivement sur 6 à 36 mois à partir de son entrée en vigueur le 1er août 2024. Les premières interdictions sur les applications à risque inacceptable ont pris effet plus tôt, tandis que les obligations à haut risque sont mises en œuvre sur une période plus longue. La révision post-2030 est programmée pour évaluer la mise en œuvre complète et envisager des ajustements basés sur l'expérience pratique.
Le Service de recherche du Parlement européen a fourni une évaluation initiale de l'analyse d'impact de la Commission, notant qu'elle s'appuyait sur des consultations des parties prenantes et une large gamme de recherches existantes lors de la comparaison des options politiques pour le cadre basé sur les risques. Cette évaluation est susceptible d'informer le processus de révision post-2030.
Domaines de révision anticipés
La révision post-2030 devrait aborder plusieurs domaines clés. Cela inclut l'efficacité du système de classification des risques, le fonctionnement du Conseil européen de l'intelligence artificielle et l'impact de l'application extraterritoriale sur les fournisseurs d'IA mondiaux. La révision pourrait également envisager si la liste des applications à haut risque devrait être élargie, car la loi le permet sans modifier la loi elle-même.
Les développements technologiques dans des domaines tels que apprentissage automatique, apprentissage profond et modèles de langage de grande taille sont susceptibles d'être au centre de la révision. La montée des systèmes IA générative, y compris ceux de OpenAI, Anthropic et Google DeepMind, a déjà façonné l'évolution de la loi. La révision évaluera si la catégorie d'IA à usage général répond adéquatement aux nouvelles capacités et aux nouveaux risques.
La révision pourrait également examiner la relation entre la loi sur l'IA et d'autres réglementations de l'UE, y compris la législation sur la protection des données et les services numériques. Elle envisagera si le modèle de sécurité des produits de la loi reste approprié pour les systèmes d'IA qui évoluent continuellement après le déploiement, en particulier ceux utilisant des architectures réseaux neuronaux et des modèles transformers.
Contexte mondial
La loi sur l'IA fait partie d'un effort mondial plus large pour réglementer l'IA. La révision post-2030 envisagera comment le cadre de l'UE se compare aux approches réglementaires dans d'autres juridictions, y compris les États-Unis, la Chine et d'autres grandes économies. La portée extraterritoriale de la loi signifie que les fournisseurs hors de l'UE, y compris ceux utilisant l'infrastructure Amazon Web Services, Azure ou Google Cloud, doivent se conformer à ses exigences.
La révision évaluera également l'impact de la loi sur l'innovation et la compétitivité. Certaines parties prenantes ont exprimé des préoccupations selon lesquelles les charges de conformité pourraient désavantager les développeurs européens d'IA par rapport à ceux des régions avec une réglementation plus légère. D'autres soutiennent que le cadre clair de la loi fournit une certitude qui encourage l'investissement dans des systèmes d'IA dignes de confiance.
Conclusion
L'EU AI Act 2031 représente un tournant critique dans la réglementation de l'intelligence artificielle. Le processus de révision déterminera si l'approche basée sur les risques de la loi a atteint ses objectifs de protection de la santé, de la sécurité et des droits fondamentaux tout en favorisant l'innovation. Le résultat façonnera l'environnement réglementaire pour l'IA en Europe et influencera les normes mondiales pour les années à venir.