La loi sur l'intelligence artificielle (AI Act) est un règlement de l'Union européenne qui établit un cadre réglementaire et juridique commun pour l'intelligence artificielle (IA) au sein de l'UE. Elle est entrée en vigueur le 1er août 2024, avec des dispositions qui s'appliquent progressivement sur les 6 à 36 mois suivants. En tant que réglementation de produits, elle ne crée pas de droits individuels mais impose des obligations aux fournisseurs d'IA et aux utilisateurs professionnels.
La loi couvre la plupart des systèmes d'IA dans un large éventail de secteurs, avec des exemptions pour les usages militaires, de sécurité nationale, de recherche et non professionnels. Elle classe les applications non exemptées par niveau de risque de préjudice en quatre catégories - inacceptable, élevé, limité, minimal - plus une catégorie distincte pour l'IA à usage général. Le cadre suit un modèle de sécurité des produits, attribuant des obligations réglementaires aux fournisseurs et aux déployeurs qui augmentent en fonction de l'impact potentiel sur la santé, la sécurité ou les droits fondamentaux.
Origines et historique législatif
La Commission européenne a proposé la loi sur l'IA le 21 avril 2021. Le projet a été révisé pour répondre à l'essor rapide des systèmes d'IA générative tels que ChatGPT, dont les capacités à usage général ne correspondaient pas au cadre initial basé sur les risques. Le Parlement européen a adopté la loi le 13 mars 2024, et le Conseil de l'UE l'a approuvée à l'unanimité le 21 mai 2024. Le règlement est entré en vigueur le 1er août 2024.
Au cours du processus législatif, les décideurs politiques ont consulté les parties prenantes et se sont appuyés sur des recherches existantes, comme le note une évaluation du Service de recherche du Parlement européen. L'introduction d'une catégorie dédiée à l'IA à usage général en 2023 reflétait l'influence croissante des systèmes de grands modèles de langage et leur déploiement généralisé.
Catégories de risque
La loi définit quatre catégories de risque principales plus une catégorie distincte pour l'IA à usage général :
Risque inacceptable - Les applications de cette catégorie sont interdites, avec des exemptions spécifiques. Les interdictions couvrent l'IA qui manipule le comportement humain, l'identification biométrique à distance en temps réel (telle que la reconnaissance faciale) dans les espaces publics, et la notation sociale qui classe les individus en fonction de caractéristiques personnelles, de statut socio-économique ou de comportement.
Risque élevé - Les applications présentant des menaces significatives pour la santé, la sécurité ou les droits fondamentaux, y compris l'IA dans la santé, l'éducation, le recrutement, les infrastructures critiques, l'application de la loi ou la justice. Ces systèmes doivent respecter des obligations de qualité, de transparence, de surveillance humaine et de sécurité. Certains nécessitent une évaluation d'impact sur les droits fondamentaux avant le déploiement. Les systèmes à haut risque font l'objet d'évaluations de conformité avant leur mise sur le marché et tout au long de leur cycle de vie. La liste des applications à haut risque peut être élargie sans modifier la loi elle-même. Les citoyens ont le droit de soumettre des plaintes et de recevoir des explications sur les décisions prises par l'IA à haut risque affectant leurs droits.
Risque limité - Les systèmes avec des obligations de transparence uniquement, garantissant que les utilisateurs savent qu'ils interagissent avec l'IA. Cela couvre les outils qui génèrent ou manipulent des images, du son ou de la vidéo, tels que les deepfakes.
Risque minimal - Les systèmes comme les jeux vidéo ou les filtres anti-spam. Ceux-ci ne sont pas réglementés, et les États membres ne peuvent pas imposer d'exigences supplémentaires en raison des règles d'harmonisation maximale. Un code de conduite volontaire est suggéré.
Obligations de l'IA à usage général
La catégorie d'IA à usage général, ajoutée en 2023, couvre les modèles de fondation qui effectuent une large gamme de tâches. Les développeurs de modèles open-source doivent publier un résumé des données d'entraînement et une politique de droits d'auteur ; les modèles closed-source font face à des exigences de transparence plus larges. Les modèles à fort impact nécessitant plus de 10^25 opérations en virgule flottante pour l'entraînement doivent subir une évaluation supplémentaire et des tests contradictoires, évaluer les risques tels que les biais et les défaillances de sécurité, signaler les incidents graves et garantir la cybersécurité.
Un code de pratique pour l'IA à usage général, publié le 10 juillet 2025, décrit trois chapitres principaux sur la transparence, les droits d'auteur et la sûreté et la sécurité. La participation est volontaire. Tous les fournisseurs de modèles d'IA à usage général doivent publier des résumés des données d'entraînement, adopter des politiques de conformité aux droits d'auteur et fournir une documentation technique aux fournisseurs en aval et aux autorités de surveillance.
Exemptions et extraterritorialité
Les articles 2.3 et 2.6 exemptent les systèmes d'IA utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale, ainsi que la recherche et le développement purement scientifiques. Comme le règlement général sur la protection des données de l'UE, la loi peut s'appliquer de manière extraterritoriale aux fournisseurs hors de l'UE s'ils ont des utilisateurs au sein de l'UE.
Application et gouvernance
La loi crée un Conseil européen de l'intelligence artificielle pour promouvoir la coopération nationale et garantir la conformité. Les États membres désignent des autorités de surveillance pour superviser la mise en œuvre. Le cadre basé sur les risques garantit que la surveillance se concentre sur les systèmes susceptibles de créer des risques significatifs tout en permettant des approches plus légères pour les usages moins sensibles.
Contexte plus large
Les juristes soutiennent que la loi encadre l'"IA digne de confiance" comme des systèmes qui démontrent leur conformité avec les seuils de sécurité et de risque. La portée extraterritoriale et les catégories de risque complètes en font une référence pour la réglementation de l'IA à l'échelle mondiale, influençant les débats dans d'autres juridictions sur l'équilibre entre l'innovation et la protection des droits fondamentaux.