Le Code de pratique pour l'IA à usage général est un document réglementaire provisoire publié par la Commission européenne en 2025, destiné à opérationnaliser les obligations imposées aux fournisseurs de modèles d'intelligence artificielle à usage général (GPAI) en vertu de la loi européenne sur l'IA. Le code traduit les exigences législatives de haut niveau en mesures concrètes et actionnables pour les entreprises développant et déployant des modèles de fondation, y compris les grands modèles de langage et autres systèmes d'IA générative. Il représente une étape clé dans l'effort de l'UE pour établir une norme mondiale en matière de gouvernance de l'IA, équilibrant innovation et protection des droits fondamentaux.
Le code a été élaboré dans le cadre d'un processus multipartite impliquant des représentants de l'industrie, des organisations de la société civile, des milieux universitaires et des experts indépendants. Il aborde quatre piliers principaux : transparence et conformité au droit d'auteur, identification et évaluation des risques, gestion interne des risques, et évaluation et atténuation des risques systémiques. Le projet a été publié pour consultation publique, avec une version finale attendue après intégration des retours des parties prenantes et du Bureau européen de l'IA.
Contexte et base juridique
La loi européenne sur l'IA, formellement adoptée en 2024, a introduit un cadre réglementaire basé sur les risques pour les systèmes d'IA. Les modèles GPAI, définis comme ceux entraînés sur des données à grande échelle et capables d'effectuer une large gamme de tâches, sont soumis à des obligations spécifiques en vertu des articles 51 à 56 de la loi. Cela comprend la fourniture de documentation technique, la publication de résumés des données d'entraînement et la mise en œuvre de politiques respectant le droit d'auteur de l'UE. Pour les modèles présentant un risque systémique - ceux ayant une capacité de calcul élevée ou un impact significatif - des exigences supplémentaires s'appliquent, telles que des tests contradictoires et la notification des incidents.
Le Code de pratique n'est pas un instrument juridique autonome, mais un document d'orientation que la Commission européenne entend utiliser comme référence pour la conformité. Les fournisseurs qui adhèrent au code sont présumés conformes aux dispositions GPAI de la loi sur l'IA. Cette approche de « droit souple » vise à fournir clarté et flexibilité pendant que la Commission développe des normes harmonisées par l'intermédiaire des organisations européennes de normalisation.
Processus de développement
En novembre 2024, le Bureau européen de l'IA a lancé un processus de consultation pour rédiger le code. Quatre groupes de travail ont été établis, chacun se concentrant sur un pilier spécifique. Les groupes comprenaient des représentants de grandes entreprises technologiques telles que OpenAI, Anthropic, Google DeepMind et Amazon Web Services, ainsi que des startups européennes, des groupes de la société civile comme Access Now, et des institutions académiques telles que MIT CSAIL et Stanford AI Lab. Le processus était présidé par des experts indépendants, notamment l'informaticien Michael Jordan et la juriste Marietje Schaake.
Les groupes de travail se sont réunis virtuellement et en personne sur plusieurs mois, produisant des brouillons itératifs. Le premier brouillon complet a été publié le 14 avril 2025, suivi d'une période de commentaires publics de six semaines. Plus de 500 soumissions ont été reçues de 40 pays, reflétant l'intérêt mondial pour la réglementation européenne de l'IA. La version finale est prévue pour adoption à la fin de 2025, avec une période de transition pour les fournisseurs afin d'aligner leurs pratiques.
Pilier un : Transparence et droit d'auteur
Le premier pilier exige que les fournisseurs de GPAI maintiennent une documentation technique détaillée, y compris l'architecture du modèle, les sources des données d'entraînement et les ressources informatiques utilisées. Les fournisseurs doivent publier un résumé suffisamment détaillé du contenu d'entraînement, comme l'exige l'article 53(1)(a) de la loi sur l'IA. Le code précise que ce résumé devrait inclure des informations sur les catégories de données, les langues et la provenance des ensembles de données, tout en respectant les secrets commerciaux.
La conformité au droit d'auteur est une préoccupation centrale. Le code oblige les fournisseurs à mettre en œuvre des mesures de pointe pour identifier et respecter les réserves de droits exprimées par les titulaires de droits d'auteur, telles que l'utilisation de protocoles de désinscription lisibles par machine. Il exige également que les fournisseurs documentent leurs politiques pour respecter la directive de l'UE sur le droit d'auteur dans le marché unique numérique, notamment en ce qui concerne les exceptions de fouille de textes et de données. Le brouillon suggère que les fournisseurs devraient conserver des enregistrements de toute plainte liée au droit d'auteur et de leurs résolutions.
Pilier deux : Identification et évaluation des risques
Le deuxième pilier se concentre sur les processus internes pour identifier et évaluer les risques associés aux modèles GPAI. Les fournisseurs doivent établir un système de gestion des risques couvrant l'ensemble du cycle de vie du modèle, de la collecte des données et de l'entraînement au déploiement et à la surveillance post-commercialisation. Le code recommande une approche structurée basée sur des cadres existants tels que le cadre de gestion des risques de l'IA du NIST, adapté au contexte européen.
