La loi sur l'intelligence artificielle (AI Act) est un règlement de l'Union européenne qui établit un cadre réglementaire et juridique commun pour l'intelligence artificielle (IA) au sein de l'UE. Elle est entrée en vigueur le 1er août 2024, avec des dispositions qui seront mises en œuvre progressivement au cours des 6 à 36 mois suivants. La loi couvre la plupart des systèmes d'IA dans un large éventail de secteurs, avec des exemptions pour l'IA utilisée uniquement à des fins militaires, de sécurité nationale, de recherche ou pour un usage non professionnel. En tant que forme de réglementation des produits, elle ne crée pas de droits individuels ; elle impose plutôt des obligations aux fournisseurs d'IA et aux organisations qui utilisent l'IA dans un contexte professionnel.
La loi classe les applications d'IA non exemptées en fonction de leur risque de causer un préjudice. Il existe quatre niveaux – inacceptable, élevé, limité, minimal – plus une catégorie supplémentaire pour l'IA à usage général. Pour l'IA à usage général, des exigences de transparence sont imposées, avec des exigences réduites pour les modèles open source, et des évaluations supplémentaires pour les modèles à haute capacité. La loi crée également un Bureau européen de l'intelligence artificielle pour promouvoir la coopération nationale et garantir le respect du règlement. Comme le Règlement général sur la protection des données de l'UE, la loi peut s'appliquer de manière extraterritoriale aux fournisseurs situés hors de l'UE s'ils ont des utilisateurs au sein de l'UE.
Historique législatif
La Commission européenne a proposé la loi sur l'IA le 21 avril 2021. Elle a été adoptée par le Parlement européen le 13 mars 2024 et approuvée à l'unanimité par le Conseil de l'UE le 21 mai 2024. Le projet de loi a été révisé pour tenir compte de la popularité croissante des systèmes d'IA générative, tels que ChatGPT, dont les capacités à usage général ne correspondaient pas au cadre principal. La catégorie de l'IA à usage général a été ajoutée en 2023, reflétant le développement rapide des grands modèles de langage et d'autres systèmes d'IA générative.
Catégories de risque
La loi adopte une approche fondée sur le risque, attribuant des obligations réglementaires aux fournisseurs et aux déployeurs de systèmes d'IA. Ces obligations deviennent plus exigeantes à mesure que l'impact potentiel sur la santé, la sécurité ou les droits fondamentaux augmente. Les catégories sont :
- Risque inacceptable – Les applications d'IA de cette catégorie sont interdites, sauf exemptions spécifiques. Cela inclut les applications d'IA qui manipulent le comportement humain, celles qui utilisent l'identification biométrique à distance en temps réel (telle que la reconnaissance faciale) dans les espaces publics, et celles utilisées pour la notation sociale (classement des individus en fonction de leurs caractéristiques personnelles, de leur statut socio-économique ou de leur comportement).
- Risque élevé – Les applications d'IA susceptibles de présenter des menaces importantes pour la santé, la sécurité ou les droits fondamentaux. Cela inclut les systèmes d'IA utilisés dans la santé, l'éducation, le recrutement, la gestion des infrastructures critiques, l'application de la loi ou la justice. Ils sont soumis à des obligations de qualité, de transparence, de surveillance humaine et de sécurité, et dans certains cas, nécessitent une évaluation d'impact sur les droits fondamentaux avant leur déploiement. Ils doivent être évalués à la fois avant leur mise sur le marché et tout au long de leur cycle de vie. Les citoyens ont le droit de soumettre des plaintes concernant les systèmes d'IA et de recevoir des explications sur les décisions prises par une IA à haut risque qui affectent leurs droits.
- Risque limité – Les systèmes d'IA de cette catégorie ont des obligations de transparence, garantissant que les utilisateurs sont informés qu'ils interagissent avec un système d'IA. Cela inclut les applications d'IA qui génèrent ou manipulent des images, des sons ou des vidéos (comme les deepfakes).
- Risque minimal – Cela inclut les systèmes d'IA utilisés pour les jeux vidéo ou les filtres anti-spam. La plupart des applications d'IA devraient tomber dans cette catégorie. Ces systèmes ne sont pas réglementés, et les États membres ne peuvent pas imposer de réglementations supplémentaires en raison des règles d'harmonisation maximale. Les lois nationales existantes concernant la conception ou l'utilisation de ces systèmes sont remplacées. Un code de conduite volontaire est suggéré.
Le schéma fondé sur le risque suit un modèle de sécurité des produits, garantissant que la surveillance se concentre sur les systèmes susceptibles de créer des risques significatifs tout en permettant des approches plus légères pour les usages considérés comme moins sensibles. Certains juristes soutiennent qu'en pratique, la loi définit une « IA de confiance » comme des systèmes capables de démontrer leur conformité à ces seuils de sécurité et de risque.
