La loi européenne sur l'intelligence artificielle (AI Act), entrée en vigueur le 1er août 2024, établit un cadre réglementaire fondé sur les risques pour l'intelligence artificielle. Parmi ses quatre catégories de risque, les systèmes d'IA à haut risque sont ceux susceptibles de constituer des menaces importantes pour la santé, la sécurité ou les droits fondamentaux. Ces systèmes sont soumis aux obligations les plus strictes en vertu du règlement, notamment des évaluations de conformité obligatoires, des exigences de transparence, une supervision humaine et, dans certains cas, une évaluation d'impact relative aux droits fondamentaux (FRIA) avant le déploiement. L'AI Act a été proposé par la Commission européenne le 21 avril 2021, adopté par le Parlement européen le 13 mars 2024 et approuvé à l'unanimité par le Conseil de l'UE le 21 mai 2024. Ses dispositions sont mises en œuvre progressivement sur une période de 6 à 36 mois à compter de son entrée en vigueur.
La classification à haut risque s'applique aux systèmes d'IA utilisés dans des secteurs critiques tels que la santé, l'éducation, le recrutement, la gestion des infrastructures critiques, l'application de la loi et la justice. Ces systèmes doivent se conformer aux obligations de qualité, de transparence et de sécurité tout au long de leur cycle de vie, de la conception au déploiement. La liste des applications à haut risque peut être élargie au fil du temps sans modifier l'AI Act lui-même, ce qui permet au règlement de s'adapter aux risques émergents. Les citoyens ont le droit de soumettre des plaintes concernant les systèmes d'IA à haut risque et de recevoir des explications sur les décisions prises par ces systèmes qui affectent leurs droits.
Définition et champ d'application
Les systèmes d'IA à haut risque sont définis dans l'AI Act comme des applications susceptibles de causer des dommages importants aux individus ou à la société. La classification repose sur la finalité prévue du système, et non sur sa technologie sous-jacente. Par exemple, un système d'IA utilisé pour le diagnostic médical est à haut risque, tandis que le même algorithme utilisé pour le tri administratif de documents peut être à risque minimal. Le règlement couvre la plupart des systèmes d'IA dans un large éventail de secteurs, avec des exemptions pour les usages militaires, la sécurité nationale, la recherche et les usages non professionnels. En tant que forme de réglementation des produits, il impose des obligations aux fournisseurs et aux déployeurs, et non aux particuliers.
La catégorie à haut risque comprend les systèmes d'IA qui sont des composants de sécurité de produits, ou qui sont eux-mêmes des produits, soumis à la législation d'harmonisation de l'UE telle que le règlement sur les dispositifs médicaux ou le règlement sur les machines. En outre, les systèmes d'IA autonomes dans des domaines spécifiques sont à haut risque, notamment l'identification biométrique, les infrastructures critiques, l'éducation et la formation professionnelle, l'emploi et la gestion des travailleurs, les services essentiels, l'application de la loi, la migration et l'asile, et l'administration de la justice. Le champ d'application est large, reflétant le potentiel de ces systèmes à affecter les droits fondamentaux.
Obligations des fournisseurs et des déployeurs
Les fournisseurs de systèmes d'IA à haut risque doivent mettre en œuvre un système de gestion des risques qui identifie et atténue les risques tout au long du cycle de vie du système. Ils doivent garantir que les données d'entraînement, de validation et de test sont pertinentes, représentatives et exemptes de biais. Une documentation technique doit être établie avant la mise sur le marché du système, démontrant la conformité avec le règlement. Des capacités de journalisation doivent être intégrées pour permettre la traçabilité des opérations du système. Une supervision humaine est requise, ce qui signifie que des personnes physiques doivent être capables d'interpréter la sortie du système et de la remplacer si nécessaire.
Les déployeurs, ou utilisateurs, des systèmes d'IA à haut risque ont leurs propres obligations. Ils doivent utiliser le système conformément aux instructions d'utilisation, garantir que les données d'entrée sont pertinentes et suffisamment représentatives, et surveiller le fonctionnement du système pour détecter les signes de risque. Ils doivent également informer les personnes concernées qu'elles interagissent avec un système à haut risque et, dans certains cas, mener une évaluation d'impact relative aux droits fondamentaux avant le déploiement. Cette évaluation est un examen ex ante visant à identifier et à atténuer les impacts potentiels sur les droits fondamentaux, s'appuyant sur des travaux antérieurs sur les évaluations d'impact algorithmiques qui suggèrent que ces outils devraient identifier les communautés affectées, décrire les préjudices possibles et fournir une base pour un examen public.