Les catégories de risques spécifiques incluent les biais et la discrimination, les violations de la vie privée, les défaillances de sécurité et l'utilisation abusive potentielle pour la désinformation ou les cyberattaques. Les fournisseurs sont tenus de mener des exercices de red-teaming et des tests contradictoires, en particulier pour les modèles à haute capacité. Le code exige également la documentation des méthodologies d'évaluation des risques, y compris les métriques utilisées pour mesurer les biais (par exemple, la parité démographique) et la robustesse (par exemple, la performance sous changement de distribution).
Pilier trois : Gestion interne des risques
Le troisième pilier détaille les mesures de gouvernance et opérationnelles. Les fournisseurs doivent désigner une personne ou une équipe responsable de la conformité à l'IA, avec des lignes de responsabilité claires. Le code recommande d'établir un comité de révision interne incluant des perspectives diverses, notamment des éthiciens et des experts juridiques, pour superviser les décisions relatives aux risques. Des programmes de formation du personnel sur la sécurité et l'éthique de l'IA sont également mandatés.
Les mesures techniques incluent la mise en œuvre de élagage de modèles et d'autres techniques d'optimisation pour réduire les comportements non intentionnels, ainsi que le maintien d'un contrôle de version et de pistes d'audit pour les mises à jour de modèles. Les fournisseurs doivent également établir des protocoles de réponse aux incidents, y compris des procédures pour signaler les incidents graves au Bureau européen de l'IA dans les 15 jours. Le code souligne l'importance de augmentation des données et de apprentissage curriculaire comme méthodes pour améliorer la robustesse des modèles et réduire les modes de défaillance connus.
Pilier quatre : Évaluation et atténuation des risques systémiques
Pour les modèles considérés comme présentant un risque systémique - définis comme ceux nécessitant plus de 10^25 opérations en virgule flottante par session d'entraînement - le code impose des obligations supplémentaires. Les fournisseurs doivent mener des évaluations complètes utilisant des références standardisées et des tests de résistance, y compris des évaluations des capacités cyber-offensives, des connaissances en armes chimiques ou biologiques et du potentiel de réplication autonome. Le brouillon fait référence aux méthodologies de recherche en IA de Berkeley et l'Université d'Oxford sur l'évaluation des risques de l'IA frontalière.
Les mesures d'atténuation incluent la mise en œuvre de apprentissage par renforcement à partir de retours d'IA et de écrêtage de gradient pour stabiliser l'entraînement, ainsi que le déploiement de échantillonnage top-k et de réglage de température pour contrôler le comportement de génération. Les fournisseurs doivent également s'engager à partager les résultats de sécurité avec le Bureau européen de l'IA et, le cas échéant, avec d'autres fournisseurs. Le code encourage la participation à des initiatives de recherche conjointe sur la sécurité, telles que celles dirigées par Anthropic et Google DeepMind.
Réponse de l'industrie et critiques
Le projet de code a reçu des réactions mitigées. Les grandes entreprises technologiques ont généralement accueilli favorablement la clarté qu'il apporte, mais ont exprimé des préoccupations concernant les coûts de conformité et le risque de surréglementation. OpenAI et Anthropic se sont publiquement engagés à répondre aux exigences du code, tandis que Google Cloud et Microsoft Azure ont noté la nécessité d'un alignement international pour éviter la fragmentation. Les startups européennes, telles que AI21 Labs et Mistral AI, ont fait valoir que l'accent mis sur la documentation pourrait désavantager les petits acteurs disposant de ressources limitées.
Les organisations de la société civile ont salué l'accent mis sur la transparence et le droit d'auteur, mais ont critiqué le manque de mécanismes d'application contraignants. Certains universitaires, dont Melanie Mitchell et Aleksander Madry, ont remis en question la faisabilité des évaluations de risques proposées, notant que les méthodes d'évaluation actuelles sont insuffisantes pour prédire les capacités émergentes. Le panel ouvert, un organe consultatif indépendant, a recommandé des dispositions plus solides pour la divulgation publique des données d'entraînement et des audits tiers plus rigoureux.
Prochaines étapes et calendrier de mise en œuvre
La Commission européenne prévoit de finaliser le code d'ici décembre 2025, en intégrant les retours de la consultation. Une fois adopté, le code entrera en vigueur le 2 août 2026, coïncidant avec la date d'application générale de la loi sur l'IA pour les obligations GPAI. Les fournisseurs auront une période de transition de six mois pour aligner leurs pratiques, avec des contrôles de conformité menés par le Bureau européen de l'IA à partir du début de 2027.
Le code devrait influencer la gouvernance de l'IA au-delà de l'UE, car d'autres juridictions, notamment le Canada et le Japon, ont exprimé leur intérêt pour l'adoption de cadres similaires. La communauté de l'intelligence artificielle suivra de près sa mise en œuvre, en particulier en ce qui concerne l'application des seuils de risque systémique et la question de savoir si le code parvient à équilibrer l'innovation avec la sécurité publique. À la mi-2025, le texte final reste sujet à modification, et les parties prenantes continuent de participer au processus d'élaboration des règles.