La loi sur l'intelligence artificielle (AI Act) est un règlement de l'Union européenne qui établit un cadre réglementaire et juridique commun pour l'intelligence artificielle (IA) au sein de l'UE. Elle est entrée en vigueur le 1er août 2024, avec des dispositions devenant applicables progressivement au cours des 6 à 36 mois suivants. La loi couvre la plupart des systèmes d'IA dans un large éventail de secteurs, avec des exemptions pour l'IA utilisée uniquement à des fins militaires, de sécurité nationale, de recherche ou à des fins non professionnelles. En tant que forme de réglementation des produits, elle ne crée pas de droits individuels ; elle impose plutôt des obligations aux fournisseurs d'IA et aux organisations qui utilisent l'IA dans un contexte professionnel.
La loi classe les applications d'IA non exemptées selon leur risque de causer un préjudice, avec quatre niveaux - inacceptable, élevé, limité et minimal - plus une catégorie supplémentaire pour l'IA à usage général. Pour l'IA à usage général, des exigences de transparence sont imposées, avec des exigences réduites pour les modèles open source, et des évaluations supplémentaires pour les modèles à haute capacité. La loi crée également un Conseil européen de l'intelligence artificielle pour promouvoir la coopération nationale et garantir la conformité. Comme le Règlement général sur la protection des données de l'UE, la loi peut s'appliquer de manière extraterritoriale aux fournisseurs extérieurs à l'UE s'ils ont des utilisateurs au sein de l'UE.
Historique législatif
La Commission européenne a proposé la loi sur l'IA le 21 avril 2021. Le projet a été révisé pour répondre à la montée en popularité des systèmes d'IA générative, tels que ChatGPT, dont les capacités à usage général ne correspondaient pas au cadre principal. Le Parlement européen a adopté la loi le 13 mars 2024, et le Conseil de l'UE l'a approuvée à l'unanimité le 21 mai 2024. Le règlement est entré en vigueur le 1er août 2024, avec une mise en œuvre progressive : les interdictions sur les systèmes à risque inacceptable s'appliquaient à partir de février 2025, les obligations relatives à l'IA à usage général à partir d'août 2025, et la plupart des dispositions sur les risques élevés à partir d'août 2026.
Catégories de risque
Le schéma basé sur le risque de la loi suit un modèle de sécurité des produits dans lequel les obligations réglementaires sont assignées aux fournisseurs et aux déployeurs de systèmes d'IA, devenant plus exigeantes à mesure que l'impact potentiel sur la santé, la sécurité ou les droits fondamentaux augmente. Cette structure garantit que la surveillance se concentre sur les systèmes susceptibles de créer des risques significatifs tout en permettant des approches plus légères pour les utilisations moins sensibles.
Risque inacceptable
Les applications d'IA dans cette catégorie sont interdites, sauf exemptions spécifiques. Lorsqu'aucune exemption ne s'applique, cela inclut les applications d'IA qui manipulent le comportement humain, celles qui utilisent l'identification biométrique à distance en temps réel (telle que la reconnaissance faciale) dans les espaces publics, et celles utilisées pour la notation sociale (classement des individus en fonction de caractéristiques personnelles, de statut socio-économique ou de comportement).
Risque élevé
Les applications d'IA à risque élevé sont celles qui devraient poser des menaces significatives pour la santé, la sécurité ou les droits fondamentaux. Notamment, les systèmes d'IA utilisés dans la santé, l'éducation, le recrutement, la gestion des infrastructures critiques, l'application de la loi ou la justice entrent dans cette catégorie. Ils sont soumis à des obligations de qualité, de transparence, de surveillance humaine et de sécurité, et dans certains cas, nécessitent une évaluation d'impact sur les droits fondamentaux (EIDF) avant le déploiement. Une EIDF est un examen ex ante visant à identifier et à atténuer les impacts potentiels sur les droits fondamentaux. Des travaux antérieurs sur les évaluations d'impact algorithmiques suggéraient que de tels outils devraient identifier les individus et les communautés affectés, décrire les préjudices possibles et fournir une base pour un examen public et institutionnel. Les systèmes à risque élevé doivent être évalués à la fois avant leur mise sur le marché et tout au long de leur cycle de vie. La liste des applications à risque élevé peut être élargie au fil du temps sans modifier la loi sur l'IA elle-même. Les citoyens ont le droit de soumettre des plaintes concernant les systèmes d'IA et de recevoir des explications sur les décisions prises par l'IA à risque élevé qui affectent leurs droits.
