Le Conseil de l'Union européenne a donné son approbation finale à la loi sur l'intelligence artificielle (AI Act) le 21 mai 2024, concluant un processus législatif qui avait débuté avec la proposition de la Commission européenne le 21 avril 2021. Le vote unanime des ministres des États membres a marqué le dernier obstacle majeur avant que le règlement ne puisse entrer en vigueur, préparant le terrain pour le premier cadre juridique complet au monde régissant l'intelligence artificielle. La loi avait précédemment été adoptée par le Parlement européen le 13 mars 2024, et son texte final intégrait des révisions significatives apportées en réponse à l'essor rapide des systèmes de IA générative tels que ChatGPT d'OpenAI, dont les capacités polyvalentes ne correspondaient pas au cadre initial fondé sur les risques.
Le règlement est officiellement entré en vigueur le 1er août 2024, avec des dispositions dont l'application progressive est prévue sur les 6 à 36 mois suivants. Cette mise en œuvre par phases a été conçue pour donner aux entreprises, aux autorités nationales et aux fournisseurs de systèmes d'IA le temps nécessaire pour s'adapter aux nouvelles obligations. La loi sur l'IA établit un cadre réglementaire et juridique commun pour l'IA dans tous les États membres de l'UE, couvrant la plupart des systèmes d'IA dans un large éventail de secteurs, avec des exemptions pour l'IA utilisée uniquement à des fins militaires, de sécurité nationale, de recherche ou à usage non professionnel. En tant que forme de réglementation des produits, elle ne crée pas de droits individuels mais impose des obligations aux fournisseurs d'IA et aux organisations qui utilisent l'IA dans un contexte professionnel.
Classification fondée sur les risques
La loi classe les applications d'IA non exemptées en quatre niveaux de risque - inacceptable, élevé, limité et minimal - plus une catégorie supplémentaire pour l'IA à usage général. Ce schéma fondé sur les risques suit un modèle de sécurité des produits dans lequel les obligations réglementaires sont assignées aux fournisseurs et aux déployeurs, devenant plus exigeantes à mesure que l'impact potentiel sur la santé, la sécurité ou les droits fondamentaux augmente. La structure garantit que la surveillance se concentre sur les systèmes susceptibles de créer des risques significatifs tout en permettant des approches plus légères pour les usages moins sensibles.
Les applications présentant des risques inacceptables sont interdites purement et simplement, sauf exemptions spécifiques. Cela inclut les systèmes d'IA qui manipulent le comportement humain, ceux utilisant l'identification biométrique à distance en temps réel (telle que la reconnaissance faciale) dans les espaces publics, et les systèmes de notation sociale qui classent les individus en fonction de caractéristiques personnelles, de statut socio-économique ou de comportement. Les applications à haut risque doivent se conformer aux obligations de sécurité, de transparence et de qualité, et subir des évaluations de conformité avant leur déploiement. Cela inclut les systèmes d'IA utilisés dans la santé, l'éducation, le recrutement, la gestion des infrastructures critiques, l'application de la loi ou la justice, qui doivent également subir une évaluation d'impact sur les droits fondamentaux (FRIA) dans certains cas - un examen ex ante pour identifier et atténuer les impacts potentiels sur les droits fondamentaux.
Les applications à risque limité n'ont que des obligations de transparence, garantissant que les utilisateurs sont informés qu'ils interagissent avec un système d'IA et leur permettant de faire des choix éclairés. Cette catégorie inclut les outils générant des deepfakes et d'autres systèmes qui manipulent des images, du son ou de la vidéo. Les applications à risque minimal, telles que l'IA dans les jeux vidéo ou les filtres anti-spam, ne sont pas réglementées, et les États membres ne peuvent pas imposer de réglementations supplémentaires en raison des règles d'harmonisation maximale. La plupart des applications d'IA devraient relever de cette catégorie, avec un code de conduite volontaire suggéré pour les meilleures pratiques.
Dispositions sur l'IA à usage général
Ajoutée en 2023, la catégorie de l'IA à usage général traite des modèles de fondation capables d'effectuer une large gamme de tâches, y compris les grands modèles de langage et d'autres systèmes de apprentissage automatique. Si les poids et la conception d'un modèle sont rendus open source, les développeurs doivent publier un résumé des données d'entraînement et une politique de droits d'auteur ; les modèles à code source fermé doivent satisfaire à des exigences de transparence plus larges. Les modèles à fort impact qui posent des risques systémiques - définis comme nécessitant plus de 10^25 opérations en virgule flottante pour être entraînés - doivent subir une évaluation supplémentaire, y compris des évaluations de modèles, des tests contradictoires, une évaluation des risques de biais et de défaillances de sécurité, un signalement des incidents graves et des mesures adéquates de cybersécurité.
