La loi sur l'intelligence artificielle (AI Act) est un règlement de l'Union européenne qui établit un cadre réglementaire et juridique commun pour l'intelligence artificielle dans toute l'UE. Elle est entrée en vigueur le 1er août 2024, avec des dispositions qui s'appliquent progressivement au cours des 6 à 36 mois suivants. La loi couvre la plupart des systèmes d'IA dans un large éventail de secteurs, avec des exemptions pour l'IA utilisée uniquement à des fins militaires, de sécurité nationale, de recherche ou à des fins non professionnelles. En tant que forme de réglementation des produits, elle ne crée pas de droits individuels ; elle impose plutôt des obligations aux fournisseurs d'IA et aux organisations qui utilisent l'IA dans un contexte professionnel.
La loi classe les applications d'IA non exemptées selon leur risque de causer un préjudice, avec quatre niveaux - inacceptable, élevé, limité et minimal - plus une catégorie supplémentaire pour l'IA à usage général. Les applications présentant des risques inacceptables sont interdites. Les applications à haut risque doivent se conformer aux obligations de sécurité, de transparence et de qualité, et faire l'objet d'évaluations de conformité. Les applications à risque limité n'ont que des obligations de transparence. Les applications à risque minimal ne sont pas réglementées. Pour l'IA à usage général, des exigences de transparence sont imposées, avec des exigences réduites pour les modèles open source, et des évaluations supplémentaires pour les modèles à haute capacité. La loi crée également un Bureau européen de l'intelligence artificielle pour promouvoir la coopération nationale et garantir le respect de la réglementation. Comme le Règlement général sur la protection des données de l'UE, la loi peut s'appliquer de manière extraterritoriale aux fournisseurs extérieurs à l'UE s'ils ont des utilisateurs au sein de l'UE.
Proposition et parcours législatif
La Commission européenne a proposé la loi sur l'IA le 21 avril 2021. Le projet a été conçu pour harmoniser les règles relatives aux systèmes d'IA sur le marché unique, en suivant une approche fondée sur les risques similaire à la législation existante sur la sécurité des produits. La proposition initiale se concentrait sur les systèmes traditionnels d'apprentissage automatique et d'apprentissage profond, en les catégorisant selon leur potentiel de nuisance.
Au cours du processus législatif, l'essor des systèmes d'IA générative tels que ChatGPT a entraîné des révisions importantes. Le cadre initial ne traitait pas de manière adéquate les modèles à usage général capables d'effectuer un large éventail de tâches dans différents secteurs. En 2023, le projet a été révisé pour inclure une catégorie dédiée à l'IA à usage général, couvrant les modèles de fondation et les grands modèles de langage. Cette révision reconnaissait que des systèmes comme ChatGPT et d'autres grands modèles de langage nécessitaient un traitement réglementaire différent de celui des applications plus ciblées.
Approbation parlementaire et adoption par le Conseil
Le Parlement européen a adopté la loi sur l'IA le 13 mars 2024, après d'intenses négociations et amendements. La version du Parlement a renforcé les dispositions relatives aux droits fondamentaux, ajouté des exigences d'évaluation de l'impact sur les droits fondamentaux pour les systèmes à haut risque et élargi les obligations de transparence pour l'IA générative. Le Conseil de l'UE a approuvé à l'unanimité le texte final le 21 mai 2024, achevant ainsi le processus législatif.
Le règlement final a été publié au Journal officiel de l'Union européenne en juillet 2024, avec une entrée en vigueur le 1er août 2024. Le calendrier de mise en œuvre progressive signifie que différentes obligations s'appliquent à des dates différentes, les interdictions des applications à risque inacceptable prenant effet plus tôt que les exigences relatives aux systèmes à haut risque.
Catégories de risque en détail
La loi établit quatre catégories de risque principales plus une catégorie distincte pour l'IA à usage général. Les applications à risque inacceptable sont interdites d'emblée, avec des exemptions spécifiques. Cela inclut l'IA qui manipule le comportement humain, l'identification biométrique à distance en temps réel dans les espaces publics et les systèmes de notation sociale qui classent les individus en fonction de caractéristiques personnelles ou de comportements.
Les applications à haut risque sont celles qui devraient présenter des menaces importantes pour la santé, la sécurité ou les droits fondamentaux. Cela inclut les systèmes d'IA utilisés dans la santé, l'éducation, le recrutement, la gestion des infrastructures critiques, l'application de la loi et la justice. Ces systèmes doivent satisfaire à des obligations de qualité, de transparence, de surveillance humaine et de sécurité. Certains nécessitent une évaluation de l'impact sur les droits fondamentaux avant le déploiement, qui est un examen ex ante visant à identifier et à atténuer les impacts potentiels sur les droits fondamentaux. Les systèmes à haut risque doivent être évalués à la fois avant la mise sur le marché et tout au long de leur cycle de vie. La liste des applications à haut risque peut être élargie au fil du temps sans modifier la loi sur l'IA elle-même. Les citoyens ont le droit de soumettre des plaintes concernant les systèmes d'IA et de recevoir des explications sur les décisions prises par l'IA à haut risque qui affectent leurs droits.
