La loi sur l'intelligence artificielle est un règlement de l'Union européenne qui établit un cadre réglementaire et juridique commun pour intelligence artificielle dans tous les États membres. Le règlement est entré en vigueur le 1er août 2024, ses dispositions étant mises en œuvre progressivement au cours des 6 à 36 mois suivants. Il définit les règles pour la plupart des systèmes d'IA utilisés dans l'UE, en exemptant ceux employés à des fins militaires, de sécurité nationale, de recherche ou non professionnelles. Suivant un modèle de sécurité des produits, il assigne des obligations aux fournisseurs d'IA et aux utilisateurs professionnels, dans le but de favoriser à la fois l'innovation et les droits fondamentaux des citoyens.
La proposition est issue de la Commission européenne le 21 avril 2021, a subi des révisions substantielles pour répondre à l'essor des systèmes de IA générative tels que ChatGPT d'OpenAI, a été adoptée par le Parlement européen le 13 mars 2024, et a été approuvée à l'unanimité par le Conseil de l'UE le 21 mai 2024. La loi sur l'IA, comme le Règlement général sur la protection des données, peut s'appliquer de manière extraterritoriale aux fournisseurs de juridictions non européennes s'ils ont des utilisateurs dans l'UE. Les règles sont mises en œuvre à travers une classification des risques à quatre niveaux, complétée par une catégorie dédiée pour l'IA à usage général, visant à encourager une adoption gérable tout en atténuant les préjudices potentiels.
Adoption et calendrier législatif
Le chemin vers l'adoption a été un processus de plusieurs années. La Commission européenne, agissant en tant qu'organe exécutif de l'UE, a soumis un premier projet le 21 avril 2021. Ce projet s'appuyait sur les évaluations de la Commission, les consultations des parties prenantes et les recherches existantes sur les options politiques. La proposition reflétait une ambition de faire de l'UE un État innovant en matière d'IA établissant des normes de gouvernance réglementaire, similaire au Règlement général sur la protection des données de 2016 dans le domaine de la protection des données.
Les négociations ont repris entre 2022 et 2023 lorsque la popularité des modèles d'IA générative, tels que ChatGPT et des grands modèles de langage similaires, a mis en évidence que le projet original, axé sur les systèmes traditionnels d'apprentissage automatique, n'englobait pas facilement de telles capacités. Les législateurs ont donc intégré une toute nouvelle section pour l'IA à usage général. Ce changement a été formalisé dans le texte final, traitant des réseaux de neurones capables d'effectuer une grande variété de tâches.
Le 13 mars 2024, le Parlement a adopté le texte final, et le 21 mai 2024, le Conseil de l'UE l'a approuvé à l'unanimité. La publication officielle du règlement a suivi, et il est formellement entré en vigueur le 1er août 2024. Cependant, les obligations ne sont mises en place que progressivement. Les interdictions sur les IA à risque inacceptable ont été appliquées plus tôt, notamment en raison des règles d'identification biométrique en temps réel. L'ensemble complet des règles, y compris la plupart des évaluations de conformité pour les risques élevés, a pris ou prendra effet dans les 36 mois suivant l'entrée en vigueur.
Classification basée sur les risques
La structure centrale de la loi sur l'IA de l'UE est un cadre à plusieurs niveaux de risques, modelé sur le droit de la sécurité des produits. La classification assigne des obligations en fonction de l'impact potentiel sur la santé, la sécurité ou les droits fondamentaux. Cette approche vise à concentrer la surveillance sur les systèmes présentant le plus grand préjudice potentiel, tout en réduisant la bureaucratie pour les usages à moindre risque.
Les quatre niveaux de risque explicites sont : inacceptable, élevé, limité et minimal. En outre, la loi ajoute une cinquième catégorie spécifiquement conçue pour l'IA à usage général, introduite lors des révisions ultérieures.
Risque inacceptable
Les applications classées comme présentant un risque inacceptable sont interdites purement et simplement, bien qu'il existe des exceptions étroites. Par exemple, l'interdiction couvre les systèmes d'IA qui utilisent une manipulation subliminale au-delà de la conscience d'une personne pour fausser le comportement, exploitent des vulnérabilités dues à l'âge, au handicap ou à la situation économique, ou entraînent un préjudice physique ou psychologique. Sont également interdits les systèmes utilisés pour la notation sociale, classant les individus sur la base de traits personnels, de la situation socio-économique ou du comportement de la part d'autorités publiques ou privées. Les systèmes d'identification biométrique à distance en temps réel dans les espaces publics sont généralement interdits également, avec des exceptions limitées qui pourraient s'appliquer dans le cas de certains crimes graves, et sous réserve d'une approbation judiciaire préalable.
