Les lignes directrices de la loi sur l'IA de l'UE sont des documents d'orientation officiels publiés par la Commission européenne pour aider les fournisseurs, les déployeurs et les autorités nationales à appliquer la loi sur l'intelligence artificielle (loi sur l'IA), le règlement complet de l'Union européenne sur l'intelligence artificielle. La loi sur l'IA elle-même est entrée en vigueur le 1er août 2024, avec des obligations mises en œuvre progressivement sur 6 à 36 mois. Les lignes directrices ne sont pas juridiquement contraignantes mais interprètent les dispositions du règlement, clarifient les classifications des risques et illustrent les voies de conformité pour les entreprises et les organismes publics opérant au sein de l'UE ou servant des utilisateurs de l'UE.
La loi sur l'IA établit un cadre réglementaire commun pour l'IA dans tous les États membres de l'UE, suivant un modèle de sécurité des produits qui attribue des devoirs aux fournisseurs d'IA et aux utilisateurs professionnels. Elle couvre la plupart des systèmes d'IA dans des secteurs tels que la santé, l'éducation, l'emploi et l'application de la loi, tout en exemptant les systèmes utilisés exclusivement à des fins militaires, de sécurité nationale, de recherche ou non professionnelles. En tant que forme de réglementation des produits, elle ne crée pas de droits individuels mais impose des obligations aux organisations. Le règlement peut s'appliquer de manière extraterritoriale aux fournisseurs hors de l'UE s'ils ont des utilisateurs au sein de l'UE, reflétant la portée du Règlement général sur la protection des données.
Contexte et historique législatif
La Commission européenne a proposé pour la première fois la loi sur l'IA le 21 avril 2021. Le projet a subi une révision significative après l'essor rapide des systèmes Generative AI tels que ChatGPT, dont les capacités à usage général ne correspondaient pas au cadre de risque initial. Le Parlement européen a adopté le texte révisé le 13 mars 2024, et le Conseil de l'UE l'a approuvé à l'unanimité le 21 mai 2024. Le règlement est entré en vigueur le 1er août 2024, avec des dispositions devenant applicables progressivement au cours des 6 à 36 mois suivants. Les lignes directrices ont été publiées par étapes à partir de 2025, commençant par des explications pratiques des catégories de risques et des obligations pour les systèmes à haut risque.
Les orientations de la Commission s'appuient sur une évaluation d'impact qui a tiré parti de consultations des parties prenantes et de recherches existantes. Le Service de recherche du Parlement européen a fourni une évaluation initiale des options politiques, notant le défi d'équilibrer l'innovation avec la protection des droits fondamentaux. Les lignes directrices visent à réduire l'incertitude pour les entreprises, en particulier les petites et moyennes entreprises, en offrant des exemples concrets et des instructions étape par étape pour les évaluations de conformité.
Cadre de classification des risques
Les lignes directrices détaillent les quatre niveaux de risque établis par la loi, plus une catégorie distincte pour l'IA à usage général. Les applications présentant des risques inacceptables sont interdites purement et simplement, avec des exemptions étroites. Cela inclut les systèmes d'IA qui manipulent le comportement humain, utilisent l'identification biométrique à distance en temps réel dans les espaces publics, ou permettent la notation sociale basée sur des caractéristiques personnelles ou le statut socio-économique.
Les applications à haut risque doivent se conformer aux obligations de sécurité, de transparence et de qualité, et subir des évaluations de conformité avant leur mise sur le marché. Les lignes directrices précisent que les catégories à haut risque incluent l'IA utilisée dans la santé, l'éducation, le recrutement, la gestion des infrastructures critiques, l'application de la loi et la justice. Les fournisseurs doivent mettre en œuvre une supervision humaine, maintenir une documentation technique et, dans certains cas, effectuer une évaluation d'impact relative aux droits fondamentaux (EIRF) avant le déploiement. Une EIRF est un examen ex ante visant à identifier et à atténuer les impacts potentiels sur les droits fondamentaux, s'appuyant sur des travaux antérieurs d'évaluation d'impact algorithmique qui suggéraient d'identifier les communautés affectées, de décrire les préjudices possibles et de permettre un examen public. La liste des applications à haut risque peut être élargie au fil du temps sans modifier la loi elle-même.
Les systèmes à risque limité ne portent que des obligations de transparence. Les utilisateurs doivent être informés lorsqu'ils interagissent avec un système d'IA, en particulier pour les applications qui génèrent ou manipulent des images, du son ou de la vidéo, comme les deepfakes. Les systèmes à risque minimal, y compris les jeux vidéo et les filtres anti-spam, ne sont pas réglementés, et les États membres ne peuvent pas imposer d'exigences supplémentaires en raison des règles d'harmonisation maximale. Les lignes directrices notent que la plupart des applications d'IA devraient relever de cette catégorie, avec un code de conduite volontaire encouragé.
Obligations relatives à l'IA à usage général
Les lignes directrices consacrent une attention substantielle à l'IA à usage général, une catégorie ajoutée en 2023 pour couvrir les modèles de fondation comme les grands modèles de langage capables d'effectuer une large gamme de tâches. Les fournisseurs de tels modèles doivent publier un résumé des données d'entraînement, adopter une politique de droits d'auteur et fournir une documentation technique aux fournisseurs en aval et aux autorités de surveillance. Les modèles open-source bénéficient d'exigences réduites, tandis que les modèles closed-source doivent répondre à des normes de transparence plus larges.
