La loi sur l'intelligence artificielle (AI Act) est un règlement de l'Union européenne qui établit un cadre réglementaire et juridique commun pour l'intelligence artificielle dans toute l'UE. Elle classe les applications d'IA en quatre niveaux de risque - inacceptable, élevé, limité et minimal - plus une catégorie distincte pour l'IA à usage général. Les applications présentant des risques inacceptables sont interdites d'emblée, sous réserve d'exemptions spécifiques. Le règlement est entré en vigueur le 1er août 2024, avec des dispositions mises en œuvre progressivement sur les 6 à 36 mois suivants.
L'interdiction des systèmes d'IA à risque inacceptable est le niveau le plus strict de l'approche fondée sur le risque de l'AI Act. Elle cible les applications d'IA qui constituent une menace claire pour les droits fondamentaux, la sécurité ou les processus démocratiques des individus au sein de l'UE. Contrairement aux systèmes à haut risque, qui doivent respecter des obligations de conformité, les systèmes à risque inacceptable ne sont pas autorisés sur le marché de l'UE, sauf s'ils relèvent d'exceptions étroitement définies. Cette interdiction s'applique de manière extraterritoriale, en miroir du Règlement général sur la protection des données, aux fournisseurs situés hors de l'UE s'ils ont des utilisateurs dans l'UE.
Portée de l'interdiction
L'AI Act interdit les applications d'IA qui manipulent le comportement humain de manière à contourner le libre arbitre, comme les techniques subliminales ou l'exploitation des vulnérabilités de groupes spécifiques (par exemple, les enfants ou les personnes handicapées) pour causer un préjudice. Elle interdit également le scoring social - le classement des individus en fonction de caractéristiques personnelles, de la situation socio-économique ou du comportement - lorsqu'il est utilisé par les autorités publiques pour un traitement préjudiciable. L'identification biométrique à distance en temps réel (y compris la reconnaissance faciale) dans les espaces accessibles au public est interdite à des fins répressives, avec des exceptions limitées pour certains crimes graves, le terrorisme ou les personnes disparues, sous réserve d'une autorisation judiciaire.
Les pratiques interdites supplémentaires incluent l'IA qui exploite les vulnérabilités dues à l'âge, au handicap ou à la situation sociale ou économique, et l'IA qui déduit les émotions dans les contextes professionnels ou éducatifs, sauf pour des raisons médicales ou de sécurité. La liste est exhaustive ; aucune autre pratique n'est automatiquement interdite dans cette catégorie. La Commission européenne peut mettre à jour la liste par le biais d'actes délégués, mais toute extension nécessite une révision législative complète.
Exemptions à l'interdiction
Les articles 2.3 et 2.6 de l'AI Act exemptent les systèmes d'IA utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale, ainsi que la recherche et le développement scientifiques purs. Ces exemptions sont étroites : le système d'IA doit être utilisé uniquement à ces fins, et non dans une capacité à double usage. L'utilisation personnelle non professionnelle de l'IA est également hors du champ d'application. Les exemptions ne s'appliquent pas au déploiement commercial ni aux systèmes utilisés dans des contextes civils, même s'ils sont développés par des agences militaires ou de sécurité.
Pour l'identification biométrique à distance en temps réel, l'interdiction inclut une dérogation spécifique pour les forces de l'ordre dans trois scénarios : la recherche de victimes d'enlèvement ou de traite, la prévention d'une menace terroriste imminente et sérieuse, et la localisation ou l'identification d'une personne soupçonnée d'un crime grave (tel que défini par le droit national). Toute utilisation doit être autorisée par une autorité judiciaire ou administrative indépendante, et la décision doit être fondée sur des preuves objectives. L'autorisation est limitée dans le temps et géographiquement restreinte, avec un rapport obligatoire au Conseil européen de l'intelligence artificielle.
Contexte historique et processus législatif
La Commission européenne a proposé l'AI Act le 21 avril 2021. Le projet initial ne comprenait pas de catégorie dédiée pour l'IA à usage général, mais l'essor rapide des systèmes d'IA générative tels que ChatGPT - construits sur des grands modèles de langage - a incité à une révision. Le Parlement européen a adopté la loi le 13 mars 2024, et le Conseil de l'UE l'a approuvée à l'unanimité le 21 mai 2024. Le texte final a intégré la catégorie de l'IA à usage général, ajoutée en 2023 pour traiter les modèles de fondation capables d'effectuer un large éventail de tâches.
L'interdiction des pratiques à risque inacceptable était présente dans la proposition initiale, mais sa portée a été affinée lors des négociations. Les premiers projets incluaient une interdiction plus large de l'IA utilisée pour des « techniques manipulatoires », qui a été restreinte pour se concentrer sur les techniques qui contournent le libre arbitre. L'interdiction du scoring social a également été clarifiée pour s'appliquer spécifiquement aux autorités publiques, et non aux entités privées, bien que l'utilisation privée conduisant à un traitement préjudiciable puisse toujours être couverte par d'autres dispositions.
Conformité et application
Le Conseil européen de l'intelligence artificielle, établi par la loi, favorise la coopération nationale et garantit une application cohérente. Les autorités nationales de surveillance sont chargées de contrôler la conformité dans leurs États membres. Pour les systèmes à risque inacceptable, l'obligation principale est de ne pas les mettre sur le marché ni de les utiliser. Si un fournisseur ou un déployeur est trouvé en train d'utiliser un système interdit, il encourt des sanctions - jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé, pour les violations de l'interdiction.
