Le Code de pratique de la loi européenne sur l'IA est un cadre volontaire publié le 10 juillet 2025 par la Commission européenne. Il est conçu pour aider les fournisseurs de modèles d'IA à usage général, tels que les grands modèles de langage, à démontrer leur conformité avec les obligations énoncées dans la loi sur l'intelligence artificielle (AI Act), un règlement de l'Union européenne concernant l'intelligence artificielle. Le Code ne crée pas de nouvelles obligations juridiques mais opérationnalise les exigences existantes de la loi, en se concentrant sur trois chapitres principaux : la transparence, le droit d'auteur, et la sécurité et la sûreté.
La loi sur l'IA elle-même est entrée en vigueur le 1er août 2024, avec des dispositions mises en place progressivement sur les 6 à 36 mois suivants. Le Code de pratique a été élaboré pour combler le vide réglementaire concernant l'IA à usage général, une catégorie ajoutée en 2023 pour couvrir les modèles de fondation capables d'effectuer une large gamme de tâches, y compris les systèmes génératifs tels que ChatGPT. La participation au Code est volontaire, mais l'adhésion vise à signaler et à soutenir la conformité avec les obligations juridiques contraignantes de la loi.
Contexte et cadre législatif
La loi sur l'IA a été proposée par la Commission européenne le 21 avril 2021 comme un cadre réglementaire complet pour l'IA dans tous les secteurs, avec des exemptions pour les usages militaires, de sécurité nationale, de recherche et non professionnels. Elle a été adoptée par le Parlement européen le 13 mars 2024 et approuvée à l'unanimité par le Conseil de l'UE le 21 mai 2024. Le projet a été révisé lors des négociations pour répondre à l'essor rapide des systèmes de IA générative, dont les capacités à usage général ne correspondaient pas au cadre initial basé sur les risques.
La loi établit un cadre réglementaire et juridique commun avec quatre niveaux de risque - inacceptable, élevé, limité et minimal - plus une catégorie distincte pour l'IA à usage général. Elle crée également un Conseil européen de l'intelligence artificielle pour promouvoir la coopération nationale et garantir la conformité. Comme le Règlement général sur la protection des données de l'UE, la loi peut s'appliquer de manière extraterritoriale aux fournisseurs hors UE s'ils ont des utilisateurs dans l'UE.
Le Code de pratique sur l'IA à usage général est issu de ce processus législatif comme outil de mise en œuvre. Il a été publié le 10 juillet 2025 après des consultations avec les parties prenantes, notamment les développeurs d'IA, les associations industrielles, la société civile et le monde universitaire. Le Code est structuré autour des exigences de la loi pour les fournisseurs de modèles d'IA à usage général, qui incluent la publication d'un résumé des données d'entraînement, l'adoption d'une politique de droit d'auteur et la fourniture de documentation technique aux fournisseurs en aval et aux autorités de surveillance.
Exigences de transparence
Le chapitre sur la transparence du Code traite de l'obligation de la loi d'informer les utilisateurs sur la nature des contenus et interactions générés par l'IA. Pour les modèles d'IA à usage général, cela inclut des exigences de divulgation que le contenu est généré par l'IA, en particulier pour les sorties textuelles, audio ou visuelles qui pourraient être confondues avec des créations humaines. Cela s'aligne sur la catégorie de risque limité de la loi, qui impose des obligations de transparence aux systèmes qui génèrent ou manipulent des images, du son ou de la vidéo, comme les deepfakes.
Les modèles open-source, dont les poids et la conception sont rendus publics, bénéficient d'exigences de transparence réduites en vertu du Code. Ils doivent publier un résumé des données d'entraînement et une politique de droit d'auteur, mais ils sont exemptés de certaines obligations de divulgation plus larges. Les modèles closed-source, en revanche, doivent satisfaire à des normes de transparence plus complètes, y compris une documentation détaillée des capacités, des limites et de l'utilisation prévue du modèle.
