La loi européenne sur l'IA (règlement (UE) 2024/1689) est un cadre juridique complet pour l'intelligence artificielle, adopté par l'Union européenne en 2024. Elle établit un système de classification basé sur les risques pour les systèmes d'IA, imposant différentes obligations selon le niveau de risque qu'ils présentent pour la santé, la sécurité et les droits fondamentaux. Plutôt que d'entrer en vigueur comme un bloc unique, les dispositions de la loi s'appliquent selon un calendrier échelonné, différentes exigences devenant obligatoires à différentes dates entre février 2025 et août 2027. Cette approche progressive est conçue pour donner aux fournisseurs, aux déployeurs et aux autorités nationales le temps de s'adapter aux nouvelles règles, tout en priorisant les interdictions et les structures de gouvernance les plus urgentes.
La loi s'applique à la fois aux fournisseurs (ceux qui développent des systèmes d'IA) et aux déployeurs (ceux qui les utilisent dans un cadre professionnel), qu'ils soient ou non basés dans l'UE, tant que le système d'IA est mis sur le marché de l'UE ou que ses résultats sont utilisés au sein de l'UE. Elle couvre un large éventail de technologies d'IA, y compris les modèles de apprentissage automatique, les grands modèles de langage et les systèmes d'IA générative, mais exclut certains domaines tels que la sécurité nationale et les fins militaires.
Entrée en vigueur et dispositions initiales
La loi sur l'IA a été publiée au Journal officiel de l'Union européenne le 12 juillet 2024 et est entrée en vigueur vingt jours plus tard, le 1er août 2024. Le premier ensemble d'obligations contraignantes n'a toutefois commencé que le 2 février 2025. Cette phase initiale s'est concentrée sur les dispositions considérées comme les plus urgentes : les interdictions des pratiques d'IA à risque inacceptable et les règles relatives à la culture de l'IA.
À partir du 2 février 2025, les éléments suivants sont devenus applicables :
- Pratiques interdites en vertu de l'article 5, qui interdisent les systèmes d'IA qui déploient des techniques subliminales pour déformer le comportement, exploitent les vulnérabilités de groupes spécifiques (tels que les enfants ou les personnes handicapées), évaluent ou classent les personnes sur la base de leur comportement social (notation sociale), utilisent l'identification biométrique à distance en temps réel dans les espaces accessibles au public à des fins répressives (avec des exceptions étroites) et prédisent les infractions pénales ou administratives sur la seule base du profilage.
- Obligations de culture de l'IA en vertu de l'article 4, exigeant que les fournisseurs et les déployeurs veillent à ce que leur personnel et les autres personnes impliquées dans l'exploitation des systèmes d'IA aient un niveau suffisant de culture de l'IA, en tenant compte de leurs connaissances techniques, de leur expérience, de leur éducation et de leur formation.
- La création du Bureau européen de l'IA au sein de la Commission européenne, qui sert d'organe central de contrôle et de coordination.
Modèles d'IA à usage général (août 2025)
Le deuxième jalon majeur est survenu le 2 août 2025, lorsque les obligations pour les fournisseurs de modèles d'IA à usage général (GPAI) ont pris effet. Un modèle GPAI est défini comme un modèle d'IA, y compris ceux entraînés avec un auto-apprentissage à grande échelle, capable d'effectuer avec compétence un large éventail de tâches distinctes. Cette catégorie comprend la plupart des modèles de fondation et des grands modèles de langage tels que ceux développés par OpenAI, Anthropic et Google DeepMind.
En vertu de ces règles, les fournisseurs de modèles GPAI doivent :
- Maintenir une documentation technique à jour, y compris les descriptions des données d'entraînement, l'architecture du modèle et les résultats d'évaluation.
- Fournir des informations et une documentation aux fournisseurs en aval qui intègrent le modèle dans leurs propres systèmes d'IA.
- Établir une politique de droits d'auteur qui respecte la législation européenne sur les droits d'auteur, en particulier en ce qui concerne l'extraction de textes et de données.