Les modèles à fort impact présentant des risques systémiques, définis comme ceux nécessitant plus de 1025 opérations en virgule flottante pour être entraînés, doivent subir des évaluations supplémentaires. Celles-ci incluent des évaluations de modèles, des tests contradictoires, une évaluation des risques de biais et de défaillances de sécurité, un signalement des incidents graves et des mesures de cybersécurité adéquates. Le Code de conduite sur l'IA à usage général, publié le 10 juillet 2025, décrit trois chapitres principaux sur la transparence, les droits d'auteur et la sécurité et la sûreté. La participation au code est volontaire, mais les lignes directrices clarifient que suivre le code peut aider à démontrer la conformité.
Évaluations de conformité et application
Les lignes directrices expliquent les procédures d'évaluation de conformité que les fournisseurs d'IA à haut risque doivent suivre. Ces évaluations vérifient que les systèmes répondent aux exigences de la loi en matière de gouvernance des données, de documentation technique, de traçabilité, de supervision humaine, de précision et de robustesse. Les fournisseurs doivent évaluer les systèmes avant leur mise sur le marché et tout au long de leur cycle de vie, les mises à jour déclenchant une réévaluation si nécessaire.
La loi crée un Bureau européen de l'intelligence artificielle pour promouvoir la coopération nationale et garantir une application cohérente dans tous les États membres. Les autorités nationales de surveillance sont responsables de la surveillance du marché, du traitement des plaintes et de l'imposition de sanctions en cas de non-conformité. Les citoyens ont le droit de soumettre des plaintes concernant les systèmes d'IA et de recevoir des explications sur les décisions prises par l'IA à haut risque qui affectent leurs droits. Les lignes directrices recommandent que les autorités se coordonnent par l'intermédiaire du Bureau pour éviter la fragmentation et garantir une application uniforme.
Orientations pratiques de mise en œuvre
Pour les organisations déployant l'IA, les lignes directrices offrent des étapes pratiques pour déterminer si leurs systèmes relèvent du champ d'application de la loi et quelle catégorie de risque s'applique. Elles conseillent de procéder à un dépistage préliminaire pour vérifier les exemptions, puis de cartographier les fonctions du système par rapport aux critères de risque. Pour les systèmes à haut risque, les fournisseurs doivent établir un système de gestion de la qualité, maintenir des journaux et garantir que des mécanismes de supervision humaine sont en place.
Les lignes directrices abordent également l'interaction entre la loi sur l'IA et d'autres législations de l'UE, en particulier le Règlement général sur la protection des données. Elles clarifient que la loi sur l'IA ne remplace pas les règles de protection des données mais les complète, avec des obligations qui se chevauchent pour les systèmes traitant des données personnelles. Les déployeurs doivent s'assurer que leur utilisation de l'IA est conforme aux deux cadres, et les lignes directrices fournissent des exemples de la manière de concilier les exigences dans la pratique.
Considérations spécifiques au secteur
Les lignes directrices incluent des annexes avec des exemples spécifiques au secteur, couvrant des domaines tels que la santé, l'éducation, le recrutement et l'application de la loi. Pour la santé, les systèmes d'IA utilisés pour le diagnostic ou les recommandations de traitement sont généralement à haut risque, nécessitant des tests rigoureux et une validation clinique. Dans l'éducation, les systèmes qui évaluent les performances des élèves ou déterminent l'accès aux opportunités éducatives relèvent des obligations à haut risque. Les outils de recrutement qui filtrent ou classent les candidats sont également à haut risque, avec des exigences de transparence et de non-discrimination.
Les applications d'application de la loi reçoivent une attention particulière, compte tenu de la nature sensible de leur utilisation. Les lignes directrices réitèrent l'interdiction de l'identification biométrique à distance en temps réel dans les espaces publics, avec des exceptions limitées pour certains crimes graves et avec une autorisation judiciaire préalable. Elles clarifient également que les systèmes d'IA utilisés pour la prédiction de crimes ou l'évaluation des risques doivent répondre aux obligations à haut risque, y compris la supervision humaine et les évaluations d'impact relatives aux droits fondamentaux.
Développements futurs et révisions
Les lignes directrices sont destinées à évoluer parallèlement à la technologie et à la mise en œuvre progressive de la loi. La Commission a indiqué qu'elle publiera des orientations supplémentaires à mesure que de nouvelles dispositions deviendront applicables, en particulier pour l'IA à usage général et les systèmes à haut risque. Le code de conduite volontaire pour les systèmes à risque minimal peut être mis à jour en fonction des retours des parties prenantes. Les lignes directrices notent également que la liste des applications à haut risque peut être élargie par le biais d'actes délégués, et la Commission surveillera les développements technologiques tels que les progrès en Machine learning et Deep learning pour déterminer si des ajustements réglementaires sont nécessaires.
En 2025, les lignes directrices restent un document vivant, la Commission encourageant les retours de l'industrie, de la société civile et des autorités nationales. L'objectif est de soutenir l'innovation tout en garantissant que les systèmes d'IA déployés dans l'UE respectent les droits fondamentaux et les normes de sécurité. Les fournisseurs hors de l'UE, y compris les grandes entreprises technologiques, doivent se familiariser avec ces lignes directrices s'ils offrent des services aux utilisateurs de l'UE, car la portée extraterritoriale de la loi s'applique à eux.