La proposition de loi sur l'IA de l'UE de 2021 est une initiative réglementaire majeure de la Commission européenne visant à encadrer le développement et l'utilisation de l'intelligence artificielle au sein de l'Union européenne. Proposée le 21 avril 2021, elle vise à établir un cadre juridique commun pour l'IA, classant les systèmes par niveau de risque et imposant des obligations correspondantes aux fournisseurs et aux déployeurs. Le règlement est entré en vigueur le 1er août 2024, avec des dispositions mises en œuvre progressivement sur les 6 à 36 mois suivants, et s'applique de manière extraterritoriale aux fournisseurs hors UE ayant des utilisateurs dans le bloc.
La proposition a subi des révisions importantes pour répondre à l'essor des systèmes d'IA générative tels que ChatGPT, dont les capacités polyvalentes ne correspondaient pas aux catégories de risque initiales. Elle a été adoptée par le Parlement européen le 13 mars 2024 et approuvée à l'unanimité par le Conseil de l'UE le 21 mai 2024.
Classification basée sur le risque
Le règlement adopte un modèle de sécurité des produits, attribuant des obligations réglementaires qui augmentent avec le préjudice potentiel. Il définit quatre niveaux de risque principaux, plus une catégorie distincte pour l'IA à usage général :
- Risque inacceptable : Les applications interdites incluent celles qui manipulent le comportement humain, utilisent l'identification biométrique à distance en temps réel dans les espaces publics, ou permettent le scoring social. Des exemptions étroites s'appliquent pour des cas spécifiques.
- Risque élevé : Les systèmes dans les domaines de la santé, de l'éducation, du recrutement, des infrastructures critiques, de l'application de la loi ou de la justice doivent respecter des obligations de qualité, de transparence, de supervision humaine et de sécurité. Certains exigent une évaluation d'impact sur les droits fondamentaux avant le déploiement, et les citoyens peuvent soumettre des plaintes ou demander des explications pour les décisions affectant leurs droits.
- Risque limité : Des obligations de transparence s'appliquent, comme informer les utilisateurs qu'ils interagissent avec une IA ou que des contenus comme les deepfakes sont générés par IA.
- Risque minimal : Les systèmes non réglementés, tels que les jeux vidéo ou les filtres anti-spam, relèvent de cette catégorie. Les États membres ne peuvent pas imposer de règles supplémentaires en raison d'une harmonisation maximale, bien qu'un code de conduite volontaire soit suggéré.
La liste des applications à haut risque peut être élargie sans modifier le règlement lui-même. Le Service de recherche du Parlement européen a noté que l'évaluation d'impact de la Commission s'appuyait sur des consultations des parties prenantes et des recherches existantes lors de la conception de ce cadre.
Dispositions sur l'IA à usage général
Ajoutée en 2023, cette catégorie couvre les modèles de fondation comme les grands modèles de langage qui effectuent une large gamme de tâches. Les modèles open-source doivent publier un résumé des données d'entraînement et une politique de droits d'auteur ; les modèles fermés font face à des exigences de transparence plus étendues. Les modèles à fort impact nécessitant plus de 10^25 opérations en virgule flottante pour l'entraînement sont désignés comme présentant un risque systémique et doivent subir des évaluations de modèle, des tests contradictoires, une atténuation des risques de biais et de défaillances de sécurité, un signalement des incidents et des mesures de cybersécurité adéquates.
Un code de pratique sur l'IA à usage général, publié le 10 juillet 2025, décrit trois chapitres sur la transparence, les droits d'auteur et la sécurité pour aider les fournisseurs à démontrer leur conformité. La participation est volontaire.
Exemptions et champ d'application
Les articles 2.3 et 2.6 exemptent les systèmes d'IA utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale, ainsi que la recherche et le développement scientifiques purs. Le règlement ne crée pas de droits individuels mais impose des devoirs aux fournisseurs et déployeurs professionnels. Il couvre la plupart des secteurs, avec une exclusion également pour l'usage personnel non professionnel.
Cadre institutionnel
Le règlement crée un Conseil européen de l'intelligence artificielle pour promouvoir la coopération nationale et garantir la conformité. Comme le Règlement général sur la protection des données, il peut s'appliquer aux fournisseurs hors UE s'ils ont des utilisateurs dans le bloc, étendant ainsi sa portée réglementaire à l'échelle mondiale.
La mise en œuvre progressive signifie que les obligations entreront en vigueur graduellement sur 6 à 36 mois à partir d'août 2024, laissant aux parties prenantes le temps de s'adapter. Le cadre est conçu pour équilibrer l'innovation avec la protection de la santé, de la sécurité et des droits fondamentaux, reflétant une approche de précaution dans la gouvernance de l'IA.