- Publier un résumé suffisamment détaillé du contenu d'entraînement.
Pour les modèles GPAI qui présentent un risque systémique - défini comme des modèles entraînés avec une puissance de calcul cumulée dépassant 10^25 opérations en virgule flottante (FLOPs) - des obligations supplémentaires s'appliquent. Celles-ci comprennent la réalisation d'évaluations de modèles, de tests contradictoires et le signalement des incidents graves au Bureau européen de l'IA. La Commission peut désigner un modèle comme présentant un risque systémique même s'il est en dessous du seuil de calcul, sur la base de ses capacités ou de son impact.
Systèmes à haut risque et gouvernance (août 2026)
L'ensemble d'obligations le plus étendu est devenu applicable le 2 août 2026. Cette date couvre les exigences relatives aux systèmes d'IA à haut risque en vertu de l'article 6 et des annexes I et III de la loi. Les systèmes à haut risque comprennent l'IA utilisée dans les infrastructures critiques, l'éducation et la formation professionnelle, l'emploi et la gestion des travailleurs, les services essentiels privés et publics, les forces de l'ordre, la gestion des migrations et de l'asile, et l'administration de la justice.
À partir de cette date, les fournisseurs de systèmes d'IA à haut risque doivent se conformer à un ensemble complet d'exigences :
- Établir un système de gestion des risques qui fonctionne tout au long du cycle de vie du système.
- Utiliser des données d'entraînement, de validation et de test qui sont pertinentes, représentatives et exemptes d'erreurs et de biais.
- Créer une documentation technique démontrant la conformité.
- Permettre la journalisation automatique des événements pour assurer la traçabilité.
- Fournir une transparence aux déployeurs, y compris les instructions d'utilisation.
- Mettre en œuvre des mesures de supervision humaine.
- Assurer la robustesse, la précision et la cybersécurité.
De plus, à partir du 2 août 2026, le cadre de gouvernance devient pleinement opérationnel. Cela comprend l'exigence pour les États membres de désigner des autorités nationales compétentes et d'établir des organismes notifiés responsables des évaluations de conformité. Le Conseil européen de l'intelligence artificielle, composé de représentants des États membres, devient également pleinement actif.
Obligations de transparence pour les systèmes à risque limité (août 2026)
Également le 2 août 2026, les obligations de transparence pour les systèmes d'IA à risque limité prennent effet. Celles-ci s'appliquent aux systèmes d'IA qui interagissent avec les humains, tels que les chatbots, et aux systèmes qui génèrent ou manipulent du contenu (deepfakes). Les fournisseurs doivent s'assurer que les utilisateurs sont informés qu'ils interagissent avec un système d'IA, sauf si cela est évident dans les circonstances. Le contenu généré ou manipulé par l'IA doit être marqué dans un format lisible par machine pour indiquer son origine artificielle. Cela inclut les deepfakes et les textes, audio ou vidéos générés par l'IA.
Systèmes à haut risque de l'annexe I (août 2027)
La dernière date d'application majeure est le 2 août 2027. Cela couvre les systèmes d'IA à haut risque qui sont des composants de sécurité de produits ou de systèmes déjà soumis à la législation existante de l'UE sur la sécurité des produits, tels que les machines, les jouets, les dispositifs médicaux et les véhicules. Ces systèmes doivent se conformer aux mêmes exigences à haut risque que ceux de l'annexe III, mais l'application a été retardée pour permettre aux fabricants de s'aligner sur la législation sectorielle pertinente. La loi exige également que la Commission mette à jour la documentation technique et les procédures d'évaluation de la conformité pour ces produits.
Surveillance après la mise sur le marché et contrôle
À partir du 2 août 2026, les fournisseurs de systèmes d'IA à haut risque doivent également établir un système de surveillance après la mise sur le marché pour collecter et analyser activement les données sur les performances de leurs systèmes tout au long de leur durée de vie. Ce système doit être documenté et signalé aux autorités compétentes. La loi introduit également une procédure pour traiter les incidents graves et les dysfonctionnements qui peuvent entraîner des risques pour la santé, la sécurité ou les droits fondamentaux.
