L'Artificial Intelligence Act (AI Act) est un règlement de l'Union européenne qui établit un cadre réglementaire et juridique commun pour l'intelligence artificielle (IA) au sein de l'UE. Il est entré en vigueur le 1er août 2024, avec des dispositions s'appliquant progressivement au cours des 6 à 36 mois suivants. Le règlement couvre la plupart des systèmes d'IA dans un large éventail de secteurs, avec des exemptions pour l'IA utilisée uniquement à des fins militaires, de sécurité nationale, de recherche ou pour un usage non professionnel. En tant que forme de réglementation des produits, il ne crée pas de droits individuels ; il impose plutôt des obligations aux fournisseurs d'IA et aux organisations qui utilisent l'IA dans un contexte professionnel.
Le règlement classe les applications d'IA non exemptées selon leur risque de causer des dommages, avec quatre niveaux – inacceptable, élevé, limité, minimal – plus une catégorie supplémentaire pour l'IA à usage général. Les applications présentant des risques inacceptables sont interdites ; les applications à haut risque doivent se conformer aux obligations de sécurité, de transparence et de qualité et subir des évaluations de conformité ; les applications à risque limité n'ont que des obligations de transparence ; les applications à risque minimal ne sont pas réglementées. Pour l'IA à usage général, des exigences de transparence sont imposées, avec des exigences réduites pour les modèles open source, et des évaluations supplémentaires pour les modèles à haute capacité. Le règlement crée également un Conseil européen de l'intelligence artificielle pour promouvoir la coopération nationale et garantir la conformité. Comme le Règlement général sur la protection des données de l'UE, le règlement peut s'appliquer de manière extraterritoriale aux fournisseurs extérieurs à l'UE s'ils ont des utilisateurs au sein de l'UE.
Historique législatif
La Commission européenne a proposé l'AI Act le 21 avril 2021. Le projet a été révisé pour répondre à la montée en popularité des systèmes d'IA générative, tels que ChatGPT, dont les capacités à usage général ne correspondaient pas au cadre principal. Le Parlement européen a adopté le règlement le 13 mars 2024, et le Conseil de l'UE l'a approuvé à l'unanimité le 21 mai 2024. Le texte final a été publié au Journal officiel de l'UE, et le règlement est entré en vigueur le 1er août 2024. La mise en œuvre progressive signifie que certaines dispositions, comme les interdictions des systèmes à risque inacceptable, s'appliquent plus tôt, tandis que d'autres, comme les obligations pour les systèmes à haut risque, s'appliquent plus tard.
Catégories de risque
L'AI Act établit un schéma basé sur le risque suivant un modèle de sécurité des produits. Les obligations réglementaires sont assignées aux fournisseurs et aux déployeurs de systèmes d'IA, et ces obligations deviennent plus exigeantes à mesure que l'impact potentiel sur la santé, la sécurité ou les droits fondamentaux augmente. Cette structure garantit que la surveillance se concentre sur les systèmes susceptibles de créer des risques significatifs tout en permettant des approches plus légères pour les usages considérés comme moins sensibles. Certains juristes soutiennent qu'en pratique, le règlement encadre l'« IA digne de confiance » comme des systèmes capables de démontrer leur conformité à ces seuils de sécurité et de risque. Selon une évaluation initiale du Service de recherche du Parlement européen, l'analyse d'impact de la Commission s'est appuyée sur des consultations des parties prenantes et un large éventail de recherches existantes pour comparer les options politiques de ce cadre basé sur le risque.
Risque inacceptable
Les applications d'IA dans cette catégorie sont interdites, sauf exemptions spécifiques. Lorsqu'aucune exemption ne s'applique, cela inclut les applications d'IA qui manipulent le comportement humain, celles qui utilisent l'identification biométrique à distance en temps réel (comme la reconnaissance faciale) dans les espaces publics, et celles utilisées pour la notation sociale (classement des individus en fonction de leurs caractéristiques personnelles, de leur statut socio-économique ou de leur comportement).
Risque élevé
Les applications d'IA susceptibles de présenter des menaces significatives pour la santé, la sécurité ou les droits fondamentaux des personnes entrent dans cette catégorie. Notamment, les systèmes d'IA utilisés dans la santé, l'éducation, le recrutement, la gestion des infrastructures critiques, l'application de la loi ou la justice sont inclus. Ils sont soumis à des obligations de qualité, de transparence, de surveillance humaine et de sécurité, et dans certains cas, nécessitent une évaluation d'impact sur les droits fondamentaux avant le déploiement. Une évaluation d'impact sur les droits fondamentaux (FRIA) est un examen ex ante visant à identifier et à atténuer les impacts potentiels sur les droits fondamentaux avant le déploiement d'un système d'IA. Des travaux antérieurs sur les évaluations d'impact algorithmiques ont suggéré que de tels outils devraient identifier quels individus et communautés sont affectés par un système automatisé, décrire les préjudices possibles et fournir une base pour un examen public et institutionnel de son utilisation. Les systèmes à haut risque doivent être évalués à la fois avant leur mise sur le marché et tout au long de leur cycle de vie. La liste des applications à haut risque peut être élargie au fil du temps sans modifier l'AI Act lui-même. Les citoyens ont également le droit de soumettre des plaintes concernant les systèmes d'IA et de recevoir des explications sur les décisions prises par l'IA à haut risque qui affectent leurs droits.