Risque élevé
Les systèmes d'IA à risque élevé sont ceux qui présentent des menaces significatives pour la santé, la sécurité ou les droits fondamentaux. Cela inclut une large gamme d'applications dans des secteurs tels que la santé, l'éducation, l'emploi, les infrastructures critiques, l'application de la loi, la migration et la justice. Les fournisseurs et les déployeurs de systèmes d'IA à risque élevé doivent se conformer à des obligations strictes de sécurité, de transparence, de qualité et de surveillance humaine. Ils sont soumis à des évaluations de conformité, soit par auto-évaluation, soit par des organismes notifiés tiers, selon l'application. Pour les domaines à risque élevé qui impactent les droits fondamentaux - comme dans l'application de la loi ou la migration - le fournisseur doit mener une évaluation d'impact sur les droits fondamentaux avant le déploiement. C'est un contrôle ex ante pour identifier et atténuer les impacts potentiels sur les individus et les communautés concernés. Ces systèmes sont obligés d'être évalués avant leur mise sur le marché et de nouveau sur leur cycle de vie. La liste des applications à risque élevé peut être étendue sans nécessiter un nouveau règlement. Les citoyens ont le droit de soumettre des plaintes concernant les systèmes d'IA et de recevoir des explications pour les décisions prises par des IA à risque élevé qui affectent leurs droits.
Risque limité
Les systèmes dans la catégorie de risque limité sont ceux qui n'ont que des obligations de transparence. Dans cette catégorie, les individus doivent être informés qu'ils interagissent avec un système d'IA, par exemple, lorsqu'ils utilisent un chatbot. De même, le contenu généré ou manipulé par l'IA, tel que les hypertrucages, doit être clairement étiqueté comme tel, sauf si le consentement est donné par les personnes. Cette obligation permet aux utilisateurs de comprendre la nature du contenu ou de l'interaction et de faire des choix éclairés.
Risque minimal
La catégorie minimale - peut-être près de 80 % des systèmes d'IA - inclut les jeux vidéo, les filtres anti-spam et similaires. Ces systèmes n'ont pas d'obligations spéciales en vertu du règlement. Sous les règles d'harmonisation maximale, les États membres ne peuvent pas non plus imposer d'exigences de licence supplémentaires ou de cadres de conformité additionnels pour eux. Les lois nationales existantes sont en outre supplantées dans la mesure où elles les dépassent. Néanmoins, la loi encourage l'adhésion volontaire à des codes de conduite pour ces usages à faible risque.
Catégorie d'IA à usage général
En 2023, le texte a été étendu avec une couche dédiée pour l'IA à usage général, telle que les réseaux basés sur des transformeurs produisant des recommandations, du texte ou des images. Cela inclut des modèles de fondation comme les grands modèles de langage. Les responsables publient un résumé de transparence des données d'entraînement, adoptent des politiques de conformité au droit d'auteur et fournissent une documentation technique aux fournisseurs en aval et aux autorités de surveillance.
Les fournisseurs open-source avec une mise en garde spécifique : si les poids et la conception du modèle sont librement disponibles, ils doivent contourner les exigences de transparence plus strictes mais doivent toujours publier une politique de droit d'auteur et un certain degré de résumé des données d'entraînement. Les modèles plus capables ou à fort impact, ceux nécessitant plus de 10²⁵ opérations en virgule flottante multipliées (c'est-à-dire 10 000 000 000 000 000 000 000 000) pour l'entraînement, sont soumis à des obligations supplémentaires, y compris des tests contradictoires, des évaluations de modèles, des mesures d'atténuation des risques concernant les biais et la sécurité, le signalement des incidents et une cybersécurité adéquate - cela couvre les modèles d'IA dits à risque systémique.
Pour les fournisseurs à usage général, le règlement a été complété par un « Code de pratique pour l'IA à usage général » publié pour la première fois le 10 juillet 2025. Il contient trois chapitres principaux couvrant la transparence, le droit d'auteur et la sécurité/prévision, aidant les fournisseurs à démontrer leur alignement avec le règlement.
Application et portée extraterritoriale
La loi sur l'IA construit une structure de gouvernance complète, établissant un Conseil européen de l'intelligence artificielle avec des représentants des États membres pour promouvoir la coopération, la cohérence et l'orientation. Des autorités nationales de surveillance indépendantes coopèrent avec cet organe, les plaintes, les tâches de surveillance du marché et les mesures d'application. Tout comme avec le RGPD, la loi a également une portée extraterritoriale en tête pour les fournisseurs externes : s'ils offrent des systèmes ou services d'IA au sein de l'Union, leurs entreprises nationales doivent se conformer, même si elles sont physiquement établies dans d'autres parties du globe.
Exemptions et portée
Les systèmes d'IA utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale sont exclus du règlement, ainsi que les systèmes développés pour la recherche et le développement scientifiques purs. Le libellé ne laisse aucune place à une activité en dehors des lignes d'exemption. L'utilisation non professionnelle n'est pas non plus couverte. Le règlement ne crée pas lui-même des droits individuels, il place plutôt des obligations sur les fournisseurs et les organisations de sorte que les droits sur ceux-ci semblent