Les amendements de l'IA Act de l'UE désignent la série de modifications apportées à la proposition de règlement sur l'intelligence artificielle (IA Act) de l'Union européenne entre sa proposition initiale et son adoption finale. Proposé par la Commission européenne le 21 avril 2021, le projet de règlement visait à établir un cadre réglementaire et juridique commun pour l'IA à travers l'UE. Cependant, l'essor rapide des systèmes de IA générative, tels que ChatGPT, dont les capacités polyvalentes ne correspondaient pas au cadre initial basé sur les risques, a entraîné des révisions importantes au cours du processus législatif. Ces amendements, ajoutés en 2023, ont introduit une catégorie dédiée pour l'IA à usage général et ajusté les obligations de transparence et d'évaluation en conséquence. Le texte final a été adopté par le Parlement européen le 13 mars 2024 et approuvé à l'unanimité par le Conseil de l'UE le 21 mai 2024, entrant en vigueur le 1er août 2024, avec des dispositions déployées progressivement sur les 6 à 36 mois suivants.
Les amendements reflètent un changement plus large dans le débat réglementaire, les législateurs reconnaissant que les modèles traditionnels de sécurité des produits étaient insuffisants pour des systèmes d'IA pouvant être adaptés à des usages multiples. La proposition originale, rédigée en 2021, se concentrait sur des catégories de risques fixes pour des applications spécifiques, mais l'émergence de modèles de fondation et de grands modèles de langage, comme ceux développés par OpenAI et Anthropic, a nécessité une approche plus flexible. Le règlement révisé a introduit une couche horizontale d'obligations pour les modèles d'IA à usage général, complétant les devoirs verticaux basés sur les risques pour des applications spécifiques. Cette structure duale visait à répondre à la fois aux préjudices potentiels des utilisations individuelles de l'IA et aux risques systémiques posés par des modèles très performants et polyvalents.
Catégories de risques
L'IA Act classe les applications d'IA non exemptées en quatre niveaux de risque - inacceptable, élevé, limité et minimal - avec une catégorie supplémentaire pour l'IA à usage général. Ce schéma basé sur les risques suit un modèle de sécurité des produits où les obligations réglementaires pour les fournisseurs et les déployeurs augmentent avec l'impact potentiel sur la santé, la sécurité ou les droits fondamentaux.
Risque inacceptable : Les applications de cette catégorie sont interdites, sauf exemptions spécifiques. Cela inclut l'IA qui manipule le comportement humain, l'identification biométrique à distance en temps réel (telle que la reconnaissance faciale) dans les espaces publics, et les systèmes de notation sociale qui classent les individus en fonction de caractéristiques personnelles ou de comportements. Ces interdictions reflètent des préoccupations concernant les droits fondamentaux et les valeurs démocratiques.
Risque élevé : Les systèmes d'IA qui présentent des menaces significatives pour la santé, la sécurité ou les droits fondamentaux relèvent de cette catégorie, y compris ceux utilisés dans la santé, l'éducation, le recrutement, les infrastructures critiques, l'application de la loi ou la justice. Ils doivent se conformer à des obligations de sécurité, de transparence et de qualité, subir des évaluations de conformité, et dans certains cas nécessiter une évaluation d'impact sur les droits fondamentaux (FRIA) avant le déploiement. La liste des applications à haut risque peut être élargie au fil du temps sans modifier l'Acte lui-même, permettant une adaptabilité.
Risque limité : Ces systèmes ont des obligations de transparence, garantissant que les utilisateurs savent qu'ils interagissent avec l'IA. Cette catégorie couvre les applications qui génèrent ou manipulent des images, du son ou de la vidéo, comme les deepfakes. Les utilisateurs doivent être informés pour faire des choix conscients.
Risque minimal : La plupart des applications d'IA, telles que les jeux vidéo ou les filtres anti-spam, relèvent de cette catégorie. Elles ne sont pas réglementées, et les États membres ne peuvent pas imposer de réglementations supplémentaires en raison des règles d'harmonisation maximale. Un code de conduite volontaire est suggéré pour ces systèmes.
Catégorie d'IA à usage général
L'amendement le plus significatif à la proposition originale a été l'ajout d'une catégorie dédiée pour l'IA à usage général en 2023. Cette catégorie inclut des modèles de fondation comme ChatGPT qui peuvent effectuer une large gamme de tâches. Les amendements ont imposé des exigences de transparence à tous les fournisseurs d'IA à usage général, avec des obligations réduites pour les modèles open-source. Pour les modèles closed-source, des règles de transparence plus étendues s'appliquent, y compris la publication d'un résumé des données d'entraînement et d'une politique en matière de droits d'auteur. Les modèles à fort impact qui présentent des risques systémiques - définis comme nécessitant plus de 10^25 opérations en virgule flottante pour être entraînés - doivent subir une évaluation supplémentaire. Le Code de bonnes pratiques pour l'IA à usage général, publié le 10 juillet 2025, décrit trois chapitres principaux sur la transparence, les droits d'auteur et la sûreté et la sécurité pour aider les fournisseurs à démontrer leur conformité, bien que la participation soit volontaire.
