Les négociations sur la loi européenne sur l'IA étaient une série de réunions de trilogue tenues entre la Commission européenne, le Parlement européen et le Conseil de l'Union européenne pour finaliser le texte de la loi sur l'intelligence artificielle (AI Act). Les négociations ont abouti à un accord politique le 8 décembre 2023, après quoi la loi a été formellement adoptée par le Parlement le 13 mars 2024 et approuvée par le Conseil le 21 mai 2024. Le règlement est entré en vigueur le 1er août 2024, avec des dispositions mises en œuvre progressivement sur les 6 à 36 mois suivants.
La loi sur l'IA établit un cadre réglementaire et juridique commun pour intelligence artificielle au sein de l'UE. Elle couvre la plupart des systèmes d'IA dans un large éventail de secteurs, avec des exemptions pour l'IA utilisée uniquement à des fins militaires, de sécurité nationale, de recherche ou à des fins non professionnelles. En tant que forme de réglementation des produits, elle ne crée pas de droits individuels ; elle impose plutôt des obligations aux fournisseurs d'IA et aux organisations qui utilisent l'IA dans un contexte professionnel.
Contexte et proposition
La Commission européenne a proposé la loi sur l'IA le 21 avril 2021. Le projet initial se concentrait sur un cadre fondé sur les risques pour les applications d'IA, s'appuyant sur des travaux antérieurs en matière d'éthique de l'IA et de réglementation de la sécurité des produits. La proposition a fait l'objet d'un examen et d'amendements approfondis au cours du processus législatif.
L'essor des systèmes d'IA générative, tels que ChatGPT d'OpenAI, a posé un défi au cadre initial. Ces modèles polyvalents pouvaient effectuer un large éventail de tâches, ne s'intégrant pas facilement dans les catégories de risques prédéfinies. Le projet de loi a été révisé pour y remédier, en ajoutant une catégorie spécifique pour l'IA à usage général.
Négociations en trilogue
Les négociations en trilogue sont des réunions tripartites informelles entre des représentants du Parlement européen, du Conseil et de la Commission européenne pour concilier leurs positions divergentes sur une proposition législative. Pour la loi sur l'IA, ces négociations ont commencé après que le Parlement a adopté sa position de négociation en juin 2023 et que le Conseil a convenu de son approche générale en décembre 2022.
Les trilogues ont abordé plusieurs questions controversées, notamment la définition de l'IA à haut risque, le traitement des modèles de fondation et l'utilisation de l'identification biométrique à distance en temps réel dans les espaces publics. Le Parlement a poussé pour des règles plus strictes sur la surveillance biométrique et des obligations plus robustes pour l'IA à usage général, tandis que le Conseil cherchait à équilibrer l'innovation avec la protection des consommateurs.
Un projet précédent a été rejeté par le Parlement lors d'un vote en commission, conduisant à un mandat révisé. L'accord politique final a été conclu le 8 décembre 2023, après des négociations marathon qui se sont prolongées jusqu'au petit matin.
Principaux résultats
Le texte final de la loi sur l'IA a introduit une classification des risques à quatre niveaux : risque inacceptable, élevé, limité et minimal. Les applications présentant des risques inacceptables sont interdites, sauf exemptions spécifiques. Les applications à haut risque doivent se conformer aux obligations de sécurité, de transparence et de qualité, et subir des évaluations de conformité. Les applications à risque limité ont des obligations de transparence, tandis que les applications à risque minimal ne sont pas réglementées.
Une nouvelle catégorie pour l'IA à usage général a été ajoutée en 2023. Cela inclut les modèles de fondation capables d'effectuer un large éventail de tâches. Si les poids et la conception d'un modèle sont rendus open source, les développeurs doivent publier un résumé des données d'entraînement et une politique de droits d'auteur ; les modèles à code source fermé doivent respecter des exigences de transparence plus larges. Les modèles à fort impact qui présentent des risques systémiques (nécessitant plus de 10^25 opérations en virgule flottante pour l'entraînement) doivent subir une évaluation supplémentaire.
