L'Artificial Intelligence Act (AI Act) est un règlement de l'Union européenne qui établit un cadre réglementaire et juridique commun pour l'intelligence artificielle au sein de l'UE. Il est entré en vigueur le 1er août 2024, avec des dispositions s'appliquant progressivement au cours des 6 à 36 mois suivants. Le règlement couvre la plupart des systèmes d'IA dans un large éventail de secteurs, avec des exemptions pour l'IA utilisée uniquement à des fins militaires, de sécurité nationale, de recherche ou pour un usage non professionnel. En tant que forme de réglementation des produits, il ne crée pas de droits individuels ; il impose plutôt des obligations aux fournisseurs d'IA et aux organisations qui utilisent l'IA dans un contexte professionnel.
Le règlement classe les applications d'IA non exemptées selon leur risque de causer des dommages, créant quatre niveaux - inacceptable, élevé, limité et minimal - ainsi qu'une catégorie supplémentaire pour l'IA à usage général. Ce schéma fondé sur les risques suit un modèle de sécurité des produits dans lequel les obligations réglementaires sont assignées aux fournisseurs et aux déployeurs de systèmes d'IA, les obligations devenant plus exigeantes à mesure que l'impact potentiel sur la santé, la sécurité ou les droits fondamentaux augmente. La structure vise à concentrer la surveillance sur les systèmes susceptibles de créer des risques significatifs tout en permettant des approches plus légères pour les usages moins sensibles.
Historique législatif
La Commission européenne a proposé l'AI Act le 21 avril 2021. Le Parlement européen l'a adopté le 13 mars 2024, et le Conseil de l'UE l'a approuvé à l'unanimité le 21 mai 2024. Au cours du processus législatif, le projet a été révisé pour répondre à la montée en popularité des systèmes d'IA générative, tels que ChatGPT, dont les capacités à usage général ne correspondaient pas au cadre principal. Cette révision a ajouté la catégorie de l'IA à usage général en 2023, couvrant les modèles de fondation capables d'effectuer un large éventail de tâches.
Le règlement crée également un Bureau européen de l'intelligence artificielle pour promouvoir la coopération nationale et garantir la conformité. Comme le Règlement général sur la protection des données de l'UE, le règlement peut s'appliquer de manière extraterritoriale aux fournisseurs situés hors de l'UE s'ils ont des utilisateurs au sein de l'UE.
Catégories de risque
Risque inacceptable
Les applications d'IA dans cette catégorie sont interdites, sauf exemptions spécifiques. Lorsqu'aucune exemption ne s'applique, cela inclut les applications d'IA qui manipulent le comportement humain, celles qui utilisent l'identification biométrique à distance en temps réel (telle que la reconnaissance faciale) dans les espaces publics, et celles utilisées pour la notation sociale - classant les individus en fonction de caractéristiques personnelles, du statut socio-économique ou du comportement.
Risque élevé
Les applications à risque élevé sont celles susceptibles de représenter des menaces significatives pour la santé, la sécurité ou les droits fondamentaux des personnes. Notamment, les systèmes d'IA utilisés dans la santé, l'éducation, le recrutement, la gestion des infrastructures critiques, l'application de la loi ou la justice entrent dans cette catégorie. Ces systèmes sont soumis à des obligations de qualité, de transparence, de surveillance humaine et de sécurité. Dans certains cas, ils nécessitent une évaluation d'impact relative aux droits fondamentaux (EIRF) avant le déploiement - un examen ex ante pour identifier et atténuer les impacts potentiels sur les droits fondamentaux. Ils doivent être évalués à la fois avant leur mise sur le marché et tout au long de leur cycle de vie. La liste des applications à risque élevé peut être élargie au fil du temps sans modifier l'AI Act lui-même. Les citoyens ont le droit de soumettre des plaintes concernant les systèmes d'IA et de recevoir des explications sur les décisions prises par une IA à risque élevé qui affectent leurs droits.
Risque limité
Les systèmes d'IA à risque limité ont des obligations de transparence, garantissant que les utilisateurs sont informés qu'ils interagissent avec un système d'IA et leur permettant de faire des choix éclairés. Cette catégorie inclut les applications d'IA qui génèrent ou manipulent des images, des sons ou des vidéos, telles que les deepfakes.
