La loi sur l'intelligence artificielle (AI Act) est un règlement de l'Union européenne qui établit un cadre réglementaire et juridique commun pour l'intelligence artificielle au sein de l'UE. Elle est entrée en vigueur le 1er août 2024, avec des dispositions mises en œuvre progressivement sur les 6 à 36 mois suivants. La loi couvre la plupart des systèmes d'IA dans un large éventail de secteurs, avec des exemptions pour l'IA utilisée uniquement à des fins militaires, de sécurité nationale, de recherche ou pour un usage non professionnel. En tant que forme de réglementation des produits, elle ne crée pas de droits individuels ; elle impose plutôt des obligations aux fournisseurs d'IA et aux organisations qui utilisent l'IA dans un contexte professionnel.
La loi classe les applications d'IA non exemptées selon leur risque de causer des dommages, avec quatre niveaux - inacceptable, élevé, limité et minimal - plus une catégorie supplémentaire pour l'IA à usage général. La catégorie d'IA à usage général a été ajoutée en 2023 pour répondre à l'essor des systèmes d'IA générative tels que ChatGPT, dont les capacités étendues ne correspondaient pas au cadre principal. Proposée par la Commission européenne le 21 avril 2021, la loi a été adoptée par le Parlement européen le 13 mars 2024 et approuvée à l'unanimité par le Conseil de l'UE le 21 mai 2024.
Catégories de risque
Le schéma basé sur le risque de la loi suit un modèle de sécurité des produits dans lequel les obligations réglementaires sont assignées aux fournisseurs et aux déployeurs de systèmes d'IA, devenant plus exigeantes à mesure que l'impact potentiel sur la santé, la sécurité ou les droits fondamentaux augmente. Les applications présentant des risques inacceptables sont interdites, sauf exemptions spécifiques. Cela inclut l'IA qui manipule le comportement humain, l'identification biométrique à distance en temps réel dans les espaces publics et la notation sociale. Les applications à haut risque doivent se conformer aux obligations de sécurité, de transparence et de qualité, et subir des évaluations de conformité. Les applications à risque limité n'ont que des obligations de transparence, tandis que les applications à risque minimal ne sont pas réglementées.
Obligations pour l'IA à usage général
Pour les modèles d'IA à usage général, la loi impose des exigences de transparence, avec des exigences réduites pour les modèles open source et des évaluations supplémentaires pour les modèles à haute capacité. Les fournisseurs doivent publier un résumé des données d'entraînement, adopter une politique de conformité au droit d'auteur et fournir une documentation technique aux fournisseurs en aval et aux autorités de surveillance. Si les poids et la conception d'un modèle sont rendus open source, les développeurs doivent publier un résumé des données d'entraînement et une politique de droit d'auteur ; les modèles à code source fermé doivent satisfaire à des exigences de transparence plus larges.
Modèles à risque systémique
Les modèles à fort impact qui posent des risques systémiques - définis comme nécessitant plus de 10^25 opérations en virgule flottante pour être entraînés - doivent subir une évaluation supplémentaire. Ces modèles doivent effectuer des évaluations de modèles et des tests contradictoires, évaluer et atténuer les risques tels que les biais et les défaillances de sécurité, signaler les incidents graves et garantir un niveau adéquat de cybersécurité. Le seuil vise à capturer les grands modèles de langage les plus puissants et d'autres modèles de fondation qui pourraient avoir un impact sociétal généralisé.
Code de conduite
Un code de conduite pour l'IA à usage général, publié le 10 juillet 2025, décrit trois chapitres principaux sur la transparence, le droit d'auteur et la sécurité et la sûreté pour aider les fournisseurs à démontrer leur conformité avec la loi sur l'IA. La participation au code est volontaire. Le code fournit des conseils pratiques aux fournisseurs, en particulier aux petites entreprises et aux développeurs open source, sur la manière de satisfaire à leurs obligations en vertu du règlement.
Exemptions
Les articles 2.3 et 2.6 exemptent les systèmes d'IA utilisés à des fins militaires ou de sécurité nationale ou pour la recherche et le développement scientifiques purs de la loi sur l'IA. Le règlement ne s'applique pas lorsque les systèmes d'IA sont utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale, ni aux systèmes développés et mis en service uniquement à ces fins. L'usage non professionnel et les fins de recherche sont également exclus du champ d'application.
Application et gouvernance
La loi crée un Conseil européen de l'intelligence artificielle pour promouvoir la coopération nationale et garantir le respect du règlement. Comme le Règlement général sur la protection des données de l'UE, la loi peut s'appliquer de manière extraterritoriale aux fournisseurs hors de l'UE s'ils ont des utilisateurs dans l'UE. Cela signifie que des entreprises telles que OpenAI, Anthropic et Google DeepMind doivent se conformer aux exigences de la loi pour les modèles proposés aux utilisateurs de l'UE, quel que soit le lieu où le fournisseur est établi.
Calendrier de mise en œuvre
Le règlement est entré en vigueur le 1er août 2024, avec des dispositions introduites progressivement sur 6 à 36 mois. La mise en œuvre graduelle permet aux fournisseurs de disposer de temps pour adapter leurs systèmes et leur documentation. L'approche basée sur le risque de la loi signifie que la plupart des applications d'IA, telles que les jeux vidéo ou les filtres anti-spam, relèvent de la catégorie à risque minimal et restent non réglementées, tandis que les applications à haut risque sont soumises aux exigences les plus strictes.
Relation avec le droit existant
Les États membres ne peuvent pas imposer de réglementations supplémentaires sur les systèmes d'IA à risque minimal en raison des règles d'harmonisation maximale, et les lois nationales existantes concernant la conception ou l'utilisation de tels systèmes sont remplacées. Cependant, un code de conduite volontaire est suggéré pour les applications à risque minimal. La structure de la loi vise à garantir que la surveillance se concentre sur les systèmes susceptibles de créer des risques significatifs tout en permettant des approches plus légères pour les usages considérés comme moins sensibles. Les citoyens ont le droit de soumettre des plaintes concernant les systèmes d'IA et de recevoir des explications sur les décisions prises par l'IA à haut risque qui affectent leurs droits.
Contexte plus large
La loi sur l'IA représente un développement réglementaire significatif pour le domaine de l'intelligence artificielle, affectant la manière dont les modèles de apprentissage automatique sont développés et déployés dans l'UE. Les dispositions sur l'IA à usage général ciblent spécifiquement les systèmes de IA générative construits sur des architectures de transformeurs, qui sont devenus répandus depuis l'introduction de modèles comme ChatGPT. La portée extraterritoriale de la loi signifie que son influence s'étend au-delà des frontières de l'UE, façonnant potentiellement les normes mondiales pour la gouvernance de l'IA et les pratiques de sécurité des modèles.