La loi a également créé le Conseil européen de l'intelligence artificielle pour promouvoir la coopération nationale et garantir la conformité. Comme le Règlement général sur la protection des données de l'UE, la loi peut s'appliquer extraterritorialement aux fournisseurs situés en dehors de l'UE s'ils ont des utilisateurs au sein de l'UE.
Catégories de risques en détail
Le risque inacceptable inclut les applications d'IA qui manipulent le comportement humain, utilisent l'identification biométrique à distance en temps réel (comme la reconnaissance faciale) dans les espaces publics, ou sont utilisées pour la notation sociale. Ces applications sont interdites, avec des exemptions étroites.
Les applications à haut risque incluent les systèmes d'IA utilisés dans la santé, l'éducation, le recrutement, la gestion des infrastructures critiques, l'application de la loi ou la justice. Ils sont soumis à des obligations de qualité, de transparence, de surveillance humaine et de sécurité. Certains nécessitent une évaluation d'impact sur les droits fondamentaux (FRIA) avant le déploiement. Les citoyens ont le droit de soumettre des plaintes et de recevoir des explications sur les décisions prises par une IA à haut risque qui affectent leurs droits.
Le risque limité inclut les systèmes d'IA qui génèrent ou manipulent des images, des sons ou des vidéos (comme les deepfakes), qui doivent informer les utilisateurs qu'ils interagissent avec une IA. Le risque minimal inclut les jeux vidéo et les filtres anti-spam, qui ne sont pas réglementés, et les États membres ne peuvent pas imposer de réglementations supplémentaires en raison des règles d'harmonisation maximale.
Obligations de l'IA à usage général
Les fournisseurs de modèles d'IA à usage général doivent publier un résumé des données d'entraînement, adopter une politique pour se conformer à la législation sur les droits d'auteur, et fournir une documentation technique aux fournisseurs en aval et aux autorités de surveillance. Les modèles désignés comme présentant un risque systémique doivent également effectuer des évaluations de modèles et des tests contradictoires, évaluer et atténuer les risques tels que les biais et les défaillances de sécurité, signaler les incidents graves et garantir une cybersécurité adéquate.
Un code de conduite pour l'IA à usage général, publié le 10 juillet 2025, décrit trois chapitres principaux sur la transparence, les droits d'auteur et la sécurité pour aider les fournisseurs à démontrer leur conformité. La participation au code est volontaire.
Exemptions et extraterritorialité
Les articles 2.3 et 2.6 exemptent les systèmes d'IA utilisés à des fins militaires ou de sécurité nationale ou pour la recherche et le développement scientifiques purs de la loi sur l'IA. Le règlement ne s'applique pas lorsque les systèmes d'IA sont utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale, ni aux systèmes développés et mis en service uniquement pour ces raisons.
La loi peut s'appliquer aux fournisseurs situés en dehors de l'UE s'ils ont des utilisateurs au sein de l'UE, similaire à la portée extraterritoriale du RGPD. Cela signifie que les entreprises basées aux États-Unis, en Chine ou ailleurs doivent se conformer lorsqu'elles offrent des services d'IA aux résidents de l'UE.
Calendrier de mise en œuvre
La loi sur l'IA est entrée en vigueur le 1er août 2024. Les dispositions entreront en opération progressivement sur les 6 à 36 mois suivants. Les premières étapes comprenaient les interdictions sur les applications d'IA à risque inacceptable, qui ont pris effet en février 2025. Les obligations pour les modèles d'IA à usage général devraient s'appliquer à partir d'août 2025, avec une application complète des règles à haut risque d'ici 2027.
Importance
La loi sur l'IA représente le premier cadre juridique complet pour l'IA au monde. Elle a influencé les discussions politiques dans d'autres juridictions, y compris les États-Unis et la Chine. Les négociations ont démontré l'approche de l'UE pour réglementer les technologies émergentes à travers un modèle fondé sur les risques et la sécurité des produits, équilibrant l'innovation avec la protection des droits fondamentaux.
Le succès de la loi dépendra de la mise en œuvre et de l'application par les autorités nationales et le Conseil européen de l'intelligence artificielle. En 2025, de nombreuses normes techniques et documents d'orientation sont encore en cours d'élaboration pour soutenir la conformité.