La loi sur l'intelligence artificielle (AI Act) est un règlement de l'Union européenne qui établit un cadre réglementaire et juridique commun pour l'intelligence artificielle (IA) dans toute l'UE. Elle est entrée en vigueur le 1er août 2024, la plupart des dispositions s'appliquant progressivement au cours des 6 à 36 mois suivants. La loi introduit une classification fondée sur les risques, imposant des obligations plus strictes aux systèmes d'IA qui présentent un potentiel de préjudice plus élevé pour la santé, la sécurité ou les droits fondamentaux. Elle réglemente principalement les fournisseurs et les déployeurs de systèmes d'IA dans des contextes professionnels plutôt que de créer des droits individuels.
Proposée par la Commission européenne le 21 avril 2021, la loi a été adoptée par le Parlement européen le 13 mars 2024 et approuvée à l'unanimité par le Conseil de l'UE le 21 mai 2024. Le texte final a été révisé pour tenir compte de l'essor rapide des systèmes d'IA générative comme ChatGPT, qui ont introduit des capacités à usage général non anticipées dans le cadre initial.
Catégories de risques
La loi divise les applications d'IA non exemptées en quatre niveaux de risque, plus une catégorie distincte pour l'IA à usage général.
Risque inacceptable : Ces applications d'IA sont interdites, sauf exemptions spécifiques. Les interdictions couvrent les systèmes qui manipulent le comportement humain, ceux utilisés pour la notation sociale (classement des individus en fonction de caractéristiques personnelles, de leur statut socio-économique ou de leur comportement) et l'identification biométrique à distance en temps réel (telle que la reconnaissance faciale) dans les espaces publics.
Risque élevé : Les systèmes d'IA qui présentent des menaces significatives pour la santé, la sécurité ou les droits fondamentaux lorsqu'ils sont utilisés dans des secteurs critiques comme la santé, l'éducation, le recrutement, la gestion des infrastructures critiques, l'application de la loi ou la justice. Ces systèmes doivent se conformer aux obligations de sécurité, de transparence et de qualité, et subir des évaluations de conformité avant leur mise sur le marché et tout au long de leur cycle de vie. Certaines utilisations à haut risque nécessitent une évaluation d'impact sur les droits fondamentaux (FRIA) avant le déploiement - un examen ex ante visant à identifier et à atténuer les impacts sur les droits fondamentaux. Les citoyens peuvent soumettre des plaintes concernant les systèmes d'IA à haut risque et recevoir des explications pour les décisions affectant leurs droits.
Risque limité : Les systèmes d'IA de cette catégorie portent des obligations de transparence, exigeant que les utilisateurs soient informés lorsqu'ils interagissent avec l'IA. Cela s'applique aux systèmes qui génèrent ou manipulent des images, du son ou de la vidéo, comme les deepfakes.
Risque minimal : La plupart des applications d'IA, y compris les jeux vidéo et les filtres anti-spam, entrent dans cette catégorie. Elles ne sont pas réglementées, et les États membres ne peuvent pas imposer de règles supplémentaires en raison de l'harmonisation maximale. Un code de conduite volontaire est suggéré.
L'approche fondée sur les risques suit un modèle de sécurité des produits où les obligations augmentent avec l'impact potentiel. Les juristes notent que la loi cadre l'« IA digne de confiance » comme des systèmes démontrant leur conformité à ces seuils de sécurité.
IA à usage général
Ajoutée en 2023, cette catégorie couvre les modèles de fondation capables d'effectuer une large gamme de tâches. Les modèles open-source avec des poids publiquement disponibles doivent publier un résumé des données d'entraînement et une politique de droits d'auteur. Les modèles closed-source font face à des exigences de transparence plus larges. Les modèles à fort impact posant un risque systémique - nécessitant plus de 10^25 opérations en virgule flottante pour l'entraînement - doivent subir des évaluations supplémentaires, y compris des tests de modèle et des tests contradictoires. Le code de pratique pour l'IA à usage général, publié le 10 juillet 2025, fournit des orientations volontaires sur la transparence, les droits d'auteur et la sécurité.
Exemptions
Les articles 2.3 et 2.6 exemptent l'IA utilisée à des fins militaires, de sécurité nationale ou de recherche scientifique pure. Le règlement ne s'applique pas aux systèmes utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale, ni à ceux développés uniquement pour la recherche et le développement.
Application et gouvernance
La loi crée un Conseil européen de l'intelligence artificielle pour promouvoir la coopération entre les autorités nationales et garantir une conformité cohérente. Comme le RGPD, la loi peut s'appliquer de manière extraterritoriale aux fournisseurs hors UE s'ils ont des utilisateurs dans l'UE.
Calendrier de mise en œuvre
Le règlement est entré en vigueur le 1er août 2024, mais les dispositions sont mises en place sur 6 à 36 mois. Les échéances précoces incluent les interdictions des applications à risque inacceptable d'ici février 2025, les obligations pour l'IA à usage général d'ici août 2025, et les exigences pour les systèmes à haut risque d'ici août 2026, avec des obligations supplémentaires pour certaines utilisations à haut risque d'ici 2027. À la fin de 2025, la Commission européenne a publié des orientations et ouvert des processus de consultation pour soutenir la mise en œuvre.
Impact sur l'écosystème de l'IA
La portée extraterritoriale de la loi signifie que des entreprises comme OpenAI, Anthropic, Google DeepMind et d'autres offrant des services d'IA aux utilisateurs de l'UE doivent se conformer, quel que soit leur siège social. La classification des systèmes en fonction du risque a incité les développeurs à investir dans la documentation, les évaluations de modèles et les mesures de transparence. Par exemple, les fournisseurs de grands modèles de langage comme ChatGPT publient désormais des résumés de données d'entraînement et adhèrent à des politiques de droits d'auteur. Le code de pratique volontaire pour l'IA à usage général, publié en juillet 2025, a été approuvé par plusieurs grands fournisseurs, signalant un virage vers l'autorégulation dans un cadre juridique.
Les dispositions de la loi affectent également les applications de Machine learning, Deep learning et Neural network dans tous les secteurs. Les utilisations à haut risque dans la santé et le recrutement doivent subir des évaluations de conformité, ce qui pourrait ralentir le déploiement mais vise à renforcer la confiance du public. L'interaction avec la recherche et le développement a été débattue, car l'exemption pour la recherche scientifique couvre les travaux non commerciaux, mais les systèmes déployés doivent toujours se conformer. La conception de la loi comme réglementation de produits signifie qu'elle complète les lois sectorielles existantes, telles que les règles de protection des données, sans créer de droits individuels directs.
Critiques et défis
Les groupes industriels ont exprimé des préoccupations selon lesquelles la complexité de la classification des risques et les charges de conformité pourraient ralentir l'innovation, en particulier pour les petites et moyennes entreprises. Certains universitaires soutiennent que l'exigence de FRIA manque de normes claires, ce qui pourrait conduire à une mise en œuvre incohérente. L'application reste un défi en raison de la nécessité d'une action coordonnée entre les autorités nationales dans la pratique. La loi fait également face à des contestations juridiques de la part d'entités affirmant que certaines dispositions portent atteinte aux droits fondamentaux, mais à la mi-2025, aucune décision majeure n'a été rendue.
Malgré ces défis, la loi sur l'IA établit un précédent mondial, influençant des efforts législatifs similaires dans d'autres juridictions, comme les États-Unis et le Japon, et façonnant les débats internationaux sur AI safety. Son approche progressive donne aux parties prenantes le temps de s'adapter, mais l'impact complet ne sera connu que lorsque les dispositions individuelles deviendront applicables au cours des prochaines années.
Conclusion
La loi européenne sur l'IA représente une tentative marquante de réglementer l'IA de manière complète et fondée sur les risques. En établissant des catégories et des obligations claires, elle vise à équilibrer l'innovation avec la protection de la santé, de la sécurité et des droits fondamentaux. Son entrée en vigueur marque le début d'une période de transition où les fournisseurs et les déployeurs doivent mettre en œuvre des mesures de conformité. Le succès de la loi dépendra d'une gouvernance efficace, d'une coopération internationale et de la capacité à s'adapter aux changements technologiques rapides. Alors que le cadre se déploie, il est susceptible d'influencer la réglementation de l'IA dans le monde entier, établissant une référence pour le développement d'une IA digne de confiance.