Le contrôle est effectué par les autorités nationales de surveillance du marché, coordonnées par le Bureau européen de l'IA. Les sanctions en cas de non-conformité sont substantielles : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel total mondial d'une entreprise pour les violations des pratiques interdites, jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires pour les violations de la plupart des autres obligations, et jusqu'à 7,5 millions d'euros ou 1,5 % du chiffre d'affaires pour la fourniture d'informations incorrectes aux autorités. Pour les petites et moyennes entreprises (PME) et les startups, ces amendes sont plafonnées au montant le plus bas des deux.
Codes de conduite et normes
Pour soutenir la mise en œuvre, le Bureau européen de l'IA a facilité le développement d'un code de conduite pour les fournisseurs d'IA à usage général, qui a été finalisé en 2025. Ce code traduit les obligations légales en engagements pratiques, couvrant des domaines tels que la transparence, les droits d'auteur et la gestion des risques systémiques. Les fournisseurs qui adhèrent au code sont présumés conformes aux exigences de la loi.
La loi s'appuie également fortement sur des normes techniques harmonisées développées par les organismes européens de normalisation (CEN, CENELEC et ETSI). Ces normes, qui sont en cours de rédaction tout au long de 2025 et 2026, fourniront des spécifications techniques pour l'évaluation de la conformité, la gestion des risques et la qualité des données. Jusqu'à la publication de ces normes, les fournisseurs peuvent utiliser des méthodes alternatives, mais ils doivent démontrer leur conformité par d'autres moyens.
Implications pour l'industrie de l'IA
Les dates d'application échelonnées ont des implications significatives pour les entreprises développant et déployant des systèmes d'IA. Les fournisseurs de modèles GPAI, y compris les grands laboratoires comme OpenAI, Anthropic et Google DeepMind, ont dû se préparer à l'échéance d'août 2025, ce qui a exigé des efforts substantiels en matière de documentation et de transparence. De nombreuses entreprises ont établi des équipes internes de conformité et développé des outils pour suivre les données d'entraînement et le comportement des modèles.
Pour les applications d'IA à haut risque, les échéances d'août 2026 et d'août 2027 donnent aux développeurs plus de temps, mais exigent également une planification précoce. Les entreprises dans des secteurs tels que la santé (par exemple, Intuitive Surgical), la conduite autonome (par exemple, Waymo, Tesla Autopilot) et les services financiers doivent effectuer des évaluations de conformité, impliquant souvent des organismes notifiés tiers. La loi affecte également les fournisseurs de services cloud comme Amazon Web Services, Azure et Google Cloud, qui offrent des plateformes d'IA et peuvent être considérés comme des déployeurs ou des fournisseurs selon leur rôle.
La loi a également influencé la gouvernance mondiale de l'IA, car d'autres juridictions ont considéré l'UE comme un modèle réglementaire. Cependant, la complexité du calendrier échelonné a été un point de critique, certains groupes industriels arguant que l'approche progressive crée de l'incertitude et des charges de conformité. La Commission européenne a répondu en publiant des documents d'orientation et en établissant un processus de consultation des parties prenantes pour clarifier les dispositions ambiguës.
Développements futurs
En 2025, la Commission européenne travaille sur des actes d'exécution supplémentaires et des lignes directrices, en particulier concernant la définition du risque systémique, l'interaction avec la législation sectorielle existante et l'application pratique des exigences de transparence. La Commission prévoit également de réviser la liste des pratiques interdites et des domaines à haut risque de la loi d'ici 2027, avec la possibilité d'étendre la portée à de nouvelles applications d'IA. L'impact complet de la loi sur l'IA ne deviendra clair qu'au fur et à mesure que les différentes dates d'application passeront et que le contrôle sera exercé.