Risque minimal
Les applications à risque minimal incluent les systèmes d'IA utilisés pour les jeux vidéo ou les filtres anti-spam. La plupart des applications d'IA devraient entrer dans cette catégorie. Ces systèmes ne sont pas réglementés, et les États membres ne peuvent pas imposer de réglementations supplémentaires en raison des règles d'harmonisation maximale. Les lois nationales existantes concernant la conception ou l'utilisation de tels systèmes sont supplantées. Cependant, un code de conduite volontaire est suggéré.
IA à usage général
La catégorie de l'IA à usage général, ajoutée en 2023, inclut les modèles de fondation capables d'effectuer un large éventail de tâches. Si les poids et la conception d'un modèle sont rendus open source, les développeurs doivent publier un résumé des données d'entraînement et une politique de droits d'auteur. Les modèles à source fermée doivent satisfaire à des exigences de transparence plus larges. Les modèles à fort impact qui posent des risques systémiques - nécessitant plus de 1025 opérations en virgule flottante pour être entraînés - doivent faire l'objet d'une évaluation supplémentaire.
Au-delà des obligations de transparence de base, le règlement fixe une liste commune d'obligations pour les fournisseurs de modèles d'IA à usage général. Ils doivent publier un résumé des données d'entraînement, adopter une politique pour se conformer à la législation sur les droits d'auteur, et fournir une documentation technique aux fournisseurs en aval et aux autorités de surveillance. Les modèles désignés comme posant un risque systémique doivent également effectuer des évaluations de modèles et des tests contradictoires, évaluer et atténuer les risques tels que les biais et les défaillances de sécurité, signaler les incidents graves et garantir un niveau adéquat de cybersécurité.
Un code de pratique pour l'IA à usage général, publié le 10 juillet 2025, décrit trois chapitres principaux sur la transparence, les droits d'auteur et la sécurité, pour aider les fournisseurs à démontrer leur conformité. La participation au code est volontaire.
Exemptions
Les articles 2.3 et 2.6 exemptent les systèmes d'IA utilisés à des fins militaires ou de sécurité nationale, ou pour la recherche et le développement scientifique pur, de l'AI Act. Le règlement ne s'applique pas lorsque les systèmes d'IA sont utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale, ni aux systèmes développés et mis en service uniquement à ces fins.
Calendrier de mise en œuvre
Le règlement est entré en vigueur le 1er août 2024, avec des dispositions s'appliquant progressivement sur 6 à 36 mois. Cette approche échelonnée permet aux fournisseurs et aux déployeurs de s'adapter aux nouvelles obligations. Le Bureau européen de l'intelligence artificielle soutient la coopération nationale et une application cohérente dans tous les États membres.
Impact et interprétation
Certains juristes soutiennent qu'en pratique, le règlement cadre l'« IA digne de confiance » comme des systèmes capables de démontrer leur conformité aux seuils de sécurité et de risque. Selon une évaluation initiale du Service de recherche du Parlement européen, l'analyse d'impact de la Commission s'est appuyée sur des consultations des parties prenantes et un large éventail de recherches existantes pour comparer les options politiques du cadre fondé sur les risques. L'application extraterritoriale signifie que les fournisseurs non européens ayant des utilisateurs dans l'UE doivent également se conformer, similaire à la portée du Règlement général sur la protection des données.
Concepts connexes
L'approche fondée sur les risques de l'AI Act est liée à des développements plus larges dans la gouvernance de l'intelligence artificielle. Ses dispositions sur l'IA à usage général recoupent des technologies comme les grands modèles de langage et l'IA générative. Les exigences de transparence pour les deepfakes se connectent aux applications de apprentissage profond. L'accent du règlement sur les secteurs à risque élevé tels que la santé et l'application de la loi reflète des préoccupations également abordées par des organisations comme Google DeepMind et OpenAI dans leurs recherches sur la sécurité. L'évaluation d'impact relative aux droits fondamentaux s'appuie sur des travaux antérieurs en matière d'évaluations d'impact algorithmiques, similaires aux recherches d'institutions comme MIT CSAIL et Stanford AI Lab.