Les systèmes à risque limité ont des obligations de transparence, garantissant que les utilisateurs savent qu'ils interagissent avec l'IA et peuvent faire des choix éclairés. Cette catégorie comprend les applications qui génèrent ou manipulent des images, des sons ou des vidéos, telles que les deepfakes. Les systèmes à risque minimal, y compris l'IA des jeux vidéo et les filtres anti-spam, ne sont pas réglementés, et les États membres ne peuvent pas imposer de réglementations supplémentaires en raison des règles d'harmonisation maximale.
Dispositions relatives à l'IA à usage général
Ajoutée en 2023, la catégorie de l'IA à usage général couvre les modèles de fondation capables d'effectuer un large éventail de tâches, y compris les systèmes d'IA générative. Si les poids et la conception d'un modèle sont rendus open source, les développeurs doivent publier un résumé des données d'entraînement et une politique en matière de droits d'auteur. Les modèles à source fermée doivent satisfaire à des exigences de transparence plus larges. Les modèles à fort impact présentant des risques systémiques, définis comme nécessitant plus de 1025 opérations en virgule flottante pour être entraînés, doivent faire l'objet d'une évaluation supplémentaire.
Un code de conduite sur l'IA à usage général, publié le 10 juillet 2025, décrit trois chapitres principaux sur la transparence, les droits d'auteur et la sécurité pour aider les fournisseurs à démontrer leur conformité. La participation au code est volontaire. Au-delà des obligations de transparence de base, la loi fixe une liste commune d'obligations pour les fournisseurs de modèles d'IA à usage général. Ils doivent publier un résumé des données d'entraînement, adopter une politique de conformité en matière de droits d'auteur et fournir une documentation technique aux fournisseurs en aval et aux autorités de surveillance. Les modèles désignés comme présentant un risque systémique doivent également effectuer des évaluations de modèles et des tests contradictoires, évaluer et atténuer les risques tels que les biais et les défaillances de sécurité, signaler les incidents graves et garantir une cybersécurité adéquate.
Exemptions et champ d'application
Les articles 2.3 et 2.6 exemptent les systèmes d'IA utilisés à des fins militaires ou de sécurité nationale ou pour la recherche et le développement scientifiques purs de la loi sur l'IA. Le règlement ne s'applique pas lorsque les systèmes d'IA sont utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale, ni aux systèmes développés et mis en service uniquement pour la recherche scientifique. Cette exemption reconnaît la nécessité d'équilibrer l'innovation et la réglementation tout en maintenant le contrôle des États membres sur les questions de sécurité.
Mise en œuvre et application
La loi crée un Bureau européen de l'intelligence artificielle pour promouvoir la coopération nationale et garantir le respect de la réglementation. Le Bureau européen de l'IA coordonne les autorités de surveillance dans les États membres, de manière similaire à la structure de gouvernance établie par le Règlement général sur la protection des données. Le calendrier de mise en œuvre progressive est détaillé dans le calendrier d'application, avec différentes obligations qui s'activent à 6, 12, 24 et 36 mois après l'entrée en vigueur.
La portée extraterritoriale signifie que les fournisseurs extérieurs à l'UE doivent se conformer s'ils ont des utilisateurs au sein de l'UE. Cela reflète l'approche du RGPD et a des implications significatives pour les développeurs d'IA mondiaux, y compris ceux des États-Unis, de la Chine et d'autres grands marchés de l'IA. Le cadre fondé sur les risques de la loi suit un modèle de sécurité des produits où les obligations réglementaires sont assignées aux fournisseurs et aux déployeurs, les obligations devenant plus exigeantes à mesure que l'impact potentiel sur la santé, la sécurité ou les droits fondamentaux augmente.
Contexte plus large et impact
La loi sur l'IA représente l'une des premières tentatives globales de réglementer l'intelligence artificielle au niveau régional. Son développement a suivi en parallèle les progrès rapides des technologies d'apprentissage automatique et d'apprentissage profond, y compris l'architecture de transformeur qui sous-tend les grands modèles de langage modernes. Le calendrier législatif reflète le défi de réglementer un domaine en évolution rapide, avec les révisions de 2023 répondant à la croissance explosive des outils d'IA générative.
L'approche de la loi a influencé les discussions dans d'autres juridictions, bien que son impact complet reste à voir à mesure que la mise en œuvre progresse. Le Service de recherche du Parlement européen a fourni une évaluation initiale de l'analyse d'impact de la Commission, qui s'appuyait sur des consultations des parties prenantes et des recherches existantes lors de la comparaison des options politiques. Les juristes ont noté que la loi définit « l'IA digne de confiance » comme des systèmes capables de démontrer leur conformité avec les seuils de sécurité et de risque, établissant une approche de gouvernance de l'IA axée sur la conformité.
Le déploiement progressif laisse aux organisations le temps de s'adapter, mais la complexité des exigences, en particulier pour l'IA à haut risque et à usage général, a généré une activité de conformité significative dans le secteur technologique. Au moment de l'entrée en vigueur de la loi, les conséquences opérationnelles complètes pour les développeurs, les déployeurs et les utilisateurs d'IA dans l'UE et au-delà continuent de se dérouler.