Le règlement européen sur l’intelligence artificielle (règlement UE sur l’IA) est une législation de l’Union européenne établissant un cadre réglementaire commun pour l’intelligence artificielle. Il est entré en vigueur le 1er août 2024, avec des dispositions déployées progressivement sur 6 à 36 mois. Le règlement classe les applications d’IA en catégories de risque : inacceptable, élevé, limité et minimal, plus une catégorie spécifique pour l’IA à usage général. Les applications jugées comme présentant des risques inacceptables sont interdites purement et simplement. Le règlement ne crée pas de droits individuels, mais impose des obligations aux fournisseurs et aux déployeurs professionnels ; il peut s’appliquer de manière extraterritoriale aux fournisseurs non européens dont les utilisateurs se trouvent dans l’UE.
L’interdiction des pratiques présentant un « risque inacceptable » est l’une des parties les plus importantes du règlement. Elle reflète un choix politique de tracer une ligne ferme contre certaines utilisations de l’IA qui pourraient nuire aux droits fondamentaux et aux valeurs démocratiques. Bien que le règlement permette une certaine flexibilité, ces interdictions sont absolues, sauf si une exemption spécifique s’applique, et la Commission européenne a fourni des orientations pour clarifier la portée des interdictions.
Pratiques interdites au titre des dispositions relatives aux interdictions
Les interdictions du règlement couvrent les systèmes d’IA qui exploitent les vulnérabilités, manipulent le comportement, permettent la notation sociale ou déploient certaines formes de surveillance biométrique. Plus précisément, les éléments suivants sont jugés inacceptables partout où ils se produisent dans l’UE, sous réserve d’exceptions étroites :
Manipulation comportementale et exploitation. Les systèmes d’IA qui utilisent des techniques subliminales, manipulatoires ou trompeuses conçues pour fausser le comportement d’une personne et causer un préjudice significatif sont interdits. Cela inclut l’exploitation des vulnérabilités des individus - telles que celles liées à l’âge, au handicap ou à la situation socio-économique - lorsque la pratique fausse matériellement le comportement et cause ou est susceptible de causer un préjudice à cette personne ou à une autre. Par exemple, un jouet qui utilise l’assistance vocale pour encourager un enfant à accomplir des actes dangereux est interdit.
Notation sociale. Le règlement interdit les systèmes d’IA qui évaluent ou classent les individus sur la base de leur comportement social dans différents contextes, lorsque le score social qui en résulte conduit à un traitement préjudiciable ou défavorable disproportionné par rapport aux données ou circonstances d’origine. L’interdiction vise la pratique consistant à attribuer des scores de crédit social aux citoyens par des acteurs publics ou privés, entraînant un traitement plus défavorable dans des contextes sans rapport avec les données initialement collectées.
Les interdictions sont conçues pour cibler les pratiques spécifiques considérées comme les plus nocives et pour aligner le droit européen sur les attentes du public et les obligations en matière de droits humains.
Surveillance biométrique en temps réel
Le règlement interdit les systèmes d’IA pour l’identification biométrique à distance en temps réel dans les espaces accessibles au public à des fins répressives, sauf dans des circonstances étroitement définies. Le temps réel fait référence au traitement qui se produit sans délai significatif. L’interdiction s’applique dans les espaces publics (par exemple, parcs, rues, stades et versions numériques de ces espaces). Elle vise particulièrement les technologies de reconnaissance faciale qui identifient les individus en temps réel à des fins de sécurité.
Cependant, certaines exceptions étroitement délimitées permettent aux forces de l’ordre de les utiliser si elles sont nécessaires à un objectif légitime spécifique ou à un intérêt vital. Cela inclut la sécurité nationale ou les cas identifiés dans le règlement :
- La recherche de personnes disparues spécifiques.
- La menace d’une attaque terroriste.
- La poursuite ou la détection de certains crimes graves, tels que le meurtre, les abus sexuels sur enfants et le viol - lorsque l’utilisation est jugée nécessaire et sous des garanties strictes.
Toutes ces utilisations doivent être autorisées par un tribunal administratif indépendant ou une autorité administrative. L’autorisation doit être fondée sur des preuves objectives et définir un objectif, limitant en fin de compte la portée pour éviter tout conflit avec le cadre juridique général. En pratique, ces exceptions permettront aux forces de l’ordre d’utiliser l’identification biométrique à distance dans des cas exceptionnels, à condition que les exigences de procédure régulière soient respectées.
Portée et exemptions
Plusieurs catégories sont entièrement hors du champ d’application du règlement sur l’IA, notamment les systèmes d’IA utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale, et ceux utilisés pour la recherche ou le développement scientifique pur, conformément à l’article 2.3. De plus, l’IA déployée pour un usage personnel non professionnel n’est pas concernée. L’interdiction ne s’applique pas à ces systèmes, mais elle ne dispense pas les organisateurs qui utilisent les systèmes interdits dans les zones de l’UE des protections constitutionnelles.
Calendrier de mise en œuvre et interdictions
L’interdiction des pratiques à risque inacceptable, définie à l’article 5, s’appliquera à partir du 2 février 2025. Cela a été fixé à 6 mois après l’entrée en vigueur le 1er août 2024. Le règlement a été proposé par la Commission européenne le 21 avril 2021, adopté par le Parlement européen le 13 mars 2024 et approuvé par le Conseil de l’UE le 21 mai 2024. Le texte final a été renforcé pour tenir compte de la montée de l’IA à usage général telle que les grands modèles de langage, et les interdictions ont été affinées en conséquence pour prendre en compte les utilisations manipulatoires et la reconnaissance émotionnelle.
