La loi sur l'intelligence artificielle (AI Act) est un règlement de l'Union européenne qui établit un cadre réglementaire et juridique commun pour l'intelligence artificielle (IA) au sein de l'UE. Elle est entrée en vigueur le 1er août 2024, avec des dispositions devenant applicables progressivement au cours des 6 à 36 mois suivants. La loi classe les applications d'IA non exemptées selon leur risque de causer des dommages, avec quatre niveaux – inacceptable, élevé, limité et minimal – plus une catégorie supplémentaire pour l'IA à usage général. Elle couvre la plupart des systèmes d'IA dans un large éventail de secteurs, avec des exemptions pour l'IA utilisée uniquement à des fins militaires, de sécurité nationale, de recherche ou pour un usage non professionnel. En tant que forme de réglementation des produits, elle ne crée pas de droits individuels ; elle impose plutôt des obligations aux fournisseurs d'IA et aux organisations qui utilisent l'IA dans un contexte professionnel.
La loi a été proposée par la Commission européenne le 21 avril 2021, adoptée par le Parlement européen le 13 mars 2024 et approuvée à l'unanimité par le Conseil de l'UE le 21 mai 2024. Le projet a été révisé pour répondre à l'essor des systèmes d'IA générative, tels que ChatGPT, dont les capacités à usage général ne correspondaient pas au cadre principal. La loi crée également un Conseil européen de l'intelligence artificielle pour promouvoir la coopération nationale et garantir la conformité. Comme le Règlement général sur la protection des données de l'UE, la loi peut s'appliquer de manière extraterritoriale aux fournisseurs situés hors de l'UE s'ils ont des utilisateurs au sein de l'UE.
Catégories de risque
Le schéma fondé sur le risque suit un modèle de sécurité des produits dans lequel les obligations réglementaires sont assignées aux fournisseurs et aux déployeurs de systèmes d'IA, et ces obligations deviennent plus exigeantes à mesure que l'impact potentiel sur la santé, la sécurité ou les droits fondamentaux augmente. Cette structure garantit que la surveillance se concentre sur les systèmes susceptibles de créer des risques significatifs tout en permettant des approches plus légères pour les utilisations moins sensibles. Selon une évaluation initiale du Service de recherche du Parlement européen, l'analyse d'impact de la Commission s'est appuyée sur des consultations des parties prenantes et un large éventail de recherches existantes lors de la comparaison des options politiques.
Risque inacceptable
Les applications d'IA dans cette catégorie sont interdites, sauf exemptions spécifiques. Lorsqu'aucune exemption ne s'applique, cela inclut les applications d'IA qui manipulent le comportement humain, celles qui utilisent l'identification biométrique à distance en temps réel (telle que la reconnaissance faciale) dans les espaces publics, et celles utilisées pour la notation sociale (classement des individus en fonction de caractéristiques personnelles, de leur statut socio-économique ou de leur comportement).
Risque élevé
Les applications à risque élevé sont celles susceptibles de poser des menaces significatives pour la santé, la sécurité ou les droits fondamentaux des personnes. Notamment, les systèmes d'IA utilisés dans la santé, l'éducation, le recrutement, la gestion des infrastructures critiques, l'application de la loi ou la justice relèvent de cette catégorie. Ils sont soumis à des obligations de qualité, de transparence, de surveillance humaine et de sécurité, et dans certains cas, nécessitent une évaluation d'impact sur les droits fondamentaux (FRIA) avant le déploiement. Une FRIA est un examen ex ante visant à identifier et atténuer les impacts potentiels sur les droits fondamentaux. Des travaux antérieurs sur les évaluations d'impact algorithmiques ont suggéré que de tels outils devraient identifier quels individus et communautés sont affectés par un système automatisé, décrire les préjudices possibles et fournir une base pour un examen public et institutionnel. Les systèmes à risque élevé doivent être évalués à la fois avant leur mise sur le marché et tout au long de leur cycle de vie. La liste des applications à risque élevé peut être élargie au fil du temps sans modifier la loi sur l'IA elle-même. Les citoyens ont le droit de soumettre des plaintes concernant les systèmes d'IA et de recevoir des explications sur les décisions prises par une IA à risque élevé qui affectent leurs droits.
Risque limité
Les systèmes d'IA à risque limité ont des obligations de transparence, garantissant que les utilisateurs sont informés qu'ils interagissent avec un système d'IA et leur permettant de faire des choix éclairés. Cette catégorie inclut, par exemple, les applications d'IA qui génèrent ou manipulent des images, des sons ou des vidéos (comme les deepfakes).