Les amendements ont également établi une liste commune d'obligations pour les fournisseurs d'IA à usage général. Ils doivent publier un résumé des données d'entraînement, adopter une politique pour se conformer au droit d'auteur, et fournir une documentation technique aux fournisseurs en aval et aux autorités de surveillance. Pour les modèles désignés comme posant un risque systémique, des devoirs supplémentaires incluent des évaluations de modèles, des tests contradictoires, l'évaluation et l'atténuation des risques (tels que les biais et les défaillances de sécurité), le signalement des incidents graves, et l'assurance d'une cybersécurité adéquate. Ces dispositions ont été influencées par les capacités croissantes des modèles développés par des entreprises comme Google DeepMind et de la recherche de l'ère Xerox PARC, bien que l'Acte se concentre sur le déploiement plutôt que sur la recherche.
Exemptions
Les articles 2.3 et 2.6 exemptent les systèmes d'IA utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale, ainsi que la recherche et le développement scientifiques purs, de l'IA Act. L'utilisation non professionnelle est également exclue. Cela signifie que les systèmes d'IA axés sur la recherche, tels que ceux développés dans des laboratoires académiques comme le MIT CSAIL ou la recherche en IA de Berkeley, ne sont pas réglementés par l'Acte lorsqu'ils sont utilisés uniquement pour la recherche. Cependant, si ces systèmes sont ensuite déployés commercialement, ils entrent dans le champ d'application. L'exemption pour les applications militaires reflète les prérogatives de sécurité nationale, bien que l'utilisation de l'IA dans l'application de la loi civile reste soumise à des obligations à haut risque.
L'Acte permet également une application extraterritoriale, similaire au Règlement général sur la protection des données de l'UE. Les fournisseurs hors de l'UE sont soumis à la réglementation s'ils ont des utilisateurs au sein de l'UE, garantissant des conditions de concurrence équitables et protégeant les citoyens de l'UE.
Cadre institutionnel
Les amendements ont introduit le conseil européen de l'IA, un Conseil européen de l'intelligence artificielle, pour promouvoir la coopération nationale et garantir une conformité cohérente entre les États membres. Le Conseil facilite la coordination entre les autorités nationales de surveillance et fournit des orientations sur l'application de l'Acte. Ce mécanisme institutionnel a été ajouté au cours du processus législatif pour répondre au besoin d'une application harmonisée dans un marché unique numérique.
Processus législatif
Le processus d'amendement a été itératif. Après la proposition de la Commission en 2021, le Parlement européen et le Conseil ont négocié des modifications. L'essor de l'IA générative, en particulier le lancement de ChatGPT fin 2022, a accéléré le besoin de révision. Les négociations ont abouti à un accord politique fin 2023, le Parlement adoptant le texte final le 13 mars 2024 et le Conseil le 21 mai 2024. Les amendements ont été cruciaux pour rendre l'Acte pérenne, car ils permettent la classification des modèles à usage général sans rouvrir la législation primaire.
Calendrier de mise en œuvre
L'Acte est entré en vigueur le 1er août 2024, avec des dispositions mises en œuvre progressivement sur 6 à 36 mois. Cette mise en œuvre graduelle donne aux fournisseurs et aux autorités le temps de s'adapter. Les obligations basées sur les risques s'appliqueront à des dates différentes, les interdictions sur les risques inacceptables prenant effet en premier, suivies des obligations à haut risque et des exigences en matière d'IA à usage général. Ce calendrier était un amendement clé pour équilibrer l'innovation et la protection.
Impact
Les amendements de l'IA Act de l'UE représentent une étape marquante dans la réglementation de l'IA. En intégrant l'IA générative, l'Acte établit un précédent pour d'autres juridictions. Son approche basée sur les risques, combinée à la supervision de l'IA à usage général, vise à favoriser la confiance tout en permettant l'innovation. En 2025, l'Acte est en cours de mise en œuvre à travers l'UE, avec le conseil européen de l'IA coordonnant les efforts. Les amendements reflètent un environnement réglementaire dynamique qui cherche à suivre le rythme des avancées technologiques rapides dans le apprentissage profond, les grands modèles de langage et les architectures transformers.