La période de grâce a été conçue pour permettre aux fournisseurs de modifier leurs systèmes d’IA afin de se conformer aux nouvelles restrictions, et pour permettre aux autorités de se préparer. Depuis l’interdiction, les opérateurs économiques et les organismes publics ont dû auditer leurs systèmes d’IA pour s’assurer qu’ils ne reposent pas sur l’une des méthodes interdites ou ne tombent pas dans les catégories interdites.
Accessoirement, la Commission européenne a publié des orientations sur l’interprétation, mais celles-ci restent assez larges car le libellé est le produit d’un compromis politique. Certaines pratiques, comme l’utilisation d’une manipulation ciblant les personnes vulnérables, ne sont pas strictement interdites si le préjudice n’est pas garanti ou si l’intention n’est pas malveillante. De plus, l’interdiction du crédit social ne cible que les traitements les plus graves et discriminatoires, mais des conséquences moins sévères peuvent encore relever de la catégorie à haut risque ou d’autres obligations réglementaires.
Application et sanctions
Chaque État membre de l’UE désigne une autorité responsable de la surveillance du marché. Les autorités ont le pouvoir d’imposer des sanctions financières en cas de violation. En cas de pratiques interdites, les sanctions peuvent atteindre jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial de l’entreprise concernée, le montant le plus élevé étant retenu. Cela reflète l’approche du règlement général sur la protection des données (RGPD), et les autorités peuvent également émettre des mesures correctives, telles que l’interdiction du système d’IA spécifique sur le marché.
En raison de la portée extraterritoriale, les fournisseurs basés hors de l’UE doivent désigner un représentant autorisé au sein de l’UE auquel ils rendent compte. Ils peuvent toujours être tenus responsables s’ils mettent des systèmes sur le marché ou fournissent des services à des utilisateurs dans l’UE, même si l’entreprise opère depuis son siège social ailleurs.
Le comité européen de l’intelligence artificielle
Pour superviser l’ensemble du cadre réglementaire, le règlement établit un comité européen de l’intelligence artificielle, composé de 21 représentants, un de chaque État membre, plus le Contrôleur européen de la protection des données. Il coordonne les autorités nationales de surveillance et émet des orientations et des avis. En particulier, il facilitera une approche cohérente de l’***interprétation et de l’application de l’interdiction.
Le comité peut également jouer un rôle important dans les pratiques d’investigation qui ne sont pas explicitement listées comme interdites mais jugées inacceptables dans son évaluation, bien qu’il soit limité dans ses pouvoirs d’agir de sa propre initiative. Il supervise l’application pratique des restrictions.
Contexte plus large : le modèle de risque du règlement sur l’IA
Les pratiques interdites représentent le sommet de la pyramide des risques. Les applications d’IA à haut risque sont soumises à des obligations de conformité, et celles à risque limité doivent respecter la transparence des systèmes Generative AI (par exemple, les deepfakes) qui doivent être divulgués comme générés par l’IA. La liste des interdictions est étroitement ciblée sur les menaces réelles pour les individus et la société.
À noter, la catégorie des applications à haut risque inclut certaines « identifications biométriques », mais ce n’est pas ce qui est interdit. Les systèmes à haut risque doivent subir une évaluation de conformité, mais il s’agit d’une utilisation autorisée s’ils n’aident pas à appliquer la loi. Par exemple, un système d’IA qui fait correspondre des empreintes digitales dans une base de données criminelle ne présente pas un risque inacceptable, mais une identification biométrique à distance en temps réel dans un espace bondé l’est. C’est la priorité.
Le règlement sur l’IA, en tant que réglementation de produits, n’établit pas de droits d’action privés, mais il impose des devoirs aux déployeurs de systèmes. Il crée également un comité pour coordonner et fournir des conseils techniques pour la conformité. Certaines évaluations d’impact notent la nécessité de clarifier la ligne entre un système à haut risque interdit, en particulier pour les exceptions réelles. Et la Commission européenne a promis cette clarification potentielle.
Influence mondiale potentielle
L’interdiction de la notation sociale et de la surveillance biométrique - comme le Canada et d’autres juridictions ont cité le règlement sur l’IA comme modèle, et l’industrie technologique a été influencée dans une certaine mesure. En particulier, les interdictions d’identification biométrique dans les espaces publics reflètent un consensus selon lequel certaines utilisations ne peuvent pas être gérées par une approche basée sur le risque en raison de la sécurité et des droits fondamentaux.
Il reste à voir si les exceptions pour l’utilisation minimale de l’identification biométrique seront abusées. À court terme, les géants de la technologie comme OpenAI, Anthropic et Google DeepMind ont adapté leurs politiques pour refléter les restrictions, non comme des préventions légales. Cette interdiction a établi un précédent selon lequel certaines pratiques d’IA ne sont jamais acceptables dans une société démocratique.
Conclusion
Les pratiques interdites du règlement européen sur l’IA sont une caractéristique distinctive de la réglementation. Tracer une ligne rouge contre la manipulation coercitive, la notation sociale et la surveillance biométrique en temps réel marque une innovation juridique majeure, priorisant les droits fondamentaux lorsqu’ils entrent en conflit avec un progrès technologique non contraint. Depuis le début de 2025, les entreprises doivent auditer soigneusement leurs systèmes d’IA pour vérifier leur conformité, et le règlement sur l’IA déploie progressivement le reste de ses obligations, prévu pour une application au cours des deux prochaines années. L’activité du comité sera cruciale pour interpréter les limites exactes des pratiques interdites, et l’interdiction fera l’objet d’un examen continu. Tout changement dans la législation nécessiterait un amendement, mais l’UE n’a pas l’intention de réduire cette zone dans un avenir proche.
À chaque acte, les limites peuvent être ajustées, mais l’interdiction stricte des risques inacceptables restera le pilier du règlement sur l’IA et de la politique numérique de l’UE.