Obligations de l'IA à usage général
La catégorie de l'IA à usage général inclut les modèles de fondation (par exemple, ChatGPT) capables d'effectuer un large éventail de tâches. Les fournisseurs de modèles d'IA à usage général doivent publier un résumé des données d'entraînement, adopter une politique de conformité au droit d'auteur et fournir une documentation technique aux fournisseurs en aval et aux autorités de surveillance. Si les poids et la conception d'un modèle sont rendus open source, les développeurs doivent publier un résumé des données d'entraînement et une politique de droit d'auteur ; les modèles à code source fermé doivent répondre à des exigences de transparence plus larges.
Les modèles à fort impact qui présentent des risques systémiques (nécessitant plus de 10^25 opérations en virgule flottante pour être entraînés) doivent subir une évaluation supplémentaire. Ces modèles doivent également effectuer des évaluations de modèles et des tests contradictoires, évaluer et atténuer les risques tels que les biais et les défaillances de sécurité, signaler les incidents graves et garantir un niveau adéquat de cybersécurité.
Un code de pratique pour l'IA à usage général, publié le 10 juillet 2025, décrit trois chapitres principaux sur la transparence, le droit d'auteur et la sécurité et la sûreté pour aider les fournisseurs à démontrer leur conformité avec la loi sur l'IA. La participation au code est volontaire.
Exemptions
Les articles 2.3 et 2.6 exemptent les systèmes d'IA utilisés à des fins militaires ou de sécurité nationale ou pour la recherche et le développement purement scientifiques de la loi sur l'IA. Le règlement ne s'applique pas lorsque les systèmes d'IA sont utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale, ni aux systèmes développés et mis en service uniquement pour la recherche scientifique. L'usage non professionnel est également exempté.
Application et extraterritorialité
La loi crée un Bureau européen de l'intelligence artificielle pour promouvoir la coopération nationale et garantir le respect du règlement. Comme le Règlement général sur la protection des données de l'UE, la loi peut s'appliquer de manière extraterritoriale aux fournisseurs situés hors de l'UE s'ils ont des utilisateurs au sein de l'UE. Cela signifie que des entreprises telles que OpenAI, Anthropic et Google DeepMind peuvent être soumises à la loi si elles offrent des services aux utilisateurs de l'UE.
Impact sur le développement de l'IA
Les dispositions relatives à l'IA à usage général de la loi sur l'IA ont des implications significatives pour le développement et le déploiement des systèmes d'IA. Les fournisseurs doivent désormais prendre en compte les obligations de transparence et de droit d'auteur dès la phase de conception. L'exigence de publier des résumés des données d'entraînement peut affecter les modèles propriétaires, tandis que les modèles open source font face à des exigences réduites, ce qui pourrait encourager un développement plus ouvert. Les évaluations des risques systémiques pour les modèles à haute capacité pourraient influencer l'entraînement de très grands réseaux neuronaux, car les fournisseurs pourraient devoir allouer des ressources pour les tests de sécurité.
La loi interagit également avec des tendances plus larges en apprentissage automatique et apprentissage profond. Par exemple, l'accent mis sur la transparence s'aligne sur les efforts visant à documenter les données d'entraînement et le comportement des modèles, comme on le voit dans la recherche sur l'élagage de modèles et l'augmentation de données. Les exigences de la loi en matière de documentation technique pourraient pousser les fournisseurs à adopter des pratiques plus rigoureuses, telles que celles utilisées dans les architectures de transformeurs et les mécanismes d'attention multi-têtes.
Réception et critiques
La loi sur l'IA a été accueillie avec des réactions mitigées. Certaines parties prenantes saluent la clarté réglementaire qu'elle apporte, tandis que d'autres expriment des préoccupations concernant les coûts de conformité et un possible frein à l'innovation. La portée extraterritoriale a été un point de débat particulier, car elle pourrait affecter les fournisseurs mondiaux d'IA. Le code de pratique volontaire pour les systèmes à risque minimal est considéré comme une approche flexible, mais certains soutiennent que les catégories de risque de la loi ne sont pas toujours claires, en particulier pour l'IA à usage général qui peut être utilisée dans plusieurs contextes.
En 2025, la loi est dans sa phase de mise en œuvre progressive, avec des dispositions entrant en vigueur sur 6 à 36 mois à partir d'août 2024. L'impact complet sur l'industrie de l'IA deviendra plus clair à mesure que l'application commencera et que la jurisprudence se développera.