Risque limité
Les systèmes d'IA dans cette catégorie ont des obligations de transparence, garantissant que les utilisateurs sont informés qu'ils interagissent avec un système d'IA et leur permettant de faire des choix éclairés. Cette catégorie inclut, par exemple, les applications d'IA qui permettent de générer ou de manipuler des images, des sons ou des vidéos (comme les deepfakes).
Risque minimal
Cette catégorie inclut, par exemple, les systèmes d'IA utilisés pour les jeux vidéo ou les filtres anti-spam. La plupart des applications d'IA devraient entrer dans cette catégorie. Ces systèmes ne sont pas réglementés, et les États membres ne peuvent pas imposer de réglementations supplémentaires en raison des règles d'harmonisation maximale. Les lois nationales existantes concernant la conception ou l'utilisation de tels systèmes sont supplantées. Cependant, un code de conduite volontaire est suggéré.
IA à usage général
Ajoutée en 2023, la catégorie d'IA à usage général inclut les modèles de fondation (par exemple, ChatGPT) capables d'effectuer un large éventail de tâches. Si les poids et la conception d'un modèle sont rendus open source, les développeurs doivent publier un résumé des données d'entraînement et une politique de droits d'auteur ; les modèles à source fermée doivent respecter des exigences de transparence plus larges. Les modèles à fort impact qui présentent des risques systémiques (nécessitant plus de 10^25 opérations en virgule flottante pour l'entraînement) doivent subir une évaluation supplémentaire. Un code de pratique pour l'IA à usage général, publié le 10 juillet 2025, décrit trois chapitres principaux sur la transparence, les droits d'auteur et la sécurité et la sûreté pour aider les fournisseurs à démontrer leur conformité à l'AI Act. La participation au code est volontaire.
Au-delà de ces obligations de transparence de base, le règlement établit une liste commune d'obligations pour les fournisseurs de modèles d'IA à usage général. Ils doivent publier un résumé des données d'entraînement, adopter une politique pour se conformer à la législation sur les droits d'auteur et fournir une documentation technique aux fournisseurs en aval et aux autorités de surveillance. Les modèles désignés comme présentant un risque systémique doivent également effectuer des évaluations de modèles et des tests contradictoires, évaluer et atténuer les risques tels que les biais et les défaillances de sécurité, signaler les incidents graves et garantir un niveau adéquat de cybersécurité.
Exemptions
Les articles 2.3 et 2.6 exemptent les systèmes d'IA utilisés à des fins militaires ou de sécurité nationale ou pour la recherche et le développement scientifiques purs de l'AI Act. En particulier, le règlement ne s'applique pas lorsque les systèmes d'IA sont utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale, ni aux systèmes développés et mis en service uniquement pour la recherche scientifique. De plus, l'IA utilisée pour des activités personnelles non professionnelles n'est pas couverte.
Application et gouvernance
Le règlement crée un Conseil européen de l'intelligence artificielle pour promouvoir la coopération nationale et garantir la conformité au règlement. Chaque État membre est censé désigner des autorités compétentes pour la surveillance du marché et l'application. Le règlement peut s'appliquer de manière extraterritoriale aux fournisseurs extérieurs à l'UE s'ils ont des utilisateurs au sein de l'UE, similaire au RGPD. Les sanctions en cas de non-conformité peuvent être significatives, bien que les montants spécifiques ne soient pas détaillés dans les faits sources.
Impact et réception
L'AI Act est considéré comme une législation marquante, étant la première loi complète sur l'IA au monde. Il a été comparé au RGPD pour son influence mondiale potentielle, car les entreprises extérieures à l'UE peuvent choisir de se conformer à ses normes pour accéder au marché européen. L'approche basée sur le risque a été saluée pour se concentrer sur les préjudices réels, mais certains critiques soutiennent que la définition du haut risque est trop large ou que les exemptions pour les usages militaires et de sécurité sont trop étendues. Le règlement vise également à favoriser l'innovation en offrant une certitude juridique aux développeurs et aux utilisateurs d'IA.
Relation avec d'autres développements de l'IA
Les dispositions sur l'IA à usage général de l'AI Act ont été introduites en réponse à l'avancement rapide des modèles d'IA générative, tels que ceux développés par OpenAI, Anthropic et Google DeepMind. Ces modèles, construits sur des architectures Transformer (architecture) et entraînés à l'aide de techniques de Machine learning, ont des capacités qui s'étendent sur de nombreux domaines, ce qui les rend difficiles à intégrer dans les catégories de produits traditionnelles. Les exigences du règlement en matière de transparence et d'évaluation des risques visent à compléter les mesures de sécurité techniques comme le Model Pruning et la Data Augmentation, bien que le règlement lui-même ne prescrive pas de méthodes techniques spécifiques.
Perspectives d'avenir
En 2025, l'AI Act est dans sa phase de mise en œuvre précoce. La Commission européenne devrait publier des orientations supplémentaires et des actes délégués pour clarifier certaines dispositions. Le code de pratique pour l'IA à usage général, publié le 10 juillet 2025, est une étape clé pour aider les fournisseurs à se conformer. L'impact à long terme du règlement sur l'innovation et le déploiement de l'IA dans l'UE et au-delà reste à voir, mais il est susceptible de façonner la conversation mondiale sur la gouvernance de l'IA pour les années à venir.