Risque minimal
Les systèmes à risque minimal incluent l'IA utilisée pour les jeux vidéo ou les filtres anti-spam. La plupart des applications d'IA devraient relever de cette catégorie. Ces systèmes ne sont pas réglementés, et les États membres ne peuvent pas imposer de réglementations supplémentaires en raison des règles d'harmonisation maximale. Les lois nationales existantes concernant la conception ou l'utilisation de tels systèmes sont supplantées. Cependant, un code de conduite volontaire est suggéré.
IA à usage général
Ajoutée en 2023, la catégorie d'IA à usage général inclut les modèles de fondation (par exemple, les modèles d'IA générative) capables d'effectuer un large éventail de tâches. Si les poids et la conception d'un modèle sont rendus open source, les développeurs doivent publier un résumé des données d'entraînement et une politique de droits d'auteur ; les modèles à code source fermé doivent satisfaire à des exigences de transparence plus étendues. Les modèles à fort impact posant des risques systémiques (nécessitant plus de 10^25 opérations en virgule flottante pour l'entraînement) doivent faire l'objet d'une évaluation supplémentaire. Un code de pratique sur l'IA à usage général, publié le 10 juillet 2025, décrit trois chapitres principaux sur la transparence, les droits d'auteur et la sécurité et la sûreté pour aider les fournisseurs à démontrer leur conformité. La participation au code est volontaire.
Au-delà des obligations de transparence de base, la loi établit une liste commune d'obligations pour les fournisseurs de modèles d'IA à usage général. Ils doivent publier un résumé des données d'entraînement, adopter une politique pour se conformer à la législation sur les droits d'auteur et fournir une documentation technique aux fournisseurs en aval et aux autorités de surveillance. Les modèles désignés comme posant un risque systémique doivent également effectuer des évaluations de modèles et des tests contradictoires, évaluer et atténuer les risques tels que les biais et les défaillances de sécurité, signaler les incidents graves et garantir un niveau adéquat de cybersécurité.
Exemptions
Les articles 2.3 et 2.6 exemptent les systèmes d'IA utilisés à des fins militaires ou de sécurité nationale ou pour la recherche et le développement scientifiques purs de la loi sur l'IA. En particulier, le règlement ne s'applique pas lorsque les systèmes d'IA sont utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale, ni aux systèmes développés et mis en service uniquement pour la recherche scientifique. De plus, l'IA utilisée pour des activités personnelles non professionnelles est exemptée.
Calendrier de mise en œuvre
La loi sur l'IA est entrée en vigueur le 1er août 2024, mais ses dispositions s'appliquent par phases. Les interdictions sur les systèmes à risque inacceptable sont devenues applicables six mois plus tard, vers février 2025. Les obligations pour les modèles d'IA à usage général s'appliquent à partir d'août 2025, et la plupart des exigences pour les systèmes à risque élevé s'appliquent à partir d'août 2026, certaines dispositions s'étendant jusqu'en 2027. Cette approche progressive laisse aux fournisseurs et aux déployeurs le temps de s'adapter.
Application et gouvernance
La loi établit le Conseil européen de l'intelligence artificielle, composé de représentants des États membres et de la Commission, pour faciliter une application cohérente et la coopération. Les autorités nationales de surveillance sont responsables de l'application du règlement, avec des pénalités en cas de non-conformité. La loi peut s'appliquer de manière extraterritoriale aux fournisseurs situés hors de l'UE si leurs systèmes d'IA sont utilisés au sein de l'UE, de manière similaire au RGPD. Cela garantit que le cadre fondé sur le risque a une portée mondiale pour les produits et services d'IA ciblant les utilisateurs de l'UE.
Impact et critiques
Des juristes ont noté que la loi définit l'« IA digne de confiance » comme des systèmes capables de démontrer leur conformité aux seuils de sécurité et de risque. L'approche fondée sur le risque a été saluée pour se concentrer sur les applications à fort impact, mais certains critiques soutiennent que la classification des systèmes à risque élevé peut être trop large ou que les exemptions pour les usages militaires et de recherche pourraient créer des lacunes. D'autres soulignent le défi de suivre le rythme des développements rapides en apprentissage automatique et en apprentissage profond, en particulier à mesure que les capacités de l'IA évoluent. L'accent mis par la loi sur la transparence et la surveillance humaine est considéré comme un modèle pour d'autres juridictions, bien que son efficacité reste à démontrer à mesure que la mise en œuvre se déroule.
Références
- Proposition de la Commission européenne, 21 avril 2021
- Adoption par le Parlement européen, 13 mars 2024
- Approbation du Conseil de l'UE, 21 mai 2024
- Entrée en vigueur, 1er août 2024
- Code de pratique sur l'IA à usage général, 10 juillet 2025