Évaluation de la conformité et surveillance du marché
Avant qu'un système d'IA à haut risque puisse être mis sur le marché de l'UE, il doit subir une évaluation de la conformité. Ce processus vérifie que le système répond aux exigences de l'AI Act. Pour de nombreux systèmes à haut risque, le fournisseur peut procéder à une auto-évaluation, mais pour ceux utilisés dans des domaines comme l'identification biométrique ou l'application de la loi, un organisme notifié doit être impliqué. L'évaluation comprend un examen du système de gestion des risques, de la gouvernance des données, de la documentation technique et des mesures de supervision humaine. Après réussite, le système reçoit un marquage CE, indiquant sa conformité.
Les autorités de surveillance du marché dans chaque État membre surveillent la conformité après le déploiement. Elles peuvent exiger des fournisseurs qu'ils prennent des mesures correctives si un système est jugé non conforme. Le Conseil européen de l'intelligence artificielle, créé par le règlement, favorise la coopération nationale et garantit une application cohérente dans toute l'UE. Comme le règlement général sur la protection des données, l'AI Act peut s'appliquer de manière extraterritoriale aux fournisseurs situés hors de l'UE s'ils ont des utilisateurs dans l'UE, ce qui signifie que les entreprises non européennes doivent également se conformer.
Évaluation d'impact relative aux droits fondamentaux
Une évaluation d'impact relative aux droits fondamentaux (FRIA) est requise pour les systèmes d'IA à haut risque utilisés dans certains secteurs, tels que les services publics, l'application de la loi et la migration. La FRIA doit être menée avant le déploiement et implique une analyse détaillée de l'impact potentiel du système sur les droits fondamentaux, y compris la non-discrimination, la vie privée et la protection des données. Elle doit décrire la finalité prévue du système, les catégories de personnes affectées et les risques spécifiques pour leurs droits. Des mesures d'atténuation doivent être décrites, et l'évaluation doit être tenue à jour.
La FRIA est une innovation clé de l'AI Act, reflétant une tendance plus large vers les évaluations d'impact algorithmiques. Des chercheurs ont soutenu que ces évaluations devraient identifier quels individus et communautés sont affectés, décrire les préjudices possibles et fournir une base pour un examen public et institutionnel. L'exigence de FRIA de l'AI Act est conçue pour garantir que les systèmes à haut risque ne sont déployés qu'après une prise en compte attentive de leurs implications sociétales.
Haut risque par rapport aux autres catégories de risque
L'AI Act classe les applications d'IA en quatre niveaux : risque inacceptable, élevé, limité et minimal. Les applications à risque inacceptable sont interdites d'emblée, y compris celles qui manipulent le comportement humain, utilisent l'identification biométrique à distance en temps réel dans les espaces publics ou permettent le scoring social. Les applications à haut risque, comme décrit, sont soumises à des obligations strictes. Les applications à risque limité, telles que les deepfakes, n'ont que des obligations de transparence, exigeant que les utilisateurs soient informés qu'ils interagissent avec une IA. Les applications à risque minimal, comme les jeux vidéo ou les filtres anti-spam, ne sont pas réglementées, et les États membres ne peuvent pas imposer de restrictions supplémentaires en raison des règles d'harmonisation maximale.
Ce schéma fondé sur les risques suit un modèle de sécurité des produits, où les obligations réglementaires augmentent avec l'impact potentiel. Il vise à concentrer la surveillance sur les systèmes susceptibles de créer des risques significatifs tout en permettant des approches plus légères pour les usages moins sensibles. Certains juristes soutiennent que le règlement définit l'« IA digne de confiance » comme des systèmes capables de démontrer leur conformité à ces seuils de sécurité et de risque. Le Service de recherche du Parlement européen a noté que l'évaluation d'impact de la Commission s'appuyait sur des consultations des parties prenantes et des recherches existantes lors de la comparaison des options politiques.
IA à usage général et chevauchement avec le haut risque
En 2023, le projet de règlement a été révisé pour répondre à l'essor des systèmes d'IA générative, tels que ChatGPT, dont les capacités à usage général ne correspondaient pas au cadre principal. Une nouvelle catégorie pour l'IA à usage général a été ajoutée, couvrant les modèles de fondation capables d'effectuer un large éventail de tâches. Ces modèles, comme ceux développés par OpenAI, Anthropic et Google DeepMind, sont soumis à des exigences de transparence, avec des obligations réduites pour les modèles open-source. Les modèles à fort impact qui présentent des risques systémiques, nécessitant plus de 10^25 opérations en virgule flottante pour l'entraînement, doivent subir une évaluation supplémentaire et des tests contradictoires.
