AI Act, le règlement européen sur l’IA

Adopté en 2024, le règlement européen sur l’intelligence artificielle, dit AI Act (en français, RIA), s’applique directement dans les 27 États membres, comme le RGPD. Il ne réglemente pas la technologie en elle-même mais ses usages, selon le risque qu’ils font peser sur la santé, la sécurité et les droits fondamentaux. Il concerne toute organisation qui développe, importe, distribue ou utilise un système d’IA dans l’Union, y compris si elle est établie hors d’Europe.

Une approche par niveaux de risque

Les modèles d’IA à usage général (les grands modèles sur lesquels reposent les outils d'IA générative) ont leur propre régime.

Les pratiques interdites

Depuis le 2 février 2025, sont notamment interdits :

• les techniques subliminales ou manipulatrices qui altèrent le comportement d’une personne en lui causant un préjudice important ;
• l’exploitation des vulnérabilités liées à l’âge, au handicap ou à la situation sociale ;
• la notation sociale des personnes fondée sur leur comportement ou leurs caractéristiques ;
• la prédiction du risque qu’une personne commette une infraction sur la seule base de son profilage ou de ses traits de personnalité ;
• la constitution de bases de reconnaissance faciale par moissonnage non ciblé d’images sur internet ou de vidéosurveillance ;
• la reconnaissance des émotions sur le lieu de travail et dans les établissements d’enseignement, sauf raisons médicales ou de sécurité ;
• la catégorisation biométrique visant à déduire l’origine ethnique, les opinions politiques, l’orientation sexuelle ou les convictions religieuses ;
• l'identification biométrique à distance en temps réel dans l’espace public à des fins répressives, sauf exceptions strictement encadrées (recherche de victimes d’enlèvement, menace terroriste imminente, suspects de crimes graves), avec autorisation préalable (voir vision par ordinateur).

Les systèmes à haut risque

Deux catégories :

1. les IA intégrées à des produits déjà réglementés (dispositifs médicaux, machines, jouets, véhicules, ascenseurs) ;
2. les IA utilisées dans des domaines sensibles listés à l’annexe III : biométrie, infrastructures critiques, éducation et formation, emploi et gestion des travailleurs, accès aux services essentiels (crédit, prestations sociales, assurance), police, migrations et contrôle aux frontières, justice et processus démocratiques.

Leurs fournisseurs doivent notamment mettre en place une gestion des risques, garantir la qualité des données d’entraînement (pour limiter les biais), établir une documentation technique, assurer la journalisation, la transparence envers les utilisateurs, un contrôle humain effectif, la robustesse et la cybersécurité, puis obtenir un marquage CE. Les organisations qui les déploient ont aussi des obligations (surveillance, information des personnes concernées, et pour certains acteurs publics, analyse d’impact sur les droits fondamentaux).

Les obligations de transparence

• Une personne doit savoir qu’elle interagit avec une IA (chatbot), sauf si c’est évident.
• Les contenus générés par IA (texte, image, son, vidéo) doivent être marqués de façon détectable par une machine.
• Les hypertrucages (deepfakes) doivent être signalés comme tels, avec des aménagements pour les œuvres artistiques ou satiriques.

Les modèles d’IA à usage général

Depuis le 2 août 2025, leurs fournisseurs doivent tenir une documentation technique, informer les entreprises qui les intègrent, respecter le droit d’auteur européen (y compris les refus de fouille de textes exprimés par les ayants droit) et publier un résumé des données d’entraînement. Les modèles présentant un risque systémique, présumé au-delà d’un certain seuil de puissance de calcul d’entraînement, doivent en outre évaluer et atténuer ces risques, signaler les incidents graves et assurer leur cybersécurité. Un code de bonnes pratiques, publié en 2025, aide à démontrer la conformité.

Le calendrier d’application

Les deux dernières échéances résultent d’un règlement dit « omnibus numérique » adopté en 2026, qui a reporté l’application des règles sur le haut risque, initialement prévue en août 2026 et août 2027, le temps que les normes techniques soient disponibles.

Gouvernance et sanctions

Au niveau européen, le Bureau de l’IA (AI Office), rattaché à la Commission, supervise les modèles d’usage général ; un Comité européen de l’IA coordonne les États. Chaque pays désigne des autorités de surveillance du marché.

Le montant retenu est le plus élevé des deux pour les entreprises, le plus faible pour les PME et jeunes pousses.

Débats

Les partisans du texte y voient un cadre protecteur des droits fondamentaux et un modèle international, comme le RGPD l’a été. Les critiques soulignent sa complexité, le risque de freiner l’innovation européenne face aux États-Unis et à la Chine, ou au contraire les exceptions jugées trop larges pour la surveillance biométrique. Les questions de fond sont présentées dans éthique de l’IA.

Questions fréquentes

L’AI Act s’applique-t-il à ChatGPT et aux outils similaires ?

Oui, à deux niveaux : le modèle sous-jacent relève des règles sur l’IA à usage général, et l’assistant conversationnel des obligations de transparence. Selon l’usage qui en est fait (par exemple trier des candidatures), il peut aussi relever du haut risque.

Une petite entreprise qui utilise un outil d’IA est-elle concernée ?

Oui, comme « déployeur », mais ses obligations sont limitées si l’usage n’est pas à haut risque : principalement former les personnes qui l’utilisent et respecter la transparence envers le public.

Quel lien avec le RGPD ?

Les deux textes s’appliquent ensemble. Dès qu’un système d’IA traite des données personnelles, le RGPD continue de s’imposer (base légale, information, droits des personnes).