Pour les modèles à haute capacité qui dépassent un seuil de 1025 opérations en virgule flottante pour l'entraînement, le Code ajoute des obligations d'évaluation supplémentaires. Ces modèles sont considérés comme présentant des risques systémiques et doivent subir des évaluations de modèle et des tests adverses au-delà des exigences de base. Les dispositions de transparence exigent également que les fournisseurs maintiennent des enregistrements accessibles aux autorités de surveillance nationales et aux utilisateurs professionnels en aval.
Droit d'auteur et données d'entraînement
Le chapitre sur le droit d'auteur du Code opérationnalise l'exigence de la loi pour les fournisseurs d'adopter des politiques conformes au droit d'auteur de l'UE. Cela inclut la documentation des sources des données d'entraînement, la garantie que les ensembles de données utilisés pour entraîner les modèles ne portent pas atteinte aux droits existants et la transparence sur les données utilisées. Les fournisseurs doivent publier un résumé des données d'entraînement, qui sert de mécanisme pratique pour que les titulaires de droits puissent identifier d'éventuelles infractions.
Le Code encourage les fournisseurs à utiliser les outils techniques disponibles et les meilleures pratiques pour filtrer le matériel protégé par le droit d'auteur des ensembles de données d'entraînement. Il souligne également la nécessité pour les fournisseurs en aval de disposer d'informations suffisantes pour évaluer la conformité lorsqu'ils utilisent un modèle à usage général dans leurs propres produits. Cela est particulièrement pertinent car la loi tient les fournisseurs principalement responsables, mais les déployeurs peuvent également avoir des obligations selon leur rôle.
Il n'y a pas de mécanisme obligatoire d'enregistrement ou d'application dans le Code lui-même. Au lieu de cela, l'adhésion est volontaire, mais les fournisseurs qui suivent le Code peuvent l'utiliser comme preuve d'efforts de bonne foi pour satisfaire aux obligations de la loi. La Commission a indiqué que la participation pourrait être considérée favorablement lors de futures actions d'application, bien que la non-participation n'implique pas automatiquement la non-conformité.
Obligations de sécurité et de sûreté
Le chapitre sur la sécurité et la sûreté du Code traite des obligations de gestion des risques de la loi pour les modèles d'IA à usage général. Pour les modèles désignés comme présentant un risque systémique, les fournisseurs doivent effectuer des évaluations de modèle, y compris des tests de biais, de vulnérabilités de sécurité et d'autres préjudices potentiels. Ils doivent également mener des tests adverses pour sonder les faiblesses du modèle, évaluer et atténuer les risques tels que la discrimination ou les sorties dangereuses, signaler les incidents graves aux autorités et garantir un niveau adéquat de cybersécurité.
Le Code fournit des conseils pratiques sur la manière de mener ces évaluations, y compris des métriques spécifiques et des méthodologies d'évaluation. Il encourage également les fournisseurs à établir des structures de gouvernance internes capables de surveiller les risques tout au long du cycle de vie du modèle. Ces obligations vont au-delà de la simple documentation et exigent une gestion active et continue des risques.
Pour les modèles en dessous du seuil de risque systémique, les exigences de sécurité sont plus légères. Les fournisseurs doivent toujours garantir une fiabilité et une sécurité de base, mais ils ne sont pas tenus de mener le même niveau de tests adverses ou de signalement d'incidents. Le Code distingue les modèles à haute capacité des autres, reconnaissant que différentes approches sont nécessaires en fonction de l'impact potentiel.
Le cadre de sécurité s'appuie sur des travaux techniques antérieurs en apprentissage automatique, y compris des méthodes comme apprentissage par renforcement à partir de retours d'IA et élagage de modèles, bien que le Code ne prescrive pas de techniques spécifiques. Il se concentre sur les résultats et les processus plutôt que sur des algorithmes particuliers.
Relation avec les catégories basées sur les risques
Le Code fonctionne dans le système plus large de classification des risques de la loi sur l'IA. Bien que la loi réglemente l'IA à usage général séparément, ses dispositions interagissent avec les quatre catégories de risque. Par exemple, un modèle à usage général déployé dans une application à haut risque - comme dans la santé, l'éducation ou le recrutement - serait soumis à la fois aux obligations à usage général et aux exigences à haut risque. Cela inclut des évaluations de conformité et, dans certains cas, une évaluation d'impact sur les droits fondamentaux avant le déploiement.
La catégorie d'IA à usage général a été ajoutée à la loi spécifiquement pour traiter les modèles qui ne s'intègrent pas facilement dans les niveaux de risque traditionnels. Ces modèles sont adaptables à de nombreuses tâches, ce qui rend leur profil de risque dépendant du contexte. Le Code aide à combler cette lacune en fournissant un cadre unique pour les obligations des fournisseurs, indépendamment de la manière dont un modèle est finalement déployé.
Les applications à risque minimal, telles que les jeux vidéo ou les filtres anti-spam, restent largement non réglementées par la loi, et le Code ne s'y applique pas. Les règles d'harmonisation maximale de la loi empêchent les États membres d'imposer des réglementations nationales supplémentaires sur ces systèmes, bien qu'un code de conduite volontaire soit également suggéré pour eux.
Mise en œuvre et suivi
La Commission européenne supervise la mise en œuvre du Code, en collaboration avec les autorités nationales et le Conseil européen de l'intelligence artificielle. Le Conseil, établi par la loi, promeut la coopération entre les États membres et garantit une application cohérente du règlement dans toute l'UE. Le Code sert d'outil pour cette coordination, fournissant un ensemble commun de pratiques que les fournisseurs peuvent adopter.
Le suivi du Code est principalement autoréglementaire. Les fournisseurs qui s'engagent à respecter le Code rendent compte de leur conformité par le biais d'une documentation publique. La Commission a indiqué qu'elle examinera le Code périodiquement et pourra le mettre à jour à mesure que les technologies évoluent ou que des leçons sont tirées de la mise en œuvre. Cette approche adaptative vise à suivre le rythme des développements dans les architectures basées sur les transformeurs et d'autres avancées en IA.
L'application de la loi sur l'IA sous-jacente reste la responsabilité des autorités de surveillance nationales et, le cas échéant, de la Commission européenne. Le Code ne remplace pas la conformité formelle, mais il est conçu pour rendre la conformité plus simple et plus transparente. Les fournisseurs hors UE sont également encouragés à participer s'ils offrent des services ou des produits sur le marché de l'UE.
Réception et impact
Le Code de pratique a été généralement bien accueilli par l'industrie de l'IA, bien que certaines parties prenantes aient exprimé des préoccupations concernant la charge de documentation et d'évaluation. Les grandes entreprises technologiques, y compris celles impliquées dans OpenAI, Anthropic et Google DeepMind, ont participé aux consultations et devraient aligner leurs pratiques sur le Code. Les petits fournisseurs et les projets open-source peuvent rencontrer des difficultés pour satisfaire aux exigences, mais les obligations de transparence réduites du code pour les modèles open-source visent à atténuer cela.
Les groupes de la société civile ont salué le Code pour rendre la gouvernance de l'IA plus tangible, en particulier autour du droit d'auteur et de la sécurité. Cependant, certains critiques soutiennent que sa nature volontaire affaiblit la responsabilité, car il n'y a pas de pénalité pour la non-participation. Le Parlement européen a exprimé son soutien au Code en tant que complément à la loi, tout en soulignant la nécessité d'une application stricte du règlement sous-jacent.
Le Code influence également les discussions internationales sur la gouvernance de l'IA. En fournissant un modèle détaillé pour la supervision de l'IA à usage général, il offre un point de référence pour d'autres juridictions développant des cadres similaires. Son accent sur des mesures proportionnées et basées sur les risques s'aligne sur les meilleures pratiques émergentes en matière de politique d'IA, bien que l'approche réglementaire de l'UE reste distinctive par son exhaustivité.
À la fin de 2025, le Code est dans sa phase de mise en œuvre précoce. Son impact à long terme dépendra de la manière dont les fournisseurs intégreront efficacement ses dispositions dans les cycles de développement et de la robustesse avec laquelle les autorités superviseront la conformité avec la loi sur l'IA. La nature volontaire du Code signifie que son succès repose sur une adoption généralisée et la crédibilité de la conformité auto-déclarée.