Bien que l'IA à usage général ne soit pas automatiquement à haut risque, son utilisation dans des applications à haut risque déclenche les obligations de haut risque. Par exemple, un grand modèle de langage utilisé dans un outil de diagnostic médical serait soumis aux exigences de haut risque de l'AI Act. Le Code de conduite pour l'IA à usage général, publié le 10 juillet 2025, décrit trois chapitres principaux sur la transparence, le droit d'auteur et la sécurité et la sûreté pour aider les fournisseurs à démontrer leur conformité. La participation au code est volontaire, mais elle fournit un cadre pour répondre aux obligations du règlement.
Application et sanctions
L'application de l'AI Act commence progressivement, avec des interdictions sur les applications à risque inacceptable s'appliquant à partir de février 2025, et les obligations de haut risque s'appliquant à partir d'août 2026. Les sanctions en cas de non-conformité sont significatives, allant jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé, pour les violations impliquant des pratiques interdites. Pour d'autres violations, les sanctions peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires. Ces amendes sont comparables à celles du règlement général sur la protection des données, reflétant l'engagement de l'UE en faveur d'une application robuste.
Le Conseil européen de l'intelligence artificielle, composé de représentants des États membres et de la Commission, joue un rôle clé dans la coordination de l'application. Il émet des orientations et des avis pour garantir une application cohérente du règlement. Les autorités nationales de surveillance sont responsables de l'enquête sur les plaintes et de l'imposition de sanctions. La portée extraterritoriale du règlement signifie que les fournisseurs hors de l'UE, comme ceux des États-Unis ou d'Asie, doivent également se conformer s'ils offrent des systèmes d'IA aux utilisateurs de l'UE.
Impact sur l'innovation et l'industrie
Les exigences de haut risque de l'AI Act ont des implications significatives pour l'industrie de l'IA. Les entreprises développant des systèmes d'IA pour la santé, la finance ou les services publics doivent investir dans des mesures de conformité, y compris la documentation, les tests et la supervision humaine. Cela peut augmenter les coûts de développement, mais cela fournit également un cadre réglementaire clair qui peut renforcer la confiance dans les technologies d'IA. Le règlement vise à équilibrer l'innovation et la protection, et son approche fondée sur les risques est considérée comme un modèle pour d'autres juridictions.
Pour les chercheurs et développeurs en Artificial intelligence, le règlement encourage l'utilisation de techniques comme le Machine learning et le Deep learning de manière responsable. Il promeut également la transparence, ce qui peut aider à répondre aux préoccupations concernant les biais et la responsabilité. Les exigences du règlement en matière de gouvernance des données et de journalisation sont particulièrement pertinentes pour les systèmes basés sur des Neural network et des Transformer (architecture), qui sont souvent opaques. En imposant une supervision humaine, le règlement cherche à garantir que les systèmes d'IA restent sous contrôle humain, même lorsqu'ils deviennent plus autonomes.
Développements futurs
La liste des applications à haut risque peut être élargie au fil du temps, permettant à l'UE de répondre aux nouveaux risques. Le règlement comprend également des dispositions pour un code de conduite volontaire pour les systèmes à risque minimal, encourageant les meilleures pratiques. À mesure que la technologie de l'IA évolue, la Commission européenne peut proposer des mises à jour du règlement, et le Conseil européen de l'intelligence artificielle continuera à fournir des orientations. Le succès du règlement dépendra d'une application efficace et d'une coopération entre les États membres, ainsi que d'un alignement international sur la réglementation de l'IA.
En résumé, les systèmes d'IA à haut risque en vertu de l'AI Act de l'UE sont soumis à certaines des exigences réglementaires les plus complètes au monde. Ils doivent respecter des normes strictes en matière de sécurité, de transparence et de supervision humaine, et subir des évaluations de conformité avant leur entrée sur le marché. Le règlement représente une étape majeure vers la réglementation de l'IA d'une manière qui protège les droits fondamentaux tout en favorisant l'innovation. Son impact se fera sentir à l'échelle mondiale, car de nombreuses entreprises devront s'adapter à ses exigences pour opérer sur le marché de l'UE.