L'application est fondée sur le risque : les autorités peuvent effectuer une surveillance du marché, demander des documents et mener des audits. La loi ne crée pas de droits individuels, de sorte que les citoyens ne peuvent pas poursuivre directement en dommages-intérêts en vertu de l'AI Act elle-même ; ils doivent s'appuyer sur les lois nationales existantes ou sur le Règlement général sur la protection des données. Cependant, les citoyens peuvent soumettre des plaintes aux autorités nationales concernant les systèmes d'IA, y compris ceux qu'ils estiment relever de l'interdiction des risques inacceptables.
Relation avec les autres catégories de risque
L'interdiction des systèmes à risque inacceptable côtoie trois autres niveaux. Les applications à haut risque - telles que l'IA utilisée dans la santé, l'éducation, le recrutement, les infrastructures critiques, les forces de l'ordre ou la justice - doivent respecter des obligations de sécurité, de transparence et de qualité, et subir des évaluations de conformité. Certains systèmes à haut risque nécessitent une évaluation d'impact sur les droits fondamentaux avant leur déploiement. Les systèmes à risque limité, comme les générateurs de deepfakes, n'ont que des obligations de transparence. Les systèmes à risque minimal, comme l'IA des jeux vidéo ou les filtres anti-spam, ne sont pas réglementés, et les États membres ne peuvent pas imposer de règles supplémentaires en raison d'une harmonisation maximale.
La distinction entre risque inacceptable et haut risque n'est pas toujours claire en pratique. Par exemple, un système d'IA utilisé pour la reconnaissance des émotions dans le recrutement pourrait être considéré comme à haut risque (parce qu'il affecte le recrutement) mais pourrait également être interdit s'il exploite des vulnérabilités. La Commission européenne a publié des lignes directrices pour aider à classer les cas limites, mais en 2025, celles-ci ne sont pas contraignantes. Les juristes notent que le schéma fondé sur le risque suit un modèle de sécurité des produits, où les obligations réglementaires augmentent avec l'impact potentiel sur la santé, la sécurité ou les droits fondamentaux.
IA à usage général et interdiction
Les modèles d'IA à usage général, y compris les modèles de fondation, ne sont pas automatiquement interdits, mais ils sont soumis à des exigences de transparence. Les modèles open-source doivent publier un résumé des données d'entraînement et une politique de droits d'auteur ; les modèles closed-source font face à des obligations de transparence plus larges. Les modèles à fort impact nécessitant plus de 10^25 opérations en virgule flottante pour l'entraînement doivent subir une évaluation supplémentaire pour les risques systémiques. Le Code de conduite pour l'IA à usage général, publié le 10 juillet 2025, décrit des chapitres sur la transparence, les droits d'auteur et la sécurité, bien que la participation soit volontaire.
L'interdiction des pratiques à risque inacceptable s'applique à l'IA à usage général lorsqu'elle est utilisée dans des applications interdites. Par exemple, un système de IA générative utilisé pour le scoring social serait interdit, même si le modèle sous-jacent est par ailleurs légal. Cela crée une double obligation : les fournisseurs doivent garantir que leurs modèles ne sont pas utilisés de manière interdite, et les déployeurs ne doivent pas les utiliser dans de tels contextes. La loi n'exige pas que les fournisseurs intègrent des garanties techniques contre les utilisations interdites, mais ils doivent fournir une documentation qui aide les déployeurs à comprendre les capacités et les limites du modèle.
Impact et critiques
L'interdiction a été saluée par les groupes de la société civile pour avoir établi un précédent fort dans la réglementation de l'IA, en particulier concernant la reconnaissance faciale et le scoring social. Cependant, les critiques de l'industrie soutiennent que l'interdiction est trop large et pourrait étouffer l'innovation, en particulier dans les applications de apprentissage automatique qui ont des utilisations légitimes. Certains experts juridiques ont noté que les exemptions pour les usages militaires et de sécurité nationale sont larges et pourraient être exploitées, bien que la loi exige que ces systèmes soient utilisés « exclusivement » à ces fins.
La portée extraterritoriale de l'interdiction a également attiré l'attention. Les entreprises non européennes, y compris les grands développeurs d'IA comme OpenAI, Anthropic et Google DeepMind, doivent garantir que leurs systèmes ne s'engagent pas dans des pratiques interdites lorsqu'ils servent des utilisateurs de l'UE. Cela a conduit à des efforts de conformité, tels que le géo-blocage ou l'ajustement du comportement du système. En 2025, aucune action d'application majeure n'a été publiquement signalée, mais la Commission européenne a indiqué qu'elle prioriserait la surveillance des systèmes à risque inacceptable.
L'interdiction de l'IA à risque inacceptable dans l'AI Act représente une rupture significative avec les approches antérieures, plus volontaires, de la gouvernance de l'IA. Elle établit une ligne rouge claire pour certaines applications, tout en laissant la place aux systèmes à haut risque pour fonctionner sous des conditions strictes. La mise en œuvre progressive des dispositions signifie que l'application complète de l'interdiction sera achevée d'ici août 2027, avec des échéances plus précoces pour des obligations spécifiques. L'impact pratique dépendra de la manière dont les autorités nationales interpréteront les exemptions et de la manière dont la Commission européenne mettra à jour la liste des pratiques interdites en réponse aux développements technologiques.