La loi sur l'intelligence artificielle (AI Act) est un règlement de l'Union européenne établissant un cadre réglementaire et juridique commun pour l'intelligence artificielle au sein de l'UE. Elle est entrée en vigueur le 1er août 2024, avec des dispositions devenant applicables progressivement au cours des 6 à 36 mois suivants. La loi couvre la plupart des systèmes d'IA dans tous les secteurs, en exemptant ceux utilisés uniquement à des fins militaires, de sécurité nationale, de recherche ou non professionnelles. En tant que réglementation sur les produits, elle ne crée pas de droits individuels mais impose des obligations aux fournisseurs d'IA et aux utilisateurs professionnels.
Le règlement classe les applications d'IA non exemptées selon leur niveau de risque de préjudice en quatre niveaux - inacceptable, élevé, limité, minimal - plus une catégorie distincte pour l'IA à usage général. Les applications à risque inacceptable sont interdites ; celles à risque élevé doivent satisfaire à des obligations de sécurité, de transparence et de qualité et subir des évaluations de conformité ; les applications à risque limité ne sont soumises qu'à des obligations de transparence ; celles à risque minimal ne sont pas réglementées. Pour l'IA à usage général, des exigences de transparence s'appliquent, avec des obligations réduites pour les modèles open source et des évaluations supplémentaires pour les systèmes à haute capacité. La loi établit également un Conseil européen de l'intelligence artificielle pour promouvoir la coopération nationale et la conformité. Comme le Règlement général sur la protection des données de l'UE, elle peut s'appliquer de manière extraterritoriale aux fournisseurs situés hors de l'UE dont les utilisateurs se trouvent dans l'UE.
La Commission européenne a proposé la loi le 21 avril 2021. Elle a été adoptée par le Parlement européen le 13 mars 2024 et approuvée à l'unanimité par le Conseil de l'UE le 21 mai 2024. Le projet a été révisé pour répondre à l'essor des systèmes d'IA générative comme ChatGPT, dont les capacités à usage général ne correspondaient pas au cadre principal.
Entrée en vigueur et application progressive
La loi sur l'IA est entrée en vigueur le 1er août 2024, vingt jours après sa publication au Journal officiel de l'UE. Ses dispositions s'appliquent par étapes, laissant aux parties prenantes le temps de s'adapter. La première date clé était le 2 février 2025, lorsque les interdictions sur les systèmes d'IA à risque inacceptable sont devenues applicables. Cela incluait des interdictions sur l'IA qui manipule le comportement humain, utilise l'identification biométrique à distance en temps réel dans les espaces publics (avec des exemptions étroites), ou permet la notation sociale.
D'ici le 2 août 2025, les obligations pour les modèles d'IA à usage général ont pris effet, y compris les exigences de transparence pour les fournisseurs. Le Code de pratique pour l'IA à usage général, publié le 10 juillet 2025, décrit des chapitres sur la transparence, le droit d'auteur et la sécurité pour aider les fournisseurs à démontrer leur conformité ; la participation est volontaire. La plupart des dispositions restantes, y compris celles pour les systèmes à risque élevé, deviennent applicables le 2 août 2026. Les systèmes d'IA à risque élevé intégrés dans des produits réglementés déjà soumis à la législation sectorielle de l'UE ont une date limite prolongée au 2 août 2027. Ces dates échelonnées reflètent l'objectif de la loi d'équilibrer innovation et surveillance, comme indiqué dans l'évaluation d'impact de la Commission.
Catégories de risque et obligations
Le schéma basé sur le risque de la loi suit un modèle de sécurité des produits, attribuant des obligations réglementaires aux fournisseurs et aux déployeurs qui s'intensifient avec l'impact potentiel sur la santé, la sécurité ou les droits fondamentaux. Cette structure concentre la surveillance sur les systèmes susceptibles de créer des risques significatifs tout en permettant des approches plus légères pour les utilisations moins sensibles.
Risque inacceptable - Les applications dans cette catégorie sont interdites, sauf exemptions spécifiques. Cela inclut l'IA qui manipule le comportement humain, l'identification biométrique à distance en temps réel dans les espaces publics et la notation sociale. Aucune exemption ne s'applique pour ces utilisations dans la plupart des cas.
Risque élevé - Les systèmes d'IA susceptibles de poser des menaces significatives à la santé, la sécurité ou les droits fondamentaux relèvent de cette catégorie. Des exemples incluent les systèmes utilisés dans la santé, l'éducation, le recrutement, la gestion des infrastructures critiques, l'application de la loi ou la justice. Ils doivent se conformer à des obligations de qualité, de transparence, de surveillance humaine et de sécurité. Certains nécessitent une évaluation d'impact sur les droits fondamentaux (FRIA) avant le déploiement - un examen ex ante pour identifier et atténuer les impacts sur les droits fondamentaux. La FRIA s'appuie sur des travaux antérieurs d'évaluation d'impact algorithmique, qui suggéraient que de tels outils devraient identifier les individus et communautés affectés, décrire les préjudices possibles et fournir une base pour un examen public. Les systèmes à risque élevé doivent être évalués avant leur mise sur le marché et tout au long de leur cycle de vie. La liste des applications à risque élevé peut être élargie sans modifier la loi elle-même. Les citoyens ont le droit de soumettre des plaintes concernant les systèmes d'IA et de recevoir des explications sur les décisions prises par une IA à risque élevé affectant leurs droits.
Risque limité - Ces systèmes ont des obligations de transparence, garantissant que les utilisateurs savent qu'ils interagissent avec une IA et peuvent faire des choix éclairés. Cette catégorie inclut l'IA qui génère ou manipule des images, du son ou des vidéos, comme les deepfakes.
Risque minimal - Des exemples incluent l'IA dans les jeux vidéo ou les filtres anti-spam. La plupart des applications d'IA devraient relever de cette catégorie. Ces systèmes ne sont pas réglementés, et les États membres ne peuvent pas imposer de réglementations supplémentaires en raison des règles d'harmonisation maximale. Les lois nationales existantes sur ces systèmes sont remplacées, bien qu'un code de conduite volontaire soit suggéré.
Catégorie d'IA à usage général
Ajoutée en 2023, la catégorie d'IA à usage général couvre les modèles de fondation comme les grands modèles de langage capables d'effectuer une large gamme de tâches. Si les poids et la conception d'un modèle sont open source, les développeurs doivent publier un résumé des données d'entraînement et une politique de droit d'auteur. Les modèles à code source fermé doivent satisfaire à des exigences de transparence plus larges. Les modèles à fort impact posant des risques systémiques - définis comme nécessitant plus de 10^25 opérations en virgule flottante pour l'entraînement - doivent subir une évaluation supplémentaire.
Les fournisseurs de modèles d'IA à usage général doivent publier un résumé des données d'entraînement, adopter une politique de conformité au droit d'auteur et fournir une documentation technique aux fournisseurs en aval et aux autorités de surveillance. Les modèles désignés comme posant un risque systémique doivent également effectuer des évaluations de modèles et des tests contradictoires, évaluer et atténuer les risques tels que les biais et les défaillances de sécurité, signaler les incidents graves et garantir une cybersécurité adéquate.
Exemptions
Les articles 2.3 et 2.6 exemptent de la loi les systèmes d'IA utilisés à des fins militaires ou de sécurité nationale ou pour la recherche et le développement scientifiques purs. Le règlement ne s'applique pas lorsque les systèmes d'IA sont utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale, ni aux systèmes développés et mis en service uniquement à ces fins. Les activités de recherche et développement sont également hors du champ d'application, tout comme les utilisations non professionnelles. Ces exemptions sont étroites ; les déploiements commerciaux d'IA dans des contextes civils restent couverts même s'ils sont développés avec des origines militaires ou de recherche.
Application et gouvernance
La loi crée un Conseil européen de l'intelligence artificielle pour promouvoir la coopération nationale et garantir la conformité. Chaque État membre désigne une autorité nationale de surveillance pour superviser la mise en œuvre. Le Conseil coordonne ces autorités et conseille la Commission sur les questions techniques et réglementaires. Les mécanismes d'application incluent des amendes pour non-conformité, échelonnées selon la gravité de la violation et la taille de l'entreprise. La portée extraterritoriale de la loi signifie que les fournisseurs hors de l'UE doivent se conformer si leurs systèmes d'IA sont utilisés par des personnes dans l'UE, reflétant l'approche du RGPD.
Historique législatif et contexte
La Commission européenne a proposé la loi sur l'IA le 21 avril 2021, après des consultations approfondies des parties prenantes et des comparaisons de recherche documentées dans une évaluation d'impact. Le Parlement européen l'a adoptée le 13 mars 2024, et le Conseil de l'UE l'a approuvée à l'unanimité le 21 mai 2024. Le texte final a incorporé des révisions de 2023 pour traiter les systèmes d'IA générative comme ChatGPT, dont les capacités à usage général ne correspondaient pas au cadre de risque original. Cela a conduit à la catégorie dédiée d'IA à usage général. L'application progressive de la loi donne aux fournisseurs et aux déployeurs le temps de mettre en œuvre des mesures de conformité, avec les premières interdictions effectives en février 2025 et l'application complète pour la plupart des systèmes à risque élevé d'ici août 2026.
Impact et interprétation
Les juristes ont noté que la loi cadre l'"IA digne de confiance" comme des systèmes démontrant la conformité avec les seuils de sécurité et de risque. L'approche basée sur le risque s'appuie sur la réglementation de la sécurité des produits, attribuant des obligations à ceux qui mettent l'IA sur le marché et à ceux qui l'utilisent professionnellement. L'évaluation initiale du Service de recherche du Parlement européen a salué l'évaluation d'impact de la Commission pour son engagement des parties prenantes et son analyse comparative des politiques. À mesure que les dates d'application passent, les effets pratiques de la loi dépendront de la manière dont les autorités nationales et le Conseil interpréteront ses dispositions, en particulier pour l'IA à risque élevé et à usage général. Le code de conduite volontaire pour les systèmes à risque minimal et les obligations obligatoires pour les catégories à risque plus élevé visent à créer un marché harmonisé de l'IA dans l'UE tout en protégeant les droits fondamentaux.