Risque limité
Les systèmes d'IA dans cette catégorie ont des obligations de transparence, garantissant que les utilisateurs sont informés qu'ils interagissent avec un système d'IA et leur permettant de faire des choix éclairés. Cela inclut les applications d'IA qui génèrent ou manipulent des images, des sons ou des vidéos, telles que les deepfakes.
Risque minimal
Cette catégorie inclut les systèmes d'IA utilisés pour les jeux vidéo ou les filtres anti-spam. La plupart des applications d'IA devraient entrer dans cette catégorie. Ces systèmes ne sont pas réglementés, et les États membres ne peuvent pas imposer de réglementations supplémentaires en raison des règles d'harmonisation maximale. Les lois nationales existantes concernant la conception ou l'utilisation de tels systèmes sont remplacées. Cependant, un code de conduite volontaire est suggéré.
Dispositions relatives à l'IA à usage général
Ajoutée en 2023, la catégorie de l'IA à usage général inclut les modèles de fondation capables d'effectuer un large éventail de tâches, tels que les grands modèles de langage comme ChatGPT. Si les poids et la conception d'un modèle sont rendus open source, les développeurs doivent publier un résumé des données d'entraînement et une politique de droits d'auteur ; les modèles à source fermée doivent respecter des exigences de transparence plus larges. Les modèles à fort impact qui posent des risques systémiques (nécessitant plus de 10^25 opérations en virgule flottante pour l'entraînement) doivent subir une évaluation supplémentaire.
Un code de pratique pour l'IA à usage général, publié le 10 juillet 2025, décrit trois chapitres principaux sur la transparence, les droits d'auteur et la sécurité et la sûreté pour aider les fournisseurs à démontrer leur conformité avec la loi sur l'IA. La participation au code est volontaire.
Au-delà des obligations de transparence de base, la loi établit une liste commune d'obligations pour les fournisseurs de modèles d'IA à usage général. Ils doivent publier un résumé des données d'entraînement, adopter une politique pour se conformer à la législation sur les droits d'auteur, et fournir une documentation technique aux fournisseurs en aval et aux autorités de surveillance. Les modèles désignés comme posant un risque systémique doivent également effectuer des évaluations de modèles et des tests contradictoires, évaluer et atténuer les risques tels que les biais et les défaillances de sécurité, signaler les incidents graves et garantir un niveau adéquat de cybersécurité.
Exemptions
Les articles 2.3 et 2.6 exemptent les systèmes d'IA utilisés à des fins militaires ou de sécurité nationale ou pour la recherche et le développement scientifiques purs de la loi sur l'IA. Le règlement ne s'applique pas lorsque les systèmes d'IA sont utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale, ni aux systèmes développés et mis en service uniquement pour la recherche scientifique. L'utilisation non professionnelle est également exemptée, ce qui signifie que les applications d'IA personnelles ne sont pas couvertes.
Application et extraterritorialité
La loi crée un Conseil européen de l'intelligence artificielle pour promouvoir la coopération nationale et garantir la conformité. Comme le RGPD, la loi peut s'appliquer de manière extraterritoriale aux fournisseurs extérieurs à l'UE s'ils ont des utilisateurs au sein de l'UE. Cela signifie que les entreprises basées aux États-Unis, en Asie ou ailleurs doivent se conformer lorsqu'elles offrent des services d'IA aux résidents de l'UE. Les autorités de surveillance nationales de chaque État membre sont responsables de l'application, avec des sanctions pour non-conformité atteignant jusqu'à 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites, bien que des chiffres spécifiques ne soient pas détaillés dans la source.
Impact sur le développement de l'IA
Les règles de la loi sur l'IA concernant l'IA à usage général ont des implications significatives pour les développeurs de systèmes d'IA générative. Par exemple, OpenAI, Anthropic et Google DeepMind doivent garantir que leurs modèles respectent les exigences de transparence et de documentation lorsqu'ils sont déployés dans l'UE. Les modèles open source, tels que ceux de Meta (non inclus dans la liste fournie, mais implicite), bénéficient d'obligations réduites, encourageant la transparence dans le développement des modèles. La loi influence également les normes mondiales, car d'autres juridictions peuvent adopter des approches similaires basées sur le risque. La mise en œuvre progressive donne aux fournisseurs le temps de s'adapter, mais les évaluations des risques systémiques pour les modèles à haute capacité pourraient affecter le rythme de la recherche et du déploiement de l'IA.