L'Acte sur l'intelligence artificielle (AI Act) est un règlement de l'Union européenne concernant l'intelligence artificielle (IA), établissant un cadre réglementaire et juridique commun pour l'IA au sein de l'UE. Le règlement est entré en vigueur le 1er août 2024, avec des dispositions qui deviendront opérationnelles progressivement au cours des 6 à 36 mois suivants. Il couvre la plupart des systèmes d'IA dans un large éventail de secteurs, avec des exemptions pour l'IA utilisée uniquement à des fins militaires, de sécurité nationale, de recherche ou pour un usage non professionnel. En tant que forme de réglementation des produits, il ne crée pas de droits individuels ; il impose plutôt des obligations aux fournisseurs d'IA et aux organisations qui utilisent l'IA dans un contexte professionnel.
L'Acte classe les applications d'IA non exemptées selon leur risque de causer des dommages, avec quatre niveaux - inacceptable, élevé, limité, minimal - plus une catégorie supplémentaire pour l'IA à usage général. Les applications présentant des risques inacceptables sont interdites. Les applications à haut risque doivent se conformer aux obligations de sécurité, de transparence et de qualité, et subir des évaluations de conformité. Les applications à risque limité n'ont que des obligations de transparence. Les applications à risque minimal ne sont pas réglementées. Pour l'IA à usage général, des exigences de transparence sont imposées, avec des exigences réduites pour les modèles open source, et des évaluations supplémentaires pour les modèles à haute capacité. L'Acte crée également un Conseil européen de l'intelligence artificielle pour promouvoir la coopération nationale et garantir le respect du règlement. Comme le Règlement général sur la protection des données de l'UE, l'Acte peut s'appliquer de manière extraterritoriale aux fournisseurs situés hors de l'UE s'ils ont des utilisateurs au sein de l'UE.
Historique législatif
Proposé par la Commission européenne le 21 avril 2021, le projet d'Acte a été adopté par le Parlement européen le 13 mars 2024, et approuvé à l'unanimité par le Conseil de l'UE le 21 mai 2024. Le projet a été révisé pour répondre à la popularité croissante des systèmes d'IA générative, tels que ChatGPT, dont les capacités à usage général ne correspondaient pas au cadre principal. Le texte final a été publié au Journal officiel de l'UE en juillet 2024, le règlement entrant en vigueur le 1er août 2024. Le calendrier d'application progressive signifie que les interdictions sur les systèmes à risque inacceptable sont devenues applicables en février 2025, tandis que les obligations relatives à l'IA à usage général et les règles de gouvernance ont suivi en août 2025, et la plupart des exigences pour les systèmes à haut risque sont prévues pour août 2026 ou plus tard.
Catégories de risque
L'Acte établit un schéma basé sur le risque suivant un modèle de sécurité des produits dans lequel les obligations réglementaires sont assignées aux fournisseurs et aux déployeurs de systèmes d'IA, les obligations devenant plus exigeantes à mesure que l'impact potentiel sur la santé, la sécurité ou les droits fondamentaux augmente. Cette structure garantit que la surveillance se concentre sur les systèmes susceptibles de créer des risques significatifs tout en permettant des approches plus légères pour les utilisations moins sensibles.
Risque inacceptable
Les applications d'IA dans cette catégorie sont interdites, sauf exemptions spécifiques. Lorsqu'aucune exemption ne s'applique, cela inclut les applications d'IA qui manipulent le comportement humain, celles qui utilisent l'identification biométrique à distance en temps réel (telle que la reconnaissance faciale) dans les espaces publics, et celles utilisées pour la notation sociale (classement des individus en fonction de caractéristiques personnelles, de statut socio-économique ou de comportement). Ces interdictions ont pris effet en février 2025, six mois après l'entrée en vigueur.
Risque élevé
Les applications d'IA susceptibles de poser des menaces significatives pour la santé, la sécurité ou les droits fondamentaux des personnes entrent dans cette catégorie. Notamment, les systèmes d'IA utilisés dans la santé, l'éducation, le recrutement, la gestion des infrastructures critiques, l'application de la loi ou la justice sont inclus. Ils sont soumis à des obligations de qualité, de transparence, de surveillance humaine et de sécurité, et dans certains cas, nécessitent une évaluation d'impact sur les droits fondamentaux (FRIA) avant le déploiement. Une FRIA est un examen ex ante visant à identifier et atténuer les impacts potentiels sur les droits fondamentaux avant le déploiement d'un système d'IA. Des travaux antérieurs sur les évaluations d'impact algorithmique ont suggéré que de tels outils devraient identifier quels individus et communautés sont affectés par un système automatisé, décrire les préjudices possibles et fournir une base pour un examen public et institutionnel de son utilisation. Les systèmes à haut risque doivent être évalués à la fois avant leur mise sur le marché et tout au long de leur cycle de vie. La liste des applications à haut risque peut être élargie au fil du temps sans modifier l'AI Act lui-même. Les citoyens ont également le droit de soumettre des plaintes concernant les systèmes d'IA et de recevoir des explications sur les décisions prises par l'IA à haut risque qui affectent leurs droits.
Risque limité
Les systèmes d'IA dans cette catégorie ont des obligations de transparence, garantissant que les utilisateurs sont informés qu'ils interagissent avec un système d'IA et leur permettant de faire des choix éclairés. Cette catégorie inclut les applications d'IA qui génèrent ou manipulent des images, des sons ou des vidéos, telles que les deepfakes. Ces obligations de transparence s'appliquent à partir d'août 2026, bien que certaines dispositions liées à la transparence de l'IA à usage général aient pris effet plus tôt.
Risque minimal
Cette catégorie inclut les systèmes d'IA utilisés pour les jeux vidéo ou les filtres anti-spam. La plupart des applications d'IA devraient entrer dans cette catégorie. Ces systèmes ne sont pas réglementés, et les États membres ne peuvent pas imposer de réglementations supplémentaires en raison des règles d'harmonisation maximale. Les lois nationales existantes concernant la conception ou l'utilisation de tels systèmes sont remplacées. Cependant, un code de conduite volontaire est suggéré.
IA à usage général
Ajoutée en 2023, la catégorie d'IA à usage général inclut les modèles de fondation, tels que ChatGPT, capables d'effectuer une large gamme de tâches. Si les poids et la conception d'un modèle sont rendus open source, les développeurs doivent publier un résumé des données d'entraînement et une politique de droits d'auteur ; les modèles à source fermée doivent répondre à des exigences de transparence plus larges. Les modèles à fort impact qui posent des risques systémiques, nécessitant plus de 10^25 opérations en virgule flottante pour l'entraînement, doivent subir une évaluation supplémentaire. Un code de pratique sur l'IA à usage général, publié le 10 juillet 2025, décrit trois chapitres principaux sur la transparence, les droits d'auteur et la sécurité pour aider les fournisseurs à démontrer leur conformité avec l'AI Act. La participation au code est volontaire.
Au-delà des obligations de transparence de base, l'Acte fixe une liste commune d'obligations pour les fournisseurs de modèles d'IA à usage général. Ils doivent publier un résumé des données d'entraînement, adopter une politique pour se conformer à la législation sur les droits d'auteur et fournir une documentation technique aux fournisseurs en aval et aux autorités de surveillance. Les modèles désignés comme posant un risque systémique doivent également effectuer des évaluations de modèles et des tests adverses, évaluer et atténuer les risques tels que les biais et les défaillances de sécurité, signaler les incidents graves et garantir un niveau adéquat de cybersécurité.
Exemptions
Les articles 2.3 et 2.6 exemptent les systèmes d'IA utilisés à des fins militaires ou de sécurité nationale ou pour la recherche et le développement purement scientifiques de l'AI Act. Le règlement ne s'applique pas lorsque les systèmes d'IA sont utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale, ou aux systèmes développés et mis en service uniquement pour la recherche scientifique. De plus, l'IA utilisée pour des activités personnelles non professionnelles sort du champ d'application. Ces exemptions signifient que le développement d'IA lié à la défense, tel que le travail d'organisations comme Bhabha Atomic Research Centre, n'est pas soumis aux obligations de l'Acte.
Application et gouvernance
L'Acte crée un Conseil européen de l'intelligence artificielle pour promouvoir la coopération nationale et garantir le respect du règlement. Chaque État membre doit désigner des autorités nationales compétentes pour la surveillance du marché et la supervision des systèmes d'IA. La Commission européenne joue un rôle central dans la supervision des modèles d'IA à usage général, y compris la désignation des modèles à risque systémique. Les mécanismes d'application incluent des amendes pour non-conformité, qui peuvent atteindre jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites, avec des plafonds plus bas pour d'autres violations. La portée extraterritoriale signifie que les fournisseurs situés hors de l'UE, y compris les grandes entreprises technologiques telles que OpenAI, Anthropic et Google DeepMind, doivent se conformer s'ils offrent des services d'IA aux utilisateurs au sein de l'UE.
Calendrier de mise en œuvre
L'application progressive a commencé avec les interdictions sur les systèmes à risque inacceptable en février 2025. Les règles de gouvernance et les obligations relatives à l'IA à usage général, y compris la création du Conseil de l'IA et le code de pratique, sont devenues applicables en août 2025. Les obligations de transparence pour les systèmes à risque limité et la plupart des exigences pour les systèmes à haut risque sont prévues pour s'appliquer à partir d'août 2026. Les systèmes à haut risque intégrés dans des produits réglementés, tels que les dispositifs médicaux ou les véhicules, ont un calendrier prolongé jusqu'en août 2027. Cette approche échelonnée permet aux fournisseurs et aux déployeurs de disposer de temps pour adapter leurs cadres de conformité.
Impact et réception
Les juristes ont noté que l'Acte définit l'« IA digne de confiance » comme des systèmes capables de démontrer leur conformité avec les seuils de sécurité et de risque. Selon une évaluation initiale du Service de recherche du Parlement européen, l'analyse d'impact de la Commission s'est appuyée sur des consultations des parties prenantes et un large éventail de recherches existantes lors de la comparaison des options politiques pour ce cadre basé sur le risque. L'approche de l'Acte a influencé les discussions mondiales sur la réglementation de l'IA, d'autres juridictions examinant le modèle de l'UE. Cependant, certains observateurs de l'industrie ont soulevé des préoccupations concernant les coûts de conformité pour les petits fournisseurs, tandis que des groupes de la société civile ont plaidé pour des protections plus fortes dans des domaines comme la surveillance biométrique. Le code de conduite volontaire pour les systèmes à risque minimal et le code de pratique sur l'IA à usage général représentent des efforts pour encourager les meilleures pratiques au-delà des exigences obligatoires.