Au-delà des obligations de transparence de base, les fournisseurs de modèles d'IA à usage général doivent publier un résumé des données d'entraînement, adopter une politique de conformité au droit d'auteur et fournir une documentation technique aux fournisseurs en aval et aux autorités de surveillance. Un code de pratique sur l'IA à usage général, publié le 10 juillet 2025, décrit trois chapitres principaux sur la transparence, les droits d'auteur et la sécurité et la sûreté pour aider les fournisseurs à démontrer leur conformité. La participation au code est volontaire.
Exemptions et portée extraterritoriale
Les articles 2.3 et 2.6 de la loi exemptent les systèmes d'IA utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale, ainsi que la recherche et le développement purement scientifiques. Le règlement ne s'applique pas non plus aux systèmes développés et mis en service uniquement à ces fins. Comme le règlement général sur la protection des données de l'UE, la loi sur l'IA peut s'appliquer de manière extraterritoriale aux fournisseurs situés hors de l'UE s'ils ont des utilisateurs dans l'UE, ce qui signifie que des entreprises telles que Google DeepMind, Anthropic ou Amazon Web Services proposant des services d'IA à des clients de l'UE doivent se conformer, quel que soit le lieu de leur siège social.
Gouvernance et application
La loi crée un Bureau européen de l'intelligence artificielle pour promouvoir la coopération nationale et garantir le respect du règlement. Ce bureau coordonne les autorités de surveillance des États membres, facilitant une application cohérente des règles. Les citoyens ont le droit de soumettre des plaintes concernant les systèmes d'IA et de recevoir des explications sur les décisions prises par l'IA à haut risque qui affectent leurs droits. La liste des applications à haut risque peut être élargie au fil du temps sans modifier la loi sur l'IA elle-même, permettant au cadre de s'adapter aux risques émergents.
Parcours législatif et révisions
La proposition originale de la Commission européenne du 21 avril 2021 s'appuyait sur des consultations des parties prenantes et un large éventail de recherches existantes, selon une évaluation initiale du Service de recherche du Parlement européen. Le projet de loi a été révisé au cours des négociations pour répondre à la popularité croissante des systèmes d'IA générative, dont les capacités polyvalentes ne correspondaient pas au cadre principal. Le texte final a équilibré les préoccupations d'innovation avec les protections des droits fondamentaux, intégrant les contributions de diverses parties prenantes, y compris les entreprises technologiques, les organisations de la société civile et les institutions académiques.
L'approbation unanime du Conseil de l'UE le 21 mai 2024 a représenté une réalisation politique significative, démontrant un consensus transpartisan et transnational sur la réglementation de l'IA. Le calendrier de mise en œuvre par phases signifie que différentes dispositions deviennent applicables à des moments différents, les interdictions les plus urgentes et les exigences de transparence prenant effet en premier, suivies des obligations pour les systèmes à haut risque et les modèles d'IA à usage général au cours des mois suivants.
Implications pour l'industrie
La portée extraterritoriale et la couverture complète de la loi sur l'IA signifient que les grandes entreprises technologiques du monde entier doivent ajuster leurs pratiques de développement et de déploiement. Les fournisseurs de systèmes de grands modèles de langage, d'applications basées sur des réseaux neuronaux et d'autres outils d'IA doivent documenter leurs données d'entraînement, mettre en œuvre des politiques de droits d'auteur et effectuer des évaluations des risques. La distinction entre les modèles open source et à code source fermé crée des charges de conformité différentes, influençant potentiellement la manière dont les entreprises choisissent de publier leurs systèmes d'IA. L'approche fondée sur les risques de la loi affecte également des secteurs tels que la santé, l'éducation et l'application de la loi, où les applications d'IA à haut risque sont soumises aux exigences les plus strictes.
Contexte plus large
La loi sur l'IA représente une étape importante dans la réglementation technologique, suivant le modèle de l'UE consistant à établir des normes mondiales par le biais d'une législation complète. Son cadre fondé sur les risques a été étudié par les régulateurs d'autres juridictions envisageant des approches similaires. L'accent mis par la loi sur la transparence, la supervision humaine et la protection des droits fondamentaux reflète des préoccupations sociétales plus larges concernant l'impact de l'IA sur la démocratie, la vie privée et l'autonomie individuelle. Alors que les dispositions entrent en vigueur progressivement, la mise en œuvre pratique sera étroitement surveillée par l'industrie, la société civile et les décideurs politiques du monde entier.
Le succès du règlement dépendra de l'application effective par les autorités nationales et le Bureau européen de l'intelligence artificielle, ainsi que de la coopération des fournisseurs d'IA. Le code de conduite volontaire pour les applications à risque minimal et le code de pratique sur l'IA à usage général fournissent des orientations pour la conformité, tandis que la flexibilité de la loi permet des mises à jour futures à mesure que la technologie de l'IA évolue. L'approbation du Conseil le 21 mai 2024 a ainsi marqué non pas une fin mais un commencement - le début d'une nouvelle ère dans laquelle les systèmes d'IA opérant dans l'UE doivent démontrer leur conformité à des règles claires et exécutoires conçues pour protéger la santé, la